Diese Anleitung ist für Kundinnen und Kunden, die SAML anstelle der nativen Integrationen für Azure AD (OIDC) oder Okta (OIDC) verwenden möchten. Wir empfehlen in der Regel die native OIDC-Integration, wann immer dies möglich ist, aber es gibt bestimmte Situationen, in denen SAML-SSO bevorzugt wird.
Was Sie benötigen
- Sign In URL – Der SAML-SSO-Endpunkt Ihres IdP (z. B.
https://idp.example.com/sso/saml) - X509 Signing Certificate – Das öffentliche Zertifikat, das Ihr IdP zum Signieren von SAML-Assertions verwendet
- Identity Provider Domains – Alle Unternehmens-E-Mail-Domains, die sich über diesen IdP authentifizieren (z. B.
example.com,subsidiary.example.com) - Group Attribute Name (bei Verwendung von IdP-Gruppen) – Der SAML-Attributname, den Ihr IdP verwendet, um Gruppenmitgliedschaften zu übermitteln
Einrichtungsanleitung
Schritt 1: Erstellen Sie eine SAML-Anwendung in Ihrem IdP
| Einstellung | Wert |
|---|---|
| ACS (Assertion Consumer Service) URL | https://auth.devin.ai/login/callback |
| Entity ID / Audience URI | Vorerst leer lassen — siehe Schritt 5 |
| Name ID Format | urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress (empfohlen) oder persistent |
| Name ID Value | E-Mail-Adresse des Benutzers |
| Signature Algorithm | RSA-SHA256 |
| Digest Algorithm | SHA256 |
| Response Binding | HTTP-POST |
Schritt 2: SAML-Attribute konfigurieren
| SAML Attribute | Beschreibung | Erforderlich |
|---|---|---|
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier | Eindeutiger Benutzerbezeichner (in der Regel die E-Mail-Adresse des Benutzers) | Ja |
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress | E-Mail-Adresse des Benutzers | Ja |
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name | Anzeigename des Benutzers | Empfohlen |
Devin verwendet das Attribut
nameidentifier, um Benutzer zu identifizieren. Die meisten IdPs befüllen dieses automatisch auf Basis des SAML-Name ID-Werts. Wenn Ihr IdP nameidentifier nicht als separates Attribut sendet, stellen Sie sicher, dass der Name ID Value in Schritt 1 auf die E-Mail-Adresse des Benutzers festgelegt ist.Schritt 3: Gruppen-Assertions konfigurieren (erforderlich für IdP-Gruppen)
| SAML-Attribut | Wert |
|---|---|
| Attributname | http://schemas.xmlsoap.org/claims/Group |
| Attributwert | Gruppenmitgliedschaften des Benutzers |
Der genaue Attributname kann je nach IdP variieren. Häufige Attributnamen für Gruppen sind:
http://schemas.xmlsoap.org/claims/Grouphttp://schemas.microsoft.com/ws/2008/06/identity/claims/groupsgroupsmemberOf
Azure AD (Entra ID) mit SAML
- Gehen Sie im Azure-Portal zu Enterprise Applications > Ihrer SAML-App > Single sign-on
- Klicken Sie unter Attributes & Claims auf Add a group claim
- Wählen Sie Groups assigned to the application (empfohlen) oder All groups
- Legen Sie Source attribute auf einen Wert fest, der zu Ihrem Setup passt (z. B.
sAMAccountNameoderDisplay name) - Notieren Sie sich den von Azure generierten Claim name (z. B.
http://schemas.microsoft.com/ws/2008/06/identity/claims/groups) und geben Sie ihn an Ihr Cognition-Account-Team weiter
Andere SAML-Identitätsanbieter
- Fügen Sie Ihrer SAML-Anwendungskonfiguration eine Attributanweisung für Gruppen hinzu
- Konfigurieren Sie diese so, dass die Gruppenmitgliedschaften der Benutzer übermittelt werden
- Notieren Sie sich den genauen Attributnamen und geben Sie ihn an Ihr Cognition-Account-Team weiter
Schritt 4: Konfiguration an Cognition senden
- Sign-In-URL (z. B.
https://idp.example.com/sso/saml) - X.509-Signaturzertifikat (die öffentliche Zertifikatsdatei oder PEM-kodierter Text)
- Identity-Provider-Domains (alle E-Mail-Domains für diesen IdP)
- Gruppenattributname (bei Verwendung von IdP-Gruppen) — der genaue SAML-Attributname, der in Schritt 3 konfiguriert wurde
Schritt 5: Konfiguration mit Cognition abschließen
- Die SAML-Verbindung erstellen und Ihnen die Entity ID / Audience URI sowie einen Verbindungsnamen (connection name) bereitstellen
- Ihr Gruppenattribut (falls zutreffend) zuordnen, damit IdP-Gruppen bei jeder Benutzeranmeldung automatisch synchronisiert werden
Devin sendet signierte SAML-Authentifizierungsanfragen. Ihre SAML-Metadatendatei ist verfügbar unter:wobei
<connection_name> dem von Ihrem Cognition-Account-Team bereitgestellten Verbindungsnamen entspricht. Importieren Sie diese Metadaten in Ihren IdP, um die Vertrauenskonfiguration abzuschließen und die Überprüfung der Signatur von Anfragen zu aktivieren.Überprüfung Ihrer Einrichtung
- Navigieren Sie zu Ihrer Devin Enterprise-URL (z. B.
https://<your_subdomain>.devinenterprise.com) - Klicken Sie auf Sign in with SAML (oder die entsprechende SSO-Schaltfläche), um den Anmeldevorgang zu starten
- Sie sollten auf die Anmeldeseite Ihres IdP weitergeleitet werden
- Nach der Authentifizierung sollten Sie in Ihrer Devin Enterprise-Organisation landen
- Gehen Sie in der Devin-Webanwendung zu Settings > IdP Groups
- Sie sollten Ihre IdP-Gruppen sehen, nachdem sich mindestens ein Gruppenmitglied angemeldet hat
- Gruppen werden bei jeder Anmeldung synchronisiert, sodass Änderungen an der Mitgliedschaft in Ihrem IdP bei der nächsten Anmeldung eines Benutzers wirksam werden
IdP-Gruppen werden bei der Benutzeranmeldung abgefragt, daher erfordern Änderungen an der Gruppenmitgliedschaft eine erneute Authentifizierung. Weitere Details zur Konfiguration der gruppenbasierten Zugriffskontrolle finden Sie unter IdP Group Integration.