Configuração do SCIM

Provisione e desprovisione automaticamente usuários e grupos do seu provedor de identidade usando o SCIM 2.0.

O Devin Enterprise oferece suporte ao SCIM 2.0 para o provisionamento automático de usuários e grupos. Com o SCIM, seu provedor de identidade (Okta, Microsoft Entra ID ou qualquer IdP compatível com SCIM 2.0) envia alterações ao Devin em tempo real — os usuários são criados antes do primeiro login, usuários desprovisionados perdem imediatamente a associação ao Enterprise, e o pertencimento a grupos permanece sincronizado sem precisar aguardar o próximo login.

O SCIM complementa o SSO. O SSO não é obrigatório para usar o SCIM, mas é altamente recomendado.

O provisionamento just-in-time (JIT) baseado em login deve ser desativado ao usar o SCIM. Caso contrário, os grupos serão resincronizados a cada login e entrarão em conflito com os grupos enviados pelo SCIM.

​

O que o SCIM gerencia

Recurso	Operações compatíveis
Usuários	Criar, ler, listar, atualizar, desativar, excluir
Grupos	Criar, ler, listar, atualizar, excluir

Os grupos provisionados via SCIM aparecem como grupos do IdP no Devin. Assim, você pode mapeá-los para funções do Enterprise e acesso à organização da mesma forma que os grupos sincronizados por logins via SSO. Ao contrário dos grupos sincronizados por login, renomear um grupo SCIM no IdP preserva os mapeamentos de função e organização no Devin.

​

Etapa 1: Obtenha suas credenciais do SCIM

1. No Devin, acesse Configurações → Enterprise → Membros
2. Role até a seção Provisionamento de usuários e grupos do IdP, na parte inferior da aba Membros
3. Copie a URL base do SCIM
4. Em Token bearer do SCIM, clique em Gerar token e copie o token bearer

Gerar um token desativa automaticamente o provisionamento just-in-time (JIT), de modo que o pertencimento a grupos do IdP seja gerenciado somente pelo SCIM. Se ainda quiser usar a sincronização de grupos baseada em login, você pode reativar o controle Provisionamento just-in-time (JIT) na mesma seção, embora isso não seja recomendado enquanto o SCIM estiver em uso.

O token bearer é exibido apenas uma vez. Armazene-o com segurança. Você pode alterná-lo ou revogá-lo na mesma seção de configurações a qualquer momento.

​

Etapa 2: Configure seu provedor de identidade

Okta

O SCIM é configurado como um app separado do seu app SSO existente do Devin.

Criar o aplicativo

1. No Console de Administração do Okta, acesse Applications → Applications e clique em Browse App Catalog

   

2. Pesquise por SCIM 2.0 Test App (OAuth Bearer Token)

   

3. Clique em Add Integration e dê à integração um nome de fácil identificação (por exemplo, Devin (SCIM))

   

Configurar o aplicativo

1. Abra o app → Provisioning → Integration, clique em Configure API Integration e marque Enable API integration

   • SCIM 2.0 Base Url: a URL base do SCIM fornecida pelo Devin
   • OAuth Bearer Token: o token bearer fornecido pelo Devin
   • Clique em Test API Credentials — o teste deve ser bem-sucedido — e depois em Save
   

2. Abra o app → Provisioning → To App, clique em Edit, ative Create Users, Update User Attributes e Deactivate Users e clique em Save

   

3. Abra o app → Sign On, clique em Edit, defina Application username format como Email e clique em Save

   

4. Abra o app → Provisioning → To App, role até os mapeamentos de atributos e clique em Go to Profile Editor

   

5. No Editor de Perfil, clique em Mappings

   

   • Na primeira aba (usuário do Okta para o app), defina todos os mapeamentos como Do not map, exceto appuser.givenName → firstName, appuser.familyName → lastName e appuser.email → email, e clique em Save Mappings

     

   • Na segunda aba (app para usuário do Okta), defina todos os mapeamentos como Do not map, exceto user.firstName, user.lastName e user.email, e clique em Save Mappings

     

Atribuir usuários e grupos

• Atribua usuários e grupos na aba Assignments
• Para sincronizar grupos com o Devin, também envie-os na aba Push Groups

Entra ID

O SCIM é configurado como um aplicativo separado do app Devin SSO existente.

