Guía de incorporación a SSO

Documentation Index

Fetch the complete documentation index at: https://docs.devinenterprise.com/llms.txt

Use this file to discover all available pages before exploring further.

Esta guía acompaña a los administradores de empresa a lo largo de todo el ciclo de vida de SSO con Devin, desde la configuración inicial hasta la configuración de grupos de IdP, y explica cómo Devin gestiona el aprovisionamiento de usuarios sin SCIM. Para obtener instrucciones de configuración específicas de cada proveedor, consulta Okta, Azure AD, SAML o OIDC genérico.

---

Crea una aplicación en tu proveedor de identidad (Okta, Azure AD o cualquier IdP compatible con SAML/OIDC) y comparte las siguientes credenciales con tu equipo de Cognition: Una vez que tu equipo de Cognition tiene las credenciales, configura la conexión de SSO. Cuando la configuración se completa:

1. La conexión de SSO se vincula a tu cuenta Enterprise de Devin
2. Se habilita la membresía automática al iniciar sesión — cualquier usuario que se autentique mediante SSO se agrega automáticamente a tu empresa
3. Tus dominios de correo electrónico se registran como de confianza — solo se aceptan direcciones de correo electrónico de esos dominios
4. Se habilita la asignación de roles basada en grupos (RBAC) — los grupos de IdP enviados durante el inicio de sesión pueden mapearse a roles de Devin
5. Los inicios de sesión sociales predeterminados (Google, GitHub) se deshabilitan — SSO pasa a ser el método de autenticación obligatorio

1. El usuario accede a tu URL de Devin
2. Se le redirige al IdP configurado (Okta, Azure AD, etc.)
3. El usuario se autentica normalmente
4. El IdP envía a Devin la información del usuario y su pertenencia a grupos
5. Devin automáticamente:
   • Crea la cuenta del usuario si es su primer inicio de sesión (aprovisionamiento just-in-time)
   • Le asigna el rol predeterminado de Miembro de Enterprise
   • Sincroniza su pertenencia a grupos del IdP: agrega grupos nuevos y elimina los inactivos
   • Registra el inicio de sesión en el registro de auditoría de Enterprise

---

Lo siguiente está disponible directamente para los administradores de empresa en la aplicación web de Devin. Settings → Enterprise → Grupos de IdP

• Ver todos los grupos que se han sincronizado a partir de los inicios de sesión de los usuarios
• Asignar un grupo a un rol a nivel Enterprise (p. ej., “Todos los miembros de Engineering-Admins reciben el rol de Enterprise Admin”)
• Asignar un grupo a orgs específicas con roles específicos (p. ej., “Team-Backend recibe acceso de Member en la org Backend”)
• Agregar o quitar grupos en bloque en múltiples orgs
• Ver a cuántas orgs está asignado cada grupo

Settings → Enterprise → Miembros

• Ver todos los miembros de Enterprise, incluidos los grupos de IdP a los que pertenecen
• Invitar a nuevos miembros por correo electrónico
• Actualizar los roles de los miembros
• Eliminar miembros

Settings → Enterprise → Roles

• Crea roles personalizados con permisos granulares
• Asigna roles personalizados a usuarios individuales o a grupos de IdP

Consulta Roles personalizados y RBAC para obtener más información. Devin ofrece una API v2 que puede usar para automatizar la gestión de miembros:

---

Actualmente, Devin no admite el protocolo SCIM. Toda la gestión de usuarios y grupos se realiza mediante eventos de inicio de sesión con SSO y la UI/API de Devin. Esto es lo que significa en la práctica. Al incorporar a nuevos empleados, el Admin puede invitarlos por adelantado (Settings → Enterprise → Miembros → Invitar, o mediante la API) o simplemente dejar que se aprovisionen automáticamente en su primer inicio de sesión. Si un admin cambia el grupo de IdP de alguien (p. ej., lo mueve de Engineering a Sales), Devin no reflejará ese cambio hasta que el usuario vuelva a iniciar sesión. Mientras tanto, el usuario conserva sus Roles basados en grupos y el acceso a la org anterior. Devin incluye varias funciones que cubren casos de uso habituales de SCIM:

1. Aprovisionamiento just-in-time — los usuarios se crean automáticamente en el primer inicio de sesión con SSO con el rol empresarial predeterminado
2. Sincronización completa de grupos en cada inicio de sesión — cada vez que un usuario inicia sesión, Devin realiza una comparación completa de sus grupos de IdP: agrega los nuevos y elimina los antiguos
3. RBAC basado en grupos — puedes asignar grupos de IdP a roles empresariales y acceso a la organización en la configuración de Devin; esto se aplica en el siguiente inicio de sesión
4. API v2 para automatización — las invitaciones, eliminaciones y modificaciones masivas de roles se pueden automatizar con scripts para cerrar la brecha entre el aprovisionamiento y el desaprovisionamiento
5. Registros de auditoría — cada inicio de sesión queda registrado, lo que da visibilidad sobre quién ha accedido a Devin

---

Si usas SCIM con otras aplicaciones (p. ej., Slack, Box), esta sección explica cómo funciona el modelo de grupos de Devin y cómo configurar correctamente tu IdP.

