​

Partie 1 : Créer une application Enterprise dans Microsoft Entra ID

1. Dans Microsoft Entra ID, cliquez sur Add, puis sur Enterprise Application.

2. Cliquez sur Create your own application.

3. Nommez votre application Windsurf, sélectionnez Integrate any other application you don’t find in the gallery, puis cliquez sur Create.

​

Partie 2 : Configurer SAML et les attributs utilisateur dans Microsoft Entra ID

4. Dans votre nouvelle application Windsurf, cliquez sur Set up single sign on, puis sur SAML.
5. Cliquez sur Edit sous Basic SAML Configuration.
6. Laissez cet onglet Entra ID ouvert et ouvrez un nouvel onglet pour accéder aux paramètres SSO Windsurf Teams à l’adresse https://windsurf.com/team/settings.
7. Dans le formulaire de configuration SAML de Microsoft Entra ID :
   • Identifier (Entity ID) : copiez la valeur SP Entity ID depuis la page des paramètres SSO Windsurf
   • Reply URL (Assertion Consumer Service URL) : copiez la valeur Callback URL depuis la page des paramètres SSO Windsurf
   • Cliquez sur Save en haut
8. Configurez les attributs utilisateur pour un affichage correct du nom. Dans Microsoft Entra ID, sous Attributes & Claims, cliquez sur Edit.
9. Créez 2 nouvelles revendications en cliquant sur Add new claim pour chacune :
   • Première revendication : Name = firstName, Source attribute = user.givenname
   • Deuxième revendication : Name = lastName, Source attribute = user.surname

​

Partie 3 : Configurer les paramètres SSO dans le portail Windsurf

10. Sur la page des paramètres SSO Windsurf :
    • Pick your SSO ID : choisissez un identifiant unique pour le portail de connexion de votre équipe (ce choix ne pourra pas être modifié par la suite)
    • IdP Entity ID : copiez la valeur depuis Microsoft Entra ID sous Set up Windsurf → Microsoft Entra Identifier
    • SSO URL : copiez la Login URL depuis Microsoft Entra ID
    • X509 Certificate : téléchargez le SAML certificate (Base64) depuis Microsoft Entra ID, ouvrez le fichier et collez ici le contenu texte
11. Dans le portail Windsurf, cliquez sur Enable Login with SAML, puis sur Save.
12. Testez la configuration : cliquez sur Test Login pour vérifier que la configuration SSO fonctionne comme prévu.

​

Configurer l’application IdP

• Single sign-on URL sur https://auth.windsurf.com/__/auth/handler
• Audience URI (SP Entity ID) sur www.codeium.com
• NameID format sur EmailAddress
• Application username sur Email

​

Enregistrer Okta comme fournisseur SAML

• Ouvrez https://windsurf.com/team/settings, puis cliquez sur Configure SAML
• Copiez le texte après ‘Issuer’ sur la page de l’application Okta et collez-le sous Idp Entity ID
• Copiez le texte après ‘Sign on URL’ sur la page de l’application Okta et collez-le sous SSO URL
• Téléchargez le Signing Certificate et collez-le sous X509 certificate
• Cochez Enable Login with SAML puis cliquez sur Save
• Testez la connexion avec le bouton Test Login. Vous devriez voir un message de réussite :

​

Mises en garde

​

Dépannage

​

Login with SAML config failed: Firebase: Error (auth/operation-not-allowed)

​

Login with SAML config failed: Firebase: SAML Response <Issuer> mismatch. (auth/invalid-credential)

​

Failed to verify the signature in samlresponse

-----BEGIN CERTIFICATE-----
valeur
------END CERTIFICATE------

• Accès administrateur à Microsoft Entra ID / Azure AD
• Accès administrateur à Windsurf
• Une application Windsurf existante sur Entra ID (généralement issue de votre application SSO existante)

​

Étape 1 : Accéder à l’application Windsurf existante

​

Étape 2 : Configurer le provisioning SCIM

​

Étape 3 : Configurer le provisioning SCIM

NOT([IsSoftDeleted])

• Accès administrateur à Okta
• Accès administrateur à Windsurf
• Une application Windsurf existante sur Okta (généralement issue de votre application SSO existante)

​

Étape 1 : Accéder à l’application Windsurf existante

​

Étape 2 : Activer le provisionnement SCIM

• https://windsurf.com/team/settings puis allez dans Other Settings et trouvez Service Key Configuration
• Cliquez sur Add Service Key et donnez un nom à votre clé
• Copiez la clé API, retournez sur Okta et collez-la dans HTTP Header - Authorization

​

Étape 3 : Configurer le provisionnement

​

Étape 4 : Configurer le provisionnement des groupes (facultatif)

​

Créer un groupe

curl -k -X POST https://server.codeium.com/scim/v2/Groups -d '{
"displayName": "<nom du groupe>",
"schemas": ["urn:ietf:params:scim:schemas:core:2.0:Group"]
}' -H "Authorization: Bearer <clé secrète API>" -H "Content-Type: application/scim+json"

​

Ajouter des membres au groupe

curl -X PATCH https://server.codeium.com/scim/v2/Groups/<nom du groupe> -d '{"schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
"Operations":[
{
"op": "add",
"path":"members",
"value": [{"value": "<email 1>"}, {"value": "<email 2>"}]
}]}' -H "Authorization: Bearer <clé secrète api>" -H "Content-Type: application/scim+json"

