SSO 接入指南

Documentation Index

Fetch the complete documentation index at: https://docs.devinenterprise.com/llms.txt

Use this file to discover all available pages before exploring further.

本指南将引导企业管理员了解 Devin 中 SSO 的完整流程——从初始设置到 IdP 组配置——并说明在不使用 SCIM 的情况下，Devin 如何处理用户预配。 如需查看特定提供商的设置说明，请参阅 Okta、Azure AD、SAML 或 Generic OIDC。

---

在你的身份提供商 (Okta、Azure AD 或任何兼容 SAML/OIDC 的 IdP) 中创建一个应用，并将以下凭据提供给你的 Cognition 团队： 一旦 Cognition 团队拿到凭据，他们就会配置 SSO 连接。设置完成后：

1. SSO 连接会关联到你的 Devin 企业
2. 登录时自动加入企业 已启用——任何通过 SSO 进行身份验证的用户都会自动被添加到你的企业中
3. 你的电子邮件域名会被注册为受信任域——只接受来自这些域名的电子邮件地址
4. 基于组的角色分配 (RBAC) 已启用——登录时传送的 IdP 组可以映射到 Devin 角色
5. 默认社交登录 (Google、GitHub) 会被禁用——SSO 将成为必需的身份验证方式

1. 用户访问你的 Devin URL
2. 被重定向到已配置的 IdP (Okta、Azure AD 等)
3. 用户按正常流程完成身份验证
4. IdP 将用户信息和所属组信息发回 Devin
5. Devin 会自动：
   • 如果这是用户首次登录，则为其创建账户 (即时预配)
   • 为其分配默认的 Enterprise 成员角色
   • 同步其 IdP 组成员关系——添加新组，移除不再适用的组
   • 在企业审计日志中记录此次登录

---

以下功能可由企业管理员直接在 Devin Web 应用中使用。 设置 → 企业 → 身份提供商组

• 查看所有通过用户登录同步的组
• 将组分配到企业级角色 (例如：“Engineering-Admins”中的所有人都会获得 Admin 角色)
• 将组分配到特定组织并授予特定角色 (例如：“Team-Backend”在 Backend 组织中拥有 Member 权限)
• 在多个组织中批量添加或移除组
• 查看每个组被分配到了多少个组织

设置 → 企业 → 成员

• 查看所有企业成员，包括其所属的 IdP 组
• 通过电子邮件邀请新成员
• 更新成员角色
• 移除成员

设置 → 企业版 → 角色

• 创建具有细粒度权限的自定义角色
• 为单个用户或 IdP 组分配自定义角色

详情请参阅 自定义角色与 RBAC。 Devin 提供了一个 V2 API，可用于自动化成员管理：

---

Devin 目前尚不支持 SCIM 协议。所有用户和组管理都通过 SSO 登录事件以及 Devin UI/API 完成。以下将说明这在实际使用中的具体含义。 为新员工办理入职时，Admin 可以选择提前邀请他们 (设置 → 企业 → 成员 → 邀请，或通过 API) ，也可以直接让他们在首次登录时自动完成预配。 如果管理员更改了某人的 IdP 组 (例如将其从工程组移到销售组) ，Devin 在该用户再次登录前都不会反映这一变化。在此期间，用户仍会保留原有的基于组的角色和组织访问权限。 Devin 提供了多项功能，可覆盖 SCIM 的常见使用场景：

1. 即时预配 — 用户首次通过 SSO 登录时会自动创建，并分配默认的 Enterprise 角色
2. 每次登录时的全量组同步 — 每次用户登录时，Devin 都会对其 IdP 组执行一次完整 diff：添加新组、移除旧组
3. 基于组的 RBAC — 你可以在 Devin 设置中将 IdP 组映射到 Enterprise 角色和组织访问权限，并在用户下次登录时生效
4. 用于 automation 的 V2 API — 可通过脚本实现邀请、移除以及批量角色变更，以弥补预配/取消预配方面的不足
5. 审计日志 — 每次登录都会被记录，便于了解哪些人访问过 Devin

