​

Teil 1: Enterprise-Anwendung in Microsoft Entra ID erstellen

1. Klicken Sie in Microsoft Entra ID auf Add und dann auf Enterprise Application.

2. Klicken Sie auf Create your own application.

3. Benennen Sie Ihre Anwendung Windsurf, wählen Sie Integrate any other application you don’t find in the gallery und klicken Sie anschließend auf Create.

​

Teil 2: SAML und Benutzerattribute in Microsoft Entra ID konfigurieren

4. Klicken Sie in Ihrer neuen Windsurf-Anwendung auf Set up single sign on und dann auf SAML.
5. Klicken Sie unter Basic SAML Configuration auf Edit.
6. Lassen Sie diesen Entra-ID-Tab geöffnet und öffnen Sie einen neuen Tab, um zu den Windsurf Teams SSO settings unter https://windsurf.com/team/settings zu navigieren.
7. Im SAML-Konfigurationsformular von Microsoft Entra ID:
   • Identifier (Entity ID): Kopieren Sie den Wert SP Entity ID von der Windsurf SSO settings page
   • Reply URL (Assertion Consumer Service URL): Kopieren Sie den Wert Callback URL von der Windsurf SSO settings page
   • Klicken Sie oben auf Save
8. Konfigurieren Sie Benutzerattribute für die korrekte Namensanzeige. Klicken Sie in Microsoft Entra ID unter Attributes & Claims auf Edit.
9. Erstellen Sie zwei neue Claims, indem Sie jeweils auf Add new claim klicken:
   • Erster Claim: Name = firstName, Source attribute = user.givenname
   • Zweiter Claim: Name = lastName, Source attribute = user.surname

​

Teil 3: SSO-Einstellungen im Windsurf-Portal konfigurieren

10. Auf der Windsurf SSO settings page:
    • Pick your SSO ID: Wählen Sie einen eindeutigen Bezeichner für das Anmeldeportal Ihres Teams (dies kann später nicht mehr geändert werden)
    • IdP Entity ID: Kopieren Sie den Wert aus Microsoft Entra ID unter Set up Windsurf → Microsoft Entra Identifier
    • SSO URL: Kopieren Sie den Wert Login URL aus Microsoft Entra ID
    • X509 Certificate: Laden Sie das SAML certificate (Base64) aus Microsoft Entra ID herunter, öffnen Sie die Datei und fügen Sie den Textinhalt hier ein
11. Klicken Sie im Windsurf-Portal auf Enable Login with SAML und anschließend auf Save.
12. Testen Sie die Konfiguration: Klicken Sie auf Test Login, um zu überprüfen, ob die SSO-Konfiguration wie erwartet funktioniert.

​

IdP-Anwendung konfigurieren

• Single sign-on URL auf https://auth.windsurf.com/__/auth/handler
• Audience URI (SP Entity ID) auf www.codeium.com
• NameID Format auf EmailAddress
• Application username auf Email

​

Okta als SAML-Anbieter registrieren

• Öffnen Sie https://windsurf.com/team/settings und klicken Sie auf Configure SAML
• Kopieren Sie den Text nach ‚Issuer‘ auf der Okta-Anwendungsseite und fügen Sie ihn unter IdP Entity ID ein
• Kopieren Sie den Text nach ‚Sign on URL‘ auf der Okta-Anwendungsseite und fügen Sie ihn unter SSO URL ein
• Laden Sie das Signing Certificate herunter und fügen Sie es unter X509 certificate ein
• Aktivieren Sie Enable Login with SAML und klicken Sie anschließend auf Save
• Testen Sie die Anmeldung mit der Schaltfläche Test Login. Sie sollten eine Erfolgsmeldung sehen:

​

Einschränkungen

​

Fehlerbehebung

​

Login with SAML config failed: Firebase: Error (auth/operation-not-allowed)

​

Login with SAML config failed: Firebase: SAML Response <Issuer> mismatch. (auth/invalid-credential)

