​

Teil 1: Enterprise-Anwendung in Microsoft Entra ID erstellen

1. Klicken Sie in Microsoft Entra ID auf Hinzufügen und dann auf Unternehmensanwendung.

2. Klicken Sie auf Eigene Anwendung erstellen.

3. Benennen Sie Ihre Anwendung Windsurf, wählen Sie Integrate any other application you don’t find in the gallery, und klicken Sie anschließend auf Erstellen.

​

Teil 2: SAML und Benutzerattribute in Microsoft Entra ID konfigurieren

4. Klicken Sie in Ihrer neuen Windsurf-Anwendung auf Single Sign-On einrichten und dann auf SAML.
5. Klicken Sie unter Basic SAML Configuration auf Bearbeiten.
6. Lassen Sie diesen Entra-ID-Tab geöffnet und öffnen Sie einen neuen Tab, um zu den Windsurf Teams SSO-Einstellungen unter https://windsurf.com/team/settings zu navigieren.
7. Im SAML-Konfigurationsformular von Microsoft Entra ID:
   • Identifier (Entity ID): Kopieren Sie den Wert SP Entity ID von der Windsurf SSO-Einstellungsseite
   • Reply URL (Assertion Consumer Service URL): Kopieren Sie den Wert Callback URL von der Windsurf SSO-Einstellungsseite
   • Klicken Sie oben auf Speichern
8. Konfigurieren Sie Benutzerattribute für die korrekte Namensanzeige. Klicken Sie in Microsoft Entra ID unter Attributes & Claims auf Bearbeiten.
9. Erstellen Sie zwei neue Claims, indem Sie jeweils auf Neuen Claim hinzufügen klicken:
   • Erster Claim: Name = firstName, Quellattribut = user.givenname
   • Zweiter Claim: Name = lastName, Quellattribut = user.surname

​

Teil 3: SSO-Einstellungen im Windsurf-Portal konfigurieren

10. Auf der Windsurf SSO-Einstellungsseite:
    • Wählen Sie Ihre SSO-ID: Wählen Sie einen eindeutigen Bezeichner für das Anmeldeportal Ihres Teams (dies kann später nicht geändert werden)
    • IdP Entity ID: Kopieren Sie den Wert aus Microsoft Entra ID unter Windsurf einrichten → Microsoft Entra Identifier
      Die IdP-Entity-ID-URL muss mit einem abschließenden / enden (z. B. https://sts.windows.net/{tenant-id}/). Wenn die URL keinen abschließenden Slash enthält, fügen Sie diesen manuell hinzu.
    • SSO URL: Kopieren Sie den Login URL-Wert aus Microsoft Entra ID
    • X509-Zertifikat: Laden Sie das SAML-Zertifikat (Base64) aus Microsoft Entra ID herunter, öffnen Sie die Datei und fügen Sie den Textinhalt hier ein
11. Klicken Sie im Windsurf-Portal auf Login mit SAML aktivieren und dann auf Speichern.
12. Konfiguration testen: Klicken Sie auf Login testen, um zu überprüfen, ob die SSO-Konfiguration wie erwartet funktioniert.

​

IdP-Anwendung konfigurieren

• Single sign-on URL auf https://auth.windsurf.com/__/auth/handler
• Audience URI (SP Entity ID) auf www.codeium.com
• NameID Format auf EmailAddress
• Application username auf Email

​

Okta als SAML-Provider registrieren

• Öffnen Sie https://windsurf.com/team/settings und klicken Sie auf Configure SAML
• Kopieren Sie den Text hinter ‘Issuer’ auf der Okta-Anwendungsseite und fügen Sie ihn unter IdP Entity ID ein
• Kopieren Sie den Text hinter ‘Sign on URL’ auf der Okta-Anwendungsseite und fügen Sie ihn unter SSO URL ein
• Laden Sie das Signing Certificate herunter und fügen Sie es unter X509 certificate ein
• Aktivieren Sie Enable Login with SAML und klicken Sie dann auf Save
• Testen Sie die Anmeldung mit der Schaltfläche Test Login. Sie sollten eine Erfolgsmeldung sehen:

​

Hinweise

​

Fehlerbehebung

​

Login with SAML config failed: Firebase: Error (auth/operation-not-allowed)

​

Login with SAML config failed: Firebase: SAML Response <Issuer> mismatch. (auth/invalid-credential)

