Ce guide s’adresse aux clients qui souhaitent utiliser SAML au lieu des intégrations natives Microsoft Entra ID (OIDC) ou Okta (OIDC). Nous recommandons généralement d’utiliser l’intégration OIDC native lorsque c’est possible, mais il existe certaines situations où le SSO SAML est préférable.
Ce dont vous aurez besoin
Les informations suivantes sont requises pour configurer le SSO SAML pour Devin. Vous les rassemblerez au cours des étapes de configuration ci‑dessous, puis les enverrez à votre équipe en charge de votre compte Cognition à la dernière étape.- URL de connexion - Le point de terminaison SSO SAML de votre IdP (par exemple,
https://idp.example.com/sso/saml) - Certificat de signature X.509 - Le certificat public que votre IdP utilise pour signer les assertions SAML
- Domaines du fournisseur d’identité - Tous les domaines de messagerie de l’entreprise qui s’authentifieront via cet IdP (par exemple,
example.com,subsidiary.example.com) - Nom de l’attribut de groupe (si vous utilisez des groupes IdP) - Le nom de l’attribut SAML que votre IdP utilise pour envoyer les appartenances à des groupes
Instructions de configuration
Étape 1 : Créer une application SAML dans votre IdP
Dans la console d’administration de votre fournisseur d’identité, créez une nouvelle application SAML 2.0 avec les paramètres suivants :Étape 2 : Configurer les attributs SAML
Assurez-vous que votre IdP envoie les attributs suivants dans l’assertion SAML :Devin utilise l’attribut
nameidentifier pour identifier les utilisateurs. La plupart des IdP le renseignent automatiquement à partir de la valeur SAML Name ID. Si votre IdP n’envoie pas nameidentifier comme attribut séparé, assurez-vous que la Name ID Value à l’étape 1 est définie sur l’adresse e-mail de l’utilisateur.Étape 3 : Configurer les assertions de groupe (obligatoire pour les groupes IdP)
Pour activer la synchronisation des groupes IdP, configurez un attribut de groupe dans votre application SAML :Le nom exact de l’attribut peut varier en fonction de votre IdP. Les noms d’attribut courants pour les groupes incluent :
http://schemas.xmlsoap.org/claims/Grouphttp://schemas.microsoft.com/ws/2008/06/identity/claims/groupsgroupsmemberOf
Microsoft Entra ID avec SAML
Si vous utilisez Microsoft Entra ID avec SAML au lieu de l’intégration OIDC native :- Dans le portail Azure, allez dans Enterprise Applications > votre application SAML > Single sign-on
- Sous Attributes & Claims, cliquez sur Add a group claim
- Sélectionnez Groups assigned to the application (recommandé) ou All groups
- Définissez Source attribute sur une valeur adaptée à votre configuration (par exemple,
sAMAccountNameouDisplay name) - Relevez le Claim name généré par Azure (par exemple,
http://schemas.microsoft.com/ws/2008/06/identity/claims/groups) et partagez-le avec l’équipe en charge de votre compte Cognition
Autres fournisseurs d’identité SAML
Pour les autres IdP (ADFS, Ping Identity, OneLogin, etc.) :- Ajoutez une déclaration d’attribut de groupe à la configuration de votre application SAML
- Configurez-la pour envoyer les appartenances de l’utilisateur à ses groupes
- Notez le nom exact de l’attribut et partagez-le avec l’équipe en charge de votre compte Cognition
Étape 4 : Envoyer la configuration à Cognition
Envoyez les éléments suivants à l’équipe en charge de votre compte Cognition :- URL de connexion (par exemple :
https://idp.example.com/sso/saml) - Certificat de signature X509 (le fichier de certificat public ou le texte encodé en PEM)
- Domaines du fournisseur d’identité (tous les domaines de messagerie pour cet IdP)
- Nom de l’attribut de groupe (si vous utilisez les groupes de l’IdP) — le nom exact de l’attribut SAML configuré à l’étape 3
Étape 5 : Finaliser la configuration avec Cognition
Après réception de votre configuration, votre équipe de compte Cognition :- Créera la connexion SAML et vous fournira l’ID d’entité / URI d’audience ainsi qu’un nom de connexion
- Configurera la mise en correspondance de votre attribut de groupe (le cas échéant) afin que les groupes IdP se synchronisent automatiquement à chaque connexion d’utilisateur
Devin envoie des requêtes d’authentification SAML signées. Votre fichier de métadonnées SAML sera disponible à l’adresse :où
<connection_name> est le nom de connexion fourni par votre équipe de compte Cognition. Importez ces métadonnées dans votre IdP pour terminer la configuration de la relation de confiance et activer la vérification de la signature des requêtes.Vérifier votre configuration
Après avoir mis à jour l’ID d’entité et une fois que l’équipe en charge de votre compte Cognition a confirmé que la configuration est terminée :- Accédez à votre URL Devin Enterprise (par exemple,
https://<your_subdomain>.devinenterprise.com) - Cliquez sur Sign in with SAML (ou sur le bouton SSO équivalent) pour lancer le flux d’authentification
- Vous devriez être redirigé vers la page de connexion de votre IdP
- Après vous être authentifié, vous devriez arriver dans votre organisation Devin Enterprise
- Dans la webapp Devin, accédez à Settings > Appartenance, puis sélectionnez l’onglet Groupes (IdP)
- Vous devriez voir vos groupes IdP répertoriés après qu’au moins un membre d’un groupe se soit connecté
- Les groupes sont synchronisés à chaque connexion, de sorte que toute modification de l’appartenance aux groupes dans votre IdP prendra effet la prochaine fois qu’un utilisateur se connectera
Les groupes IdP sont récupérés lors de la connexion de l’utilisateur, donc les changements d’appartenance à un groupe nécessiteront une nouvelle authentification. Consultez la page intégration des groupes IdP pour plus de détails sur la configuration du contrôle d’accès basé sur les groupes.