​

Failed to verify the signature in samlresponse

-----BEGIN CERTIFICATE-----
Wert
------END CERTIFICATE------

• Administratorzugriff auf Microsoft Entra ID / Azure AD
• Administratorzugriff auf Windsurf
• Eine vorhandene Windsurf-Anwendung in Entra ID (normalerweise aus Ihrer bestehenden SSO-Anwendung)

​

Schritt 1: Zur vorhandenen Windsurf-Anwendung navigieren

​

Schritt 2: SCIM-Bereitstellung einrichten

​

Schritt 3: SCIM-Bereitstellung konfigurieren

NOT([IsSoftDeleted])

• Administratorzugriff auf Okta
• Administratorzugriff auf Windsurf
• Eine vorhandene Windsurf-Anwendung in Okta (in der Regel aus Ihrer bestehenden SSO-Anwendung)

​

Schritt 1: Zur vorhandenen Windsurf-Anwendung navigieren

​

Schritt 2: SCIM-Provisioning aktivieren

• https://windsurf.com/team/settings, gehen Sie zu Other Settings und finden Sie Service Key Configuration
• Klicken Sie auf Add Service Key und geben Sie Ihrem Schlüssel einen Namen
• Kopieren Sie den API-Schlüssel, gehen Sie zurück zu Okta und fügen Sie ihn bei HTTP Header - Authorization ein

​

Schritt 3: Provisioning einrichten

​

Schritt 4: Gruppen-Provisioning einrichten (optional)

​

Gruppe erstellen

curl -k -X POST https://server.codeium.com/scim/v2/Groups -d '{
"displayName": "<Gruppenname>",
"schemas": ["urn:ietf:params:scim:schemas:core:2.0:Group"]
}' -H "Authorization: Bearer <API-Geheimschlüssel>" -H "Content-Type: application/scim+json"

​

Gruppenmitglieder hinzufügen

curl -X PATCH https://server.codeium.com/scim/v2/Groups/<Gruppenname> -d '{"schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
"Operations":[
{
"op": "add",
"path":"members",
"value": [{"value": "<E-Mail 1>"}, {"value": "<E-Mail 2>"}]
}]}' -H "Authorization: Bearer <API-Geheimschlüssel>" -H "Content-Type: application/scim+json"

​

Gruppenmitglieder ersetzen

curl -X PATCH https://server.codeium.com/scim/v2/Groups/<Gruppenname> -d '{"schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
"Operations":[
{
"op": "replace",
"path":"members",
"value": [{"value": "<E-Mail 1>"}, {"value": "<E-Mail 2>"}]
}]}' -H "Authorization: Bearer <API-Geheimschlüssel>" -H "Content-Type: application/scim+json"

​

Gruppe löschen

curl -X DELETE https://server.codeium.com/scim/v2/Groups/<Gruppenname> -H "Authorization: Bearer <API-Geheimschlüssel>" -H "Content-Type: application/scim+json"

​

Listengruppe

curl -X GET -H "Authorization: Bearer <api secret key>" "https://server.codeium.com/scim/v2/Groups"

​

Benutzer in einer Gruppe auflisten

curl -X GET -H "Authorization: Bearer <api secret key>" "https://server.codeium.com/scim/v2/Groups/<group_id>"

​

Benutzer-APIs

curl -X PATCH \
  https://server.codeium.com/scim/v2/Users/<Benutzer-API-Schlüssel> \
  -H 'Content-Type: application/scim+json' \
  -H 'Authorization: Bearer <API-Geheimschlüssel>' \
  -d '{
    "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
    "Operations": [
      {
        "op": "replace",
        "path": "active",
        "value": false
      }
    ]
  }'

curl -X POST \
  https://server.codeium.com/scim/v2/Users \
  -H 'Content-Type: application/scim+json' \
  -H 'Authorization: Bearer <API-Secret-Key>' \
  -d '{
    "schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
    "userName": "<E-Mail-Adresse>",
    "displayName": "<vollständiger Name>",
    "active": true,
}'

curl -X PATCH \
  'https://<enterprise portal url>/_route/api_server/scim/v2/Users/<user api key>' \
    -H 'Authorization: Bearer <service key>' \
    -H 'Content-Type: application/scim+json' \
    -d '{
      "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
      "Operations": [
        {
          "op": "Replace",
          "path": "displayName",
          "value": "<new name>"
        }
      ]
   }'

