Guide de mise en place du SSO

Documentation Index

Fetch the complete documentation index at: https://docs.devinenterprise.com/llms.txt

Use this file to discover all available pages before exploring further.

Ce guide accompagne les administrateurs d’entreprise tout au long du cycle de vie du SSO avec Devin — de la mise en place initiale à la configuration des groupes de l’IdP — et explique comment Devin gère le provisionnement des utilisateurs sans SCIM. Pour les instructions de configuration propres à chaque fournisseur, consultez Okta, Azure AD, SAML ou Generic OIDC.

---

Créez une application dans votre fournisseur d’identité (Okta, Azure AD ou tout IdP compatible SAML/OIDC) et partagez les identifiants suivants avec votre équipe Cognition : Une fois que votre équipe Cognition a les identifiants, elle configure la connexion SSO. Une fois la configuration terminée :

1. La connexion SSO est associée à votre entreprise Devin
2. Ajout automatique à l’entreprise lors de la connexion est activé — tout utilisateur qui s’authentifie via le SSO est automatiquement ajouté à votre entreprise
3. Votre ou vos domaines de messagerie sont enregistrés comme domaines de confiance — seules les adresses e-mail provenant de ces domaines sont acceptées
4. Attribution des rôles basée sur les groupes (RBAC) est activée — les groupes IdP transmis lors de la connexion peuvent être associés à des rôles Devin
5. Les connexions sociales par défaut (Google, GitHub) sont désactivées — le SSO devient la méthode d’authentification obligatoire

1. L’utilisateur accède à votre URL Devin
2. Il est redirigé vers l’IdP configuré (Okta, Azure AD, etc.)
3. L’utilisateur s’authentifie normalement
4. L’IdP renvoie à Devin les informations de l’utilisateur et ses appartenances à des groupes
5. Devin effectue automatiquement les actions suivantes :
   • Crée le compte de l’utilisateur s’il s’agit de sa première connexion (provisionnement juste-à-temps)
   • Lui attribue le rôle Enterprise Member par défaut
   • Synchronise ses appartenances aux groupes de l’IdP — ajoute les nouveaux groupes et supprime les groupes obsolètes
   • Enregistre la connexion dans le journal d’audit de l’entreprise

---

Les éléments suivants sont accessibles directement aux administrateurs Enterprise dans l’application web Devin. Settings → Enterprise → Groupes du fournisseur d’identité

• Voir tous les groupes synchronisés lors des connexions des utilisateurs
• Attribuer un groupe à un rôle au niveau de l’Enterprise (p. ex., « Tous les membres de Engineering-Admins obtiennent le rôle Enterprise Admin »)
• Attribuer un groupe à des orgs spécifiques avec des rôles spécifiques (p. ex., « Team-Backend obtient l’accès Member dans l’org Backend »)
• Ajouter ou supprimer en masse des groupes dans plusieurs orgs
• Voir à combien d’orgs chaque groupe est attribué

Settings → Enterprise → Membres

• Afficher tous les membres Enterprise, y compris leurs appartenances aux groupes IdP
• Inviter de nouveaux membres par e-mail
• Mettre à jour les rôles des membres
• Supprimer des membres

Settings → Enterprise → Rôles

• Créez des rôles personnalisés avec des autorisations granulaires
• Attribuez des rôles personnalisés à des utilisateurs ou à des groupes IdP

Consultez Rôles personnalisés et RBAC pour en savoir plus. Devin fournit une API v2 que vous pouvez utiliser pour automatiser la gestion des membres :

---

À ce jour, Devin ne prend pas en charge le protocole SCIM. Toute la gestion des utilisateurs et des groupes s’effectue via les événements de connexion SSO et l’interface utilisateur/API de Devin. Voici ce que cela signifie concrètement. Lors de l’arrivée de nouveaux employés, l’administrateur peut soit les inviter à l’avance (Settings → Enterprise → Membres → Inviter, ou via l’API), soit simplement les laisser être provisionnés automatiquement lors de leur première connexion. Si un administrateur modifie le groupe IdP d’une personne (p. ex. en la faisant passer d’Engineering à Sales), Devin ne reflétera pas ce changement tant que l’utilisateur ne se sera pas reconnecté. En attendant, l’utilisateur conserve ses anciens rôles basés sur les groupes ainsi que son accès à l’organisation. Devin inclut plusieurs fonctionnalités qui couvrent les cas d’usage SCIM courants :

1. Provisionnement juste-à-temps — les utilisateurs sont créés automatiquement lors de leur première connexion SSO avec le rôle d’entreprise par défaut
2. Synchronisation complète des groupes à chaque connexion — chaque fois qu’un utilisateur se connecte, Devin effectue un diff complet de ses groupes IdP : il ajoute les nouveaux et supprime les anciens
3. RBAC basé sur les groupes — vous pouvez associer des groupes IdP à des rôles d’entreprise et à l’accès aux organisations dans les Settings de Devin, avec prise d’effet lors de la prochaine connexion
4. API V2 pour l’automatisation — les invitations, suppressions et modifications de rôle en masse peuvent être scriptées pour combler les lacunes de provisionnement et de déprovisionnement
5. Journaux d’audit — chaque connexion est enregistrée, ce qui permet de savoir qui a accédé à Devin

---

Si vous utilisez SCIM avec d’autres applications (p. ex., Slack, Box), cette section explique le fonctionnement du modèle de groupes de Devin et comment configurer correctement votre IdP.