---

如果你也在其他应用 (例如 Slack、Box) 中使用 SCIM，本节将说明 Devin 的组模型是如何运作的，以及如何正确配置你的 IdP。

• SCIM 组： 下游应用会告知 IdP 存在哪些组 (即 IdP 会“导入”这些组) 。应用是组结构的权威数据源。IdP 会将用户同步到这些由应用定义的组中。
• IdP 组 (Devin 使用的方式) ： IdP 是权威数据源。组在 IdP 的目录中定义，组成员关系会在登录时通过 SAML/OIDC 声明同步到 Devin。

由于 Devin 不使用 SCIM，你实际上已经处于“IdP 组”模式。关键在于确保你的 IdP 发送了正确的组，并在 Devin 中正确完成映射。 在你的 IdP Admin Console 中 (以下示例使用 Okta) ：

1. 前往 Directory → Groups
2. 创建与 Devin 访问级别相对应的组 (例如 Devin-Engineering、Devin-Admins、Devin-DataScience)
3. 将用户分配到这些组

这些都是 IdP 原生组——谁属于哪个组，以你的 IdP 为准。 必须在身份验证响应中包含这些组信息，以便 Devin 读取。

1. 前往 Applications → [Devin App] → SAML Settings → Edit
2. 在 Group Attribute Statements 下添加：
   • 名称： groups
   • 筛选器： “开头为” → Devin- (或使用 “匹配正则表达式” 来匹配更复杂的模式)
3. 这会告知 IdP 在 SAML 断言中包含匹配的组名

1. 前往 Applications → [Devin App] → Sign On → Edit
2. 在 OpenID Connect ID Token → Groups claim type 下，选择 “Filter”
3. 将过滤器设置为匹配 Devin 组 (例如，“Starts with” → Devin-)

登录时组信息成功传递后，请在 Devin 中进行映射。

1. Settings → Enterprise → Identity Provider Groups
2. 当任一组的成员登录后，该组会自动显示
3. 点击某个组 → 为其分配企业级角色 (例如 Enterprise Admin 或自定义角色)
4. 点击某个组 → 将其分配到特定组织，并授予相应的组织级角色

• 在任何人登录前预先创建组：PUT /v2/enterprise/groups
• 列出组及其组织归属：GET /v2/enterprise/groups

如果你要将整体 IdP 策略从由 SCIM 管理的组，调整为在各个工具中由 IdP 管理的组 (不只是 Devin) ：

1. 在其他应用中停止导入 SCIM 组：
   • 在 IdP 中：前往应用的 Provisioning → Integration 选项卡 → 取消选中“Import Groups”
   • 这样会使下游应用不再作为组的权威数据源
2. 在 IdP 目录中创建对应的组：
   • 前往 Directory → Groups，创建与下游应用中现有组相对应的组
   • 将用户分配到这些 IdP 原生组
3. 配置组推送 (适用于支持该功能的应用) ：
   • 在应用的 IdP 配置中：Push Groups 选项卡 → 按名称查找组 → 链接到现有的下游组
   • 这样会让 IdP 覆盖应用内部的成员关系，IdP 将成为唯一的权威数据源
   • Devin 不需要组推送，因为它会直接从登录断言中读取组信息
4. 在其他应用中禁用 SCIM 组同步：
   • 确保“Import Groups”保持关闭，以防止下游应用重新成为权威数据源

对于 Devin，无需迁移。只需确保已完成上述步骤 1–3 (即在你的 IdP 中定义组、配置声明，并在 Devin 中设置映射) 。

---

---

如果你不使用 SCIM，但又希望获得尽可能严格的控制，请采用以下方法：

• 将你的 IdP 作为组结构和成员关系的唯一可信权威数据源
• 每次登录时自动授予基于组的访问权限
• 通过 API 驱动的预配/去预配来弥补原本通常由 SCIM 填补的空缺
• 为所有登录和成员变更提供完整的审计记录

• 登录间的组实时同步 — 组仅在用户登录时更新
• 取消预配后立即撤销会话 — 会话会一直保持有效，直到过期
• 由 IdP 发起的生命周期事件 (如 suspend/reactivate) 暂不支持