​

Failed to verify the signature in samlresponse

-----BEGIN CERTIFICATE-----
value
------END CERTIFICATE------

• Administratorzugriff auf Microsoft Entra ID / Azure AD
• Administratorzugriff auf Windsurf
• Eine vorhandene Windsurf-Anwendung in Entra ID (in der Regel aus Ihrer bestehenden SSO-Anwendung übernommen)

​

Schritt 1: Erstellen Sie eine Rolle mit SCIM-Berechtigungen

1. Gehen Sie zu den Windsurf Team Settings
2. Unter „Weitere Einstellungen“ klicken Sie auf Konfigurieren neben Rollenverwaltung
3. Klicken Sie auf Add Role und nennen Sie sie “SCIM Provisioning”
4. Fügen Sie die folgenden Berechtigungen hinzu:
   • Team User Read
   • Team User Update
   • Team User Delete
5. Klicken Sie auf Speichern

​

Schritt 2: Navigieren Sie zur vorhandenen Windsurf-Anwendung

​

Schritt 3: SCIM (System für domänenübergreifendes Identitätsmanagement)-Bereitstellung einrichten

​

Schritt 4: SCIM-Bereitstellung konfigurieren

NOT([IsSoftDeleted])

• Administratorzugriff auf Okta
• Administratorzugriff auf Windsurf
• Eine vorhandene Windsurf-Anwendung in Okta (in der Regel aus Ihrer bestehenden SSO-Anwendung)

​

Schritt 1: Navigieren Sie zur bestehenden Windsurf-Anwendung

​

Schritt 2: SCIM-Provisionierung aktivieren

• https://windsurf.com/team/settings und gehen Sie zur Service Key Configuration
• Klicken Sie auf Configure, dann Add Service Key, und geben Sie Ihrem API-Schlüssel einen Namen
• Kopieren Sie den API-Schlüssel, gehen Sie zurück zu Okta und fügen Sie ihn bei HTTP Header - Authorization ein

​

Schritt 3: Provisioning einrichten

​

Schritt 4: Gruppen-Provisioning einrichten (optional)

​

Gruppe erstellen

curl -k -X POST https://server.codeium.com/scim/v2/Groups -d '{
"displayName": "<Gruppenname>",
"schemas": ["urn:ietf:params:scim:schemas:core:2.0:Group"]
}' -H "Authorization: Bearer <API-Geheimschlüssel>" -H "Content-Type: application/scim+json"

​

Gruppenmitglieder hinzufügen

curl -X PATCH https://server.codeium.com/scim/v2/Groups/<Gruppenname> -d '{"schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
"Operations":[
{
"op": "add",
"path":"members",
"value": [{"value": "<E-Mail 1>"}, {"value": "<E-Mail 2>"}]
}]}' -H "Authorization: Bearer <API-Geheimschlüssel>" -H "Content-Type: application/scim+json"

​

Gruppenmitglieder ersetzen

curl -X PATCH https://server.codeium.com/scim/v2/Groups/<Gruppenname> -d '{"schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
"Operations":[
{
"op": "replace",
"path":"members",
"value": [{"value": "<E-Mail 1>"}, {"value": "<E-Mail 2>"}]
}]}' -H "Authorization: Bearer <API-Geheimschlüssel>" -H "Content-Type: application/scim+json"

​

Gruppe löschen

curl -X DELETE https://server.codeium.com/scim/v2/Groups/<Gruppenname> -H "Authorization: Bearer <API-Geheimschlüssel>" -H "Content-Type: application/scim+json"

​

Listengruppe

curl -X GET -H "Authorization: Bearer <API-Geheimschlüssel>" "https://server.codeium.com/scim/v2/Groups"

​

Benutzer in einer Gruppe auflisten

curl -X GET -H "Authorization: Bearer <API-Geheimschlüssel>" "https://server.codeium.com/scim/v2/Groups/<Gruppen-ID>"

​

Benutzer-APIs

curl -X PATCH \
  https://server.codeium.com/scim/v2/Users/<Benutzer-API-Schlüssel> \
  -H 'Content-Type: application/scim+json' \
  -H 'Authorization: Bearer <API-Geheimschlüssel>' \
  -d '{
    "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
    "Operations": [
      {
        "op": "replace",
        "path": "active",
        "value": false
      }
    ]
  }'

curl -X POST \
  https://server.codeium.com/scim/v2/Users \
  -H 'Content-Type: application/scim+json' \
  -H 'Authorization: Bearer <API-Geheimschlüssel>' \
  -d '{
    "schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
    "userName": "<email>",
    "displayName": "<full name>",
    "active": true,
}'

curl -X PATCH \
  'https://<enterprise portal url>/_route/api_server/scim/v2/Users/<user api key>' \
    -H 'Authorization: Bearer <service key>' \
    -H 'Content-Type: application/scim+json' \
    -d '{
      "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
      "Operations": [
        {
          "op": "Replace",
          "path": "displayName",
          "value": "<new name>"
        }
      ]
   }'

