Ce guide s’adresse aux clients qui souhaitent utiliser SAML au lieu des intégrations natives Azure AD (OIDC) ou Okta (OIDC). Nous recommandons généralement d’utiliser l’intégration OIDC native lorsque c’est possible, mais il existe certaines situations où le SSO SAML est préférable.
Ce dont vous aurez besoin
- URL de connexion - Le point de terminaison SSO SAML de votre IdP (par exemple,
https://idp.example.com/sso/saml) - Certificat de signature X.509 - Le certificat public que votre IdP utilise pour signer les assertions SAML
- Domaines du fournisseur d’identité - Tous les domaines de messagerie de l’entreprise qui s’authentifieront via cet IdP (par exemple,
example.com,subsidiary.example.com) - Nom de l’attribut de groupe (si vous utilisez des groupes IdP) - Le nom de l’attribut SAML que votre IdP utilise pour envoyer les appartenances à des groupes
Instructions de configuration
Étape 1 : Créer une application SAML dans votre IdP
| Paramètre | Valeur |
|---|---|
| ACS (Assertion Consumer Service) URL | https://auth.devin.ai/login/callback |
| ID d’entité / URI d’audience | Laissez vide dans un premier temps — voir Étape 5 |
| Format NameID | urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress (recommandé) ou persistent |
| Valeur NameID | Adresse e-mail de l’utilisateur |
| Algorithme de signature | RSA-SHA256 |
| Algorithme de hachage | SHA256 |
| Response Binding | HTTP-POST |
Étape 2 : Configurer les attributs SAML
| Attribut SAML | Description | Obligatoire |
|---|---|---|
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier | Identifiant unique de l’utilisateur (généralement son adresse e-mail) | Oui |
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress | Adresse e-mail de l’utilisateur | Oui |
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name | Nom d’affichage de l’utilisateur | Recommandé |
Devin utilise l’attribut
nameidentifier pour identifier les utilisateurs. La plupart des IdP le renseignent automatiquement à partir de la valeur SAML Name ID. Si votre IdP n’envoie pas nameidentifier comme attribut séparé, assurez-vous que la Name ID Value à l’étape 1 est définie sur l’adresse e-mail de l’utilisateur.Étape 3 : Configurer les assertions de groupe (obligatoire pour les groupes IdP)
| Attribut SAML | Valeur |
|---|---|
| Nom de l’attribut | http://schemas.xmlsoap.org/claims/Group |
| Valeur de l’attribut | Appartenances de l’utilisateur aux groupes |
Le nom exact de l’attribut peut varier en fonction de votre IdP. Les noms d’attribut courants pour les groupes incluent :
http://schemas.xmlsoap.org/claims/Grouphttp://schemas.microsoft.com/ws/2008/06/identity/claims/groupsgroupsmemberOf
Azure AD (Entra ID) avec SAML
- Dans le portail Azure, allez dans Enterprise Applications > votre application SAML > Single sign-on
- Sous Attributes & Claims, cliquez sur Add a group claim
- Sélectionnez Groups assigned to the application (recommandé) ou All groups
- Définissez Source attribute sur une valeur adaptée à votre configuration (par exemple,
sAMAccountNameouDisplay name) - Relevez le Claim name généré par Azure (par exemple,
http://schemas.microsoft.com/ws/2008/06/identity/claims/groups) et partagez-le avec l’équipe en charge de votre compte Cognition
Autres fournisseurs d’identité SAML
- Ajoutez une déclaration d’attribut de groupe à la configuration de votre application SAML
- Configurez-la pour envoyer les appartenances de l’utilisateur à ses groupes
- Notez le nom exact de l’attribut et partagez-le avec l’équipe en charge de votre compte Cognition
Étape 4 : Envoyer la configuration à Cognition
- URL de connexion (par exemple :
https://idp.example.com/sso/saml) - Certificat de signature X509 (le fichier de certificat public ou le texte encodé en PEM)
- Domaines du fournisseur d’identité (tous les domaines de messagerie pour cet IdP)
- Nom de l’attribut de groupe (si vous utilisez les groupes de l’IdP) — le nom exact de l’attribut SAML configuré à l’étape 3
Étape 5 : Finaliser la configuration avec Cognition
- Créera la connexion SAML et vous fournira l’ID d’entité / URI d’audience ainsi qu’un nom de connexion
- Configurera la mise en correspondance de votre attribut de groupe (le cas échéant) afin que les groupes IdP se synchronisent automatiquement à chaque connexion d’utilisateur
Devin envoie des requêtes d’authentification SAML signées. Votre fichier de métadonnées SAML sera disponible à l’adresse :où
<connection_name> est le nom de connexion fourni par votre équipe de compte Cognition. Importez ces métadonnées dans votre IdP pour terminer la configuration de la relation de confiance et activer la vérification de la signature des requêtes.Vérifier votre configuration
- Accédez à votre URL Devin Enterprise (par exemple,
https://<your_subdomain>.devinenterprise.com) - Cliquez sur Sign in with SAML (ou sur le bouton SSO équivalent) pour lancer le flux d’authentification
- Vous devriez être redirigé vers la page de connexion de votre IdP
- Après vous être authentifié, vous devriez arriver dans votre organisation Devin Enterprise
- Allez dans Settings > IdP Groups dans l’application web Devin
- Vous devriez voir vos groupes IdP répertoriés après qu’au moins un membre d’un groupe se soit connecté
- Les groupes sont synchronisés à chaque connexion, de sorte que toute modification de l’appartenance aux groupes dans votre IdP prendra effet la prochaine fois qu’un utilisateur se connectera
Les groupes IdP sont récupérés lors de la connexion de l’utilisateur, donc les changements d’appartenance à un groupe nécessiteront une nouvelle authentification. Consultez la page IdP Group Integration pour plus de détails sur la configuration du contrôle d’accès basé sur les groupes.