Criar o aplicativo

1. No centro de administração do Entra, acesse Aplicativos empresariais e clique em + Novo aplicativo

   

2. Clique em + Criar seu próprio aplicativo

   

3. Dê um nome para facilitar a identificação (por exemplo, Devin (SCIM)), mantenha selecionada a opção sem galeria e clique em Criar

   

Configurar o aplicativo

1. Abra o app → Provisionamento e clique em Conectar seu aplicativo

   
   • URL do tenant: a URL base do SCIM fornecida pelo Devin
   • Token secreto: o token Bearer do Devin
   • Clique em Testar conexão — a conexão deve ser bem-sucedida — e depois em Salvar
   

2. Abra o app → Provisionamento → Mapeamentos → Provisionar usuários do Microsoft Entra ID (verifique se o provisionamento está ativado para usuários e grupos)

   
   • Mapeie userName e emails[type eq "work"].value para o atributo do Entra mail, remova todos os mapeamentos, exceto userName, active, name.givenName, name.familyName, emails[type eq "work"].value e externalId, e clique em Salvar
   • Se mail não estiver preenchido para todos os usuários, uma expressão como Coalesce([mail], [userPrincipalName]) pode ser usada como alternativa de compatibilidade
   

Atribuir usuários e grupos

1. Abra o app → Usuários e grupos e clique em + Adicionar usuário/grupo
2. Abra o app → Provisionamento e clique em Iniciar provisionamento (defina Status de provisionamento como Ativado para sincronização automática em segundo plano no ciclo padrão do Entra, aproximadamente a cada 40 minutos)
3. (Opcional) Para sincronizar usuários específicos imediatamente, use Provisionamento → Provisionar sob demanda

Outros IdPs

Qualquer provedor de identidade compatível com SCIM 2.0 pode provisionar usuários e grupos no Devin:

• URL base: a URL base do SCIM do Devin (termina em /scim/v2)
• Autenticação: cabeçalho HTTP Authorization: Bearer <token>
• Recursos: /Users e /Groups, com endpoints de descoberta padrão (/ServiceProviderConfig, /ResourceTypes, /Schemas)
• Conjunto limitado de atributos: os demais atributos são ignorados. Há suporte apenas aos seguintes:
  • Usuários: userName, active, emails, name.givenName, name.familyName, externalId
  • Grupos: displayName, members, externalId

O userName de um usuário deve ser seu endereço de e-mail. Por isso, o formato de nome de usuário no aplicativo do Okta é definido como E-mail, e o mapeamento de userName no Entra deve corresponder ao mapeamento de e-mail corporativo.

​

Etapa 3: Mapear grupos para funções

Os usuários atribuídos são provisionados na sua conta Devin Enterprise com a função padrão Membro Enterprise, antes mesmo de fazer login. Mapeie os grupos provisionados para funções e orgs em Configurações → Enterprise → Grupos do provedor de identidade.

​

Como o provisionamento interage com o login via SSO

• Usuários provisionados via SCIM podem fazer login via SSO imediatamente; não é necessário convite
• Desativar um usuário no IdP remove imediatamente sua associação à Enterprise; reativá-lo a restaura
• Os pertencimentos a grupos enviados via SCIM entram em vigor imediatamente, sem esperar o próximo login do usuário
• Com o provisionamento just-in-time (JIT) desativado, o SCIM é a única origem dos pertencimentos a grupos do IdP
• Usuários criados anteriormente por provisionamento just-in-time ou convites manuais continuam funcionando; atribua-os no IdP para que o SCIM os gerencie