​

Erstellen eines API-Secret-Keys

​

Voraussetzungen

​

Duo für Windsurf konfigurieren

1. Navigieren Sie zu Applications und fügen Sie einen Generic SAML Service Provider hinzu.

2. Navigieren Sie in den Team Settings zu SSO.

3. Beim erstmaligen Aktivieren von SAML müssen Sie Ihre SSO-ID festlegen. Sie können diese später nicht mehr ändern. Es wird empfohlen, hierfür den Namen Ihrer Organisation oder Ihres Teams zu verwenden, ausschließlich alphanumerische Zeichen.
4. Kopieren Sie den Wert von Entity ID aus dem Duo-Portal und fügen Sie ihn in das Feld IdP Entity ID im Windsurf-Portal ein.
5. Kopieren Sie den Wert von Single Sign-On URL aus dem Duo-Portal und fügen Sie ihn in das Feld SSO URL im Windsurf-Portal ein.
6. Kopieren Sie den Zertifikatswert aus dem Duo-Portal und fügen Sie ihn in das Feld X509 Certificate im Windsurf-Portal ein.

7. Kopieren Sie den Wert von SP Identity ID aus dem Windsurf-Portal und fügen Sie ihn in das Feld Entity ID im Duo-Portal ein.
8. Kopieren Sie die Callback URL (Assertion Consumer Service URL) aus dem Windsurf-Portal und fügen Sie sie in das Feld Assertion Consumer Service (ACS) URL im Duo-Portal ein.
9. Konfigurieren Sie im Duo-Portal die Attributzuweisungen wie folgt:

10. Aktivieren Sie die SAML-Anmeldung im Windsurf-Portal, damit Sie sie testen können.

11. Sobald Ihr Test erfolgreich war, können Sie sich abmelden. Sie können sich nun per SSO anmelden, wenn Sie zu Ihrer Team-/Organisationsseite mit der in Schritt 3 konfigurierten SSO-ID navigieren.

​

Voraussetzungen

​

PingID für Windsurf konfigurieren

1. Navigieren Sie zu Applications und fügen Sie Windsurf als SAML Application hinzu.

2. Navigieren Sie zu SSO in den Team Settings.

3. Beim erstmaligen Aktivieren von SAML müssen Sie Ihre SSO-ID einrichten. Sie können diese später nicht mehr ändern.

4. In PingID – wählen Sie die manuelle Eingabe der Konfiguration und füllen Sie die Felder mit den folgenden Werten aus:

• ACS URLs – dies ist die Callback URL (Assertion Consumer Service URL) aus dem Windsurf-Portal.
• Entity ID – dies ist die SP Entity ID aus dem Windsurf-Portal.

5. Kopieren Sie die Issuer ID aus PingID in den Wert IdP Entity ID im Windsurf-Portal.
6. Kopieren Sie den Wert Single Signon Service aus PingID in den Wert SSO URL im Windsurf-Portal.
7. Laden Sie das Signing Certificate aus PingID als X509 PEM (.crt) herunter, öffnen Sie die Datei und kopieren Sie ihren Inhalt in den Wert X509 Certificate im Windsurf-Portal.

8. Stellen Sie in den Attributzuordnungen sicher, Folgendes zuzuordnen:

• saml_subject – Email Address
• firstName – Given Name
• lastName – Family Name

9. Fügen Sie alle weiteren Richtlinien und Zugriffe hinzu bzw. bearbeiten Sie diese nach Bedarf entsprechend Ihrer Umgebung/Organisation.
10. Aktivieren Sie die SAML-Anmeldung im Windsurf-Portal, damit Sie testen können.

11. Sobald Ihr Test erfolgreich abgeschlossen wurde, können Sie sich abmelden. Sie können sich nun per SSO anmelden, wenn Sie zu Ihrer Team-/Organisationsseite mit der in Schritt 3 konfigurierten SSO-ID navigieren.