• Groupes SCIM : L’application cible indique à l’IdP quels groupes existent (l’IdP les « importe »). L’application est la source de référence pour la structure des groupes. L’IdP synchronise les utilisateurs dans ces groupes définis par l’application.
• Groupes IdP (ce qu’utilise Devin) : L’IdP est la source de référence. Les groupes sont définis dans l’annuaire de l’IdP, et les appartenances aux groupes sont transmises à Devin via des assertions SAML/OIDC au moment de la connexion.

Comme Devin n’utilise pas SCIM, vous fonctionnez déjà en mode « groupes IdP ». L’essentiel est de s’assurer que les bons groupes sont envoyés par votre IdP et correctement mappés dans Devin. Dans la console d’administration de votre IdP (les exemples ci-dessous utilisent Okta) :

1. Accédez à Directory → Groups
2. Créez des groupes correspondant aux niveaux d’accès à Devin (p. ex., Devin-Engineering, Devin-Admins, Devin-DataScience)
3. Assignez les utilisateurs à ces groupes

Il s’agit de groupes natifs de l’IdP : votre IdP est la source de référence quant à l’appartenance de chacun. Les groupes doivent être inclus dans la réponse d’authentification afin que Devin puisse les lire.

1. Accédez à Applications → [application Devin] → SAML Settings → Modifier
2. Sous Déclarations d’attribut de groupe, ajoutez :
   • Nom : groups
   • Filtre : « Commence par » → Devin- (ou utilisez « Correspond à l’expression régulière » pour des motifs plus complexes)
3. Cela indique à l’IdP d’inclure les noms des groupes correspondants dans l’assertion SAML

1. Accédez à Applications → [application Devin] → Connexion → Modifier
2. Sous OpenID Connect ID Token → Type de revendication de groupes, sélectionnez “Filtre”
3. Réglez le filtre pour qu’il corresponde aux groupes Devin (p. ex., “Commence par” → Devin-)

Une fois les groupes transmis lors de la connexion, associez-les dans Devin.

1. Settings → Enterprise → Groupes du fournisseur d’identité
2. Les groupes apparaissent automatiquement dès qu’un membre du groupe se connecte
3. Cliquez sur un groupe → attribuez-lui un rôle à l’échelle de l’entreprise (p. ex. Enterprise Admin ou un rôle personnalisé)
4. Cliquez sur un groupe → affectez-le à des orgs spécifiques avec des rôles spécifiques au niveau de l’org

• Créez les groupes à l’avance avant toute connexion : PUT /v2/enterprise/groups
• Listez les groupes et les organisations auxquelles ils sont attribués : GET /v2/enterprise/groups

Si vous faites évoluer votre stratégie IdP globale en passant de groupes gérés par SCIM à des groupes gérés par l’IdP dans l’ensemble de vos outils (pas seulement Devin) :

1. Arrêtez l’importation des groupes SCIM dans les autres applications :
   • Dans l’IdP : accédez à l’onglet Provisioning → Integration → décochez “Import Groups”
   • Cela empêche l’application cible d’être la source de référence pour les groupes
2. Créez des groupes correspondants dans l’annuaire de l’IdP :
   • Accédez à Directory → Groups et créez des groupes qui correspondent à ceux qui existaient dans l’application cible
   • Attribuez les utilisateurs à ces groupes natifs de l’IdP
3. Configurez Group Push (pour les applications qui le prennent en charge) :
   • Dans la configuration IdP de l’application : onglet Push Groups → recherchez les groupes par nom → liez-les aux groupes cibles existants
   • Cela amène l’IdP à remplacer l’appartenance interne de l’application — l’IdP devient l’unique source de référence
   • Devin n’a pas besoin de Group Push, car il lit directement les groupes à partir de l’assertion d’authentification
4. Désactivez la synchronisation des groupes SCIM dans les autres applications :
   • Assurez-vous que “Import Groups” reste désactivé pour empêcher l’application cible de redevenir la source de référence

Pour Devin en particulier, aucune migration n’est nécessaire. Assurez-vous simplement que les étapes 1 à 3 ci-dessus sont effectuées (groupes définis dans votre IdP, claims configurés, mappages définis dans Devin).

---

---

Pour un contrôle aussi strict que possible sans SCIM, suivez cette approche :

• Votre IdP comme source unique de référence pour la structure des groupes et l’appartenance
• Accès automatique basé sur les groupes à chaque connexion
• Provisionnement/déprovisionnement via API pour couvrir ce que SCIM prend normalement en charge
• Journal d’audit complet pour toutes les connexions et les changements d’appartenance

• Synchronisation des groupes en temps réel d’une connexion à l’autre — les groupes ne sont mis à jour que lorsque les utilisateurs se connectent
• Révocation instantanée des sessions en cas de déprovisionnement — les sessions restent actives jusqu’à expiration
• Les événements de cycle de vie déclenchés par l’IdP, comme la suspension ou la réactivation, ne sont pas pris en charge