​

Erstellen eines API-Secret-Keys

​

Voraussetzungen

​

Duo für Windsurf konfigurieren

1. Navigieren Sie zu Applications und fügen Sie einen generischen SAML-Service Provider hinzu.

2. Navigieren Sie zu SSO in den Team Settings.

3. Wenn Sie SAML zum ersten Mal aktivieren, müssen Sie Ihre SSO-ID festlegen. Sie können diese später nicht mehr ändern. Es wird empfohlen, hierfür den Namen Ihrer Organisation oder Ihres Teams zu verwenden, ausschließlich mit alphanumerischen Zeichen.
4. Kopieren Sie den Wert von Entity ID aus dem Duo-Portal und fügen Sie ihn in das Feld IdP Entity ID im Windsurf-Portal ein.
5. Kopieren Sie den Wert von Single Sign-On URL aus dem Duo-Portal und fügen Sie ihn in das Feld SSO URL im Windsurf-Portal ein.
6. Kopieren Sie den Zertifikatswert aus dem Duo-Portal und fügen Sie ihn in das Feld X509 Certificate im Windsurf-Portal ein.

7. Kopieren Sie den Wert von SP Identity ID aus dem Windsurf-Portal und fügen Sie ihn in das Feld Entity ID im Duo-Portal ein.
8. Kopieren Sie die Callback URL (Assertion Consumer Service URL) aus dem Windsurf-Portal und fügen Sie sie in das Feld Assertion Consumer Service (ACS) URL im Duo-Portal ein.
9. Konfigurieren Sie im Duo-Portal die Attributaussagen wie folgt:

10. Aktivieren Sie die SAML-Anmeldung im Windsurf-Portal, damit Sie testen können.

11. Sobald Ihr Test erfolgreich abgeschlossen wurde, können Sie sich abmelden. Sie können sich nun per SSO anmelden, wenn Sie zu Ihrer Team-/Organisationsseite mit der in Schritt 3 festgelegten SSO-ID navigieren.

​

Voraussetzungen

​

PingID für Windsurf konfigurieren

1. Navigieren Sie zu Applications und fügen Sie Windsurf als SAML Application hinzu.

2. Navigieren Sie zu SSO in den Team Settings.

3. Wenn Sie SAML zum ersten Mal aktivieren, müssen Sie Ihre SSO-ID festlegen. Sie können diese später nicht mehr ändern.

4. Wählen Sie in PingID die manuelle Konfiguration und füllen Sie die Felder mit den folgenden Werten aus:

• ACS URLs – dies ist die Callback URL (Assertion Consumer Service URL) aus dem Windsurf-Portal.
• Entity ID – dies ist die SP Entity ID aus dem Windsurf-Portal.

5. Kopieren Sie die Issuer ID aus PingID in den Wert IdP Entity ID im Windsurf-Portal.
6. Kopieren Sie den Wert Single Sign-On Service aus PingID in den Wert SSO URL im Windsurf-Portal.
7. Laden Sie das Signing Certificate aus PingID als X.509 PEM (.crt) herunter, öffnen Sie die Datei und kopieren Sie deren Inhalt in den Wert X509 Certificate im Windsurf-Portal.

8. Stellen Sie in den Attributzuordnungen sicher, dass Folgendes zugeordnet ist:

• saml_subject – Email Address
• firstName – Given Name
• lastName – Family Name

9. Fügen Sie nach Bedarf weitere Richtlinien hinzu bzw. bearbeiten Sie diese sowie die Zugriffsregeln entsprechend Ihrer Umgebung/Organisation.
10. Aktivieren Sie den SAML-Login im Windsurf-Portal, damit Sie ihn testen können.

11. Sobald Ihr Test erfolgreich abgeschlossen wurde, können Sie sich abmelden. Sie können sich nun per SSO anmelden, wenn Sie zu Ihrer Team-/Organisationsseite mit der in Schritt 3 konfigurierten SSO-ID navigieren.