• Grupos de SCIM: La app de destino le indica al IdP qué grupos existen (el IdP los “importa”). La app es la fuente de verdad de la estructura de los grupos. El IdP sincroniza a los usuarios con esos grupos definidos por la app.
• Grupos de IdP (lo que usa Devin): El IdP es la fuente de verdad. Los grupos se definen en el directorio del IdP, y las membresías de los grupos se envían a Devin mediante claims de SAML/OIDC en el momento del inicio de sesión.

Como Devin no usa SCIM, ya estás operando en el modo de “grupos de IdP”. La clave es asegurarte de que se estén enviando los grupos correctos desde tu IdP y de que se asignen correctamente en Devin. En la consola de administración de tu IdP (los ejemplos a continuación usan Okta):

1. Ve a Directory → Groups
2. Crea grupos que se correspondan con los niveles de acceso de Devin (p. ej., Devin-Engineering, Devin-Admins, Devin-DataScience)
3. Asigna usuarios a estos grupos

Estos son grupos nativos del IdP: tu IdP es la fuente de verdad para determinar quién pertenece a cada uno. Los grupos deben incluirse en la respuesta de autenticación para que Devin pueda leerlos.

1. Ve a Applications → [Devin App] → SAML Settings → Edit
2. En Group Attribute Statements, agrega:
   • Name: groups
   • Filter: “Comienza con” → Devin- (o usa “Matches regex” para patrones más complejos)
3. Esto le indica al IdP que incluya en la aserción SAML los nombres de los grupos que coincidan

1. Ve a Applications → [app de Devin] → Sign On → Edit
2. En OpenID Connect ID Token → Groups claim type, selecciona “Filter”
3. Configura el filtro para que coincida con los grupos de Devin (p. ej., “Starts with” → Devin-)

Una vez que los grupos se transmitan al iniciar sesión, asígnalos en Devin.

1. Settings → Enterprise → Grupos de IdP
2. Los grupos aparecen automáticamente después de que inicie sesión cualquier miembro de ese grupo
3. Haz clic en un grupo → asígnale un rol a nivel de Enterprise (p. ej., Enterprise Admin o un rol personalizado)
4. Haz clic en un grupo → asígnalo a orgs específicas con roles específicos a nivel de org

• Cree los grupos de antemano, antes de que alguien inicie sesión: PUT /v2/enterprise/groups
• Liste los grupos y las org a las que están asignados: GET /v2/enterprise/groups

Si estás cambiando tu estrategia general de IdP, de grupos gestionados por SCIM a grupos gestionados por el IdP en todas tus herramientas (no solo en Devin):

1. Detén la importación de grupos de SCIM en las otras aplicaciones:
   • En el IdP: ve a la pestaña Provisioning → Integration de la aplicación → desmarca “Import Groups”
   • Esto evita que la aplicación de destino sea la fuente de verdad de los grupos
2. Crea grupos equivalentes en el directorio del IdP:
   • Ve a Directory → Groups y crea grupos que reflejen los que existían en la aplicación de destino
   • Asigna usuarios a estos grupos nativos del IdP
3. Configura Group Push (para las aplicaciones que lo admiten):
   • En la configuración del IdP de la aplicación: pestaña Push Groups → busca los grupos por nombre → vincúlalos con los grupos existentes en la aplicación de destino
   • Esto hace que el IdP sobrescriba la membresía interna de la aplicación; el IdP pasa a ser la única fuente de verdad
   • Devin no necesita Group Push porque lee los grupos directamente de la aserción de inicio de sesión
4. Desactiva la sincronización de grupos de SCIM en las otras aplicaciones:
   • Asegúrate de que “Import Groups” siga desactivado para evitar que la aplicación de destino vuelva a declararse como fuente de verdad

En el caso específico de Devin, no hace falta ninguna migración. Solo asegúrate de completar los pasos 1–3 anteriores (grupos definidos en tu IdP, claims configurados y mapeos establecidos en Devin).

---

---

Para tener el control más estricto posible sin SCIM, sigue este enfoque:

• Tu IdP como fuente única de verdad para la estructura de grupos y la pertenencia a ellos
• Acceso automático basado en grupos en cada inicio de sesión
• Aprovisionamiento y desaprovisionamiento mediante API para cubrir la brecha que normalmente llenaría SCIM
• Registro de auditoría completo de todos los inicios de sesión y cambios de membresía

• Sincronización de grupos en tiempo real entre inicios de sesión — los grupos solo se actualizan cuando los usuarios inician sesión
• Revocación instantánea de sesiones tras el desaprovisionamiento — las sesiones siguen activas hasta que expiran
• Eventos del ciclo de vida iniciados por el IdP, como suspender/reactivar, no se admiten