​

Remplacer les membres du groupe

curl -X PATCH https://server.codeium.com/scim/v2/Groups/<nom du groupe> -d '{"schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
"Operations":[
{
"op": "replace",
"path":"members",
"value": [{"value": "<email 1>"}, {"value": "<email 2>"}]
}]}' -H "Authorization: Bearer <clé secrète api>" -H "Content-Type: application/scim+json"

​

Supprimer le groupe

curl -X DELETE https://server.codeium.com/scim/v2/Groups/<nom du groupe> -H "Authorization: Bearer <clé secrète API>" -H "Content-Type: application/scim+json"

​

Groupe de Listes

curl -X GET -H "Authorization: Bearer <clé secrète API>" "https://server.codeium.com/scim/v2/Groups"

​

Lister les utilisateurs d’un groupe

curl -X GET -H "Authorization: Bearer <clé secrète api>" "https://server.codeium.com/scim/v2/Groups/<group_id>"

​

APIs utilisateur

curl -X PATCH \
  https://server.codeium.com/scim/v2/Users/<clé API utilisateur> \
  -H 'Content-Type: application/scim+json' \
  -H 'Authorization: Bearer <clé secrète API>' \
  -d '{
    "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
    "Operations": [
      {
        "op": "replace",
        "path": "active",
        "value": false
      }
    ]
  }'

curl -X POST \
  https://server.codeium.com/scim/v2/Users \
  -H 'Content-Type: application/scim+json' \
  -H 'Authorization: Bearer <clé secrète API>' \
  -d '{
    "schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
    "userName": "<email>",
    "displayName": "<nom complet>",
    "active": true,
}'

curl -X PATCH \
  'https://<enterprise portal url>/_route/api_server/scim/v2/Users/<user api key>' \
    -H 'Authorization: Bearer <clé de service>' \
    -H 'Content-Type: application/scim+json' \
    -d '{
      "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
      "Operations": [
        {
          "op": "Replace",
          "path": "displayName",
          "value": "<nouveau nom>"
        }
      ]
   }'

​

Création d’une clé secrète d’API

​

Prérequis

​

Configurer Duo pour Windsurf

1. Accédez à Applications et ajoutez un fournisseur de services SAML générique

2. Accédez à SSO dans Team Settings

3. Lors de l’activation de SAML pour la première fois, vous devrez définir votre identifiant SSO. Vous ne pourrez plus le modifier par la suite. Il est conseillé d’utiliser le nom de votre organisation ou équipe, uniquement avec des caractères alphanumériques.
4. Copiez la valeur Entity ID depuis le portail Duo et collez-la dans le champ IdP Entity ID du portail Windsurf.
5. Copiez la valeur Single Sign-On URL depuis le portail Duo et collez-la dans le champ SSO URL du portail Windsurf.
6. Copiez la valeur du certificat depuis le portail Duo et collez-la dans le champ X509 Certificate du portail Windsurf.

7. Copiez la valeur SP Identity ID depuis le portail Windsurf et collez-la dans le champ Entity ID du portail Duo.
8. Copiez la Callback URL (Assertion Consumer Service URL) depuis le portail Windsurf et collez-la dans le champ Assertion Consumer Service (ACS) URL du portail Duo.
9. Dans le portail Duo, configurez les déclarations d’attributs comme suit :

10. Activez la connexion SAML dans le portail Windsurf pour pouvoir la tester.

11. Une fois le test réussi, vous pouvez vous déconnecter. Vous pouvez désormais utiliser la connexion SSO en accédant à la page de votre équipe/organisation avec l’identifiant SSO que vous avez configuré à l’étape 3.

​

Prérequis

​

Configurer PingID pour Windsurf

1. Accédez à Applications et ajoutez Windsurf comme application SAML

2. Accédez à SSO dans Team Settings

3. Lors de l’activation de SAML pour la première fois, vous devrez définir votre ID SSO. Vous ne pourrez pas le modifier par la suite.

4. Dans PingID, choisissez la saisie manuelle de la configuration et renseignez les champs avec les valeurs suivantes :

• ACS URLs : correspond à la Callback URL (Assertion Consumer Service URL) depuis le portail Windsurf.
• Entity ID : correspond au SP Entity ID depuis le portail Windsurf.

5. Copiez l’Issuer ID depuis PingID dans la valeur IdP Entity ID du portail Windsurf.
6. Copiez la valeur Single Signon Service depuis PingID dans la valeur SSO URL du portail Windsurf.
7. Téléchargez le certificat de signature depuis PingID au format X509 PEM (.crt), ouvrez le fichier et copiez son contenu dans la valeur X509 Certificate du portail Windsurf.

8. Dans les mappages d’attributs, assurez-vous d’associer :

• saml_subject - Adresse e-mail
• firstName - Prénom
• lastName - Nom de famille

9. Ajoutez/modifiez toute autre règle et tout autre accès selon les besoins de votre configuration/organisation.
10. Activez la connexion SAML dans le portail Windsurf afin de pouvoir la tester.

11. Une fois votre test réussi, vous pouvez vous déconnecter. Vous pouvez désormais utiliser la connexion SSO en accédant à la page de votre équipe/organisation avec l’ID SSO que vous avez configuré à l’étape 3.