​

Partie 1 : Créer une application Enterprise dans Microsoft Entra ID

1. Dans Microsoft Entra ID, cliquez sur Add, puis Enterprise Application.

2. Cliquez sur Create your own application.

3. Nommez votre application Windsurf, sélectionnez Integrate any other application you don’t find in the gallery, puis cliquez sur Create.

​

Partie 2 : Configurer SAML et les attributs utilisateur dans Microsoft Entra ID

4. Dans votre nouvelle application Windsurf, cliquez sur Set up single sign on, puis cliquez sur SAML.
5. Cliquez sur Edit sous Basic SAML Configuration.
6. Gardez cet onglet Entra ID ouvert et ouvrez un nouvel onglet pour accéder aux paramètres SSO de Windsurf Teams à l’adresse https://windsurf.com/team/settings.
7. Dans le formulaire de configuration SAML de Microsoft Entra ID :
   • Identifier (Entity ID) : Copiez la valeur SP Entity ID depuis la page des paramètres SSO de Windsurf
   • Reply URL (Assertion Consumer Service URL) : Copiez la valeur Callback URL depuis la page des paramètres SSO de Windsurf
   • Cliquez sur Save en haut
8. Configurez les attributs utilisateur pour un affichage correct des noms. Dans Microsoft Entra ID, sous Attributes & Claims, cliquez sur Edit.
9. Créez 2 nouvelles revendications en cliquant sur Add new claim pour chacune :
   • Première revendication : Name = firstName, Source attribute = user.givenname
   • Seconde revendication : Name = lastName, Source attribute = user.surname

​

Partie 3 : Configurer les paramètres SSO dans le portail Windsurf

10. Sur la page des paramètres SSO de Windsurf :
    • Pick your SSO ID : Choisissez un identifiant unique pour le portail de connexion de votre équipe (cela ne pourra pas être modifié ultérieurement)
    • IdP Entity ID : Copiez la valeur depuis Microsoft Entra ID sous Set up Windsurf → Microsoft Entra Identifier
    • SSO URL : Copiez la valeur Login URL depuis Microsoft Entra ID
    • X509 Certificate : Téléchargez le SAML certificate (Base64) depuis Microsoft Entra ID, ouvrez le fichier, puis collez le contenu texte ici
11. Dans le portail Windsurf, cliquez sur Enable Login with SAML, puis cliquez sur Save.
12. Testez la configuration : Cliquez sur Test Login pour vérifier que la configuration SSO fonctionne comme prévu.

​

Configurer l’application IdP

• Single sign-on URL sur https://auth.windsurf.com/__/auth/handler
• Audience URI (SP Entity ID) sur www.codeium.com
• NameID format sur EmailAddress
• Application username sur Email

​

Enregistrer Okta comme fournisseur SAML

• Ouvrez https://windsurf.com/team/settings, puis cliquez sur Configure SAML
• Copiez le texte après ‘Issuer’ dans la page d’application Okta et collez-le dans IdP Entity ID
• Copiez le texte après ‘Sign on URL’ dans la page d’application Okta et collez-le dans SSO URL
• Téléchargez le Signing Certificate et collez-le dans X509 certificate
• Cochez Enable Login with SAML puis cliquez sur Save
• Testez la connexion avec le bouton Test Login. Vous devriez voir un message de réussite :

​

Mises en garde

​

Dépannage

​

Échec de la configuration de connexion avec SAML : Firebase : Error (auth/operation-not-allowed)

​

Échec de la configuration de connexion avec SAML : Firebase : SAML Response <Issuer> mismatch. (auth/invalid-credential)

​

Échec de la vérification de la signature dans samlresponse

-----BEGIN CERTIFICATE-----
valeur
------END CERTIFICATE------

• Accès administrateur à Microsoft Entra ID/Azure AD
• Accès administrateur à Windsurf
• Une application Windsurf existante dans Entra ID (généralement issue de votre application SSO existante)

​

Étape 1 : Créer un rôle avec les autorisations SCIM

1. Accédez à Windsurf Team Settings
2. Sous « Other Settings », cliquez sur Configure à côté de Role Management
3. Cliquez sur Add Role et nommez-le « SCIM Provisioning »
4. Ajoutez les permissions suivantes :
   • Lecture d’utilisateur de l’équipe
   • Mise à jour d’utilisateur de l’équipe
   • Suppression d’utilisateur de l’équipe
5. Cliquez sur Enregistrer

​

Étape 2 : Accéder à l’application Windsurf existante

​

Étape 3 : Configuration du provisionnement SCIM (norme de gestion des identités et des groupes)

​

Étape 4 : Configurer le provisionnement SCIM

NOT([IsSoftDeleted])

• Accès administrateur à Okta
• Accès administrateur à Windsurf
• Une application Windsurf existante sur Okta (généralement issue de votre application SSO existante)

​

Étape 1 : Accéder à l’application Windsurf existante

​

Étape 2 : Activer le provisioning SCIM

• https://windsurf.com/team/settings puis accéder à la configuration de la clé de service
• Cliquez sur Configure, puis Add Service Key, et donnez un nom à votre clé d’API
• Copiez la clé d’API, retournez dans Okta et collez-la dans HTTP Header - Authorization

​

Étape 3 : Configurer le provisioning

​

Étape 4 : Configurer le provisioning des groupes (facultatif)

​

Créer un groupe

curl -k -X POST https://server.codeium.com/scim/v2/Groups -d '{
"displayName": "<nom du groupe>",
"schemas": ["urn:ietf:params:scim:schemas:core:2.0:Group"]
}' -H "Authorization: Bearer <clé secrète API>" -H "Content-Type: application/scim+json"

​

Ajouter des membres au groupe

curl -X PATCH https://server.codeium.com/scim/v2/Groups/<nom du groupe> -d '{"schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
"Operations":[
{
"op": "add",
"path":"members",
"value": [{"value": "<email 1>"}, {"value": "<email 2>"}]
}]}' -H "Authorization: Bearer <clé secrète api>" -H "Content-Type: application/scim+json"

​

Remplacer les membres du groupe

curl -X PATCH https://server.codeium.com/scim/v2/Groups/<nom du groupe> -d '{"schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
"Operations":[
{
"op": "replace",
"path":"members",
"value": [{"value": "<email 1>"}, {"value": "<email 2>"}]
}]}' -H "Authorization: Bearer <clé secrète api>" -H "Content-Type: application/scim+json"

​

Supprimer le groupe

curl -X DELETE https://server.codeium.com/scim/v2/Groups/<nom du groupe> -H "Authorization: Bearer <clé secrète d'API>" -H "Content-Type: application/scim+json"

​

Groupe de Listes

curl -X GET -H "Authorization: Bearer <clé secrète API>" "https://server.codeium.com/scim/v2/Groups"

​

Lister les utilisateurs d’un groupe

curl -X GET -H "Authorization: Bearer <clé secrète api>" "https://server.codeium.com/scim/v2/Groups/<group_id>"

​

APIs utilisateur

curl -X PATCH \
  https://server.codeium.com/scim/v2/Users/<clé API utilisateur> \
  -H 'Content-Type: application/scim+json' \
  -H 'Authorization: Bearer <clé secrète API>' \
  -d '{
    "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
    "Operations": [
      {
        "op": "replace",
        "path": "active",
        "value": false
      }
    ]
  }'

curl -X POST \
  https://server.codeium.com/scim/v2/Users \
  -H 'Content-Type: application/scim+json' \
  -H 'Authorization: Bearer <clé secrète API>' \
  -d '{
    "schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
    "userName": "<email>",
    "displayName": "<nom complet>",
    "active": true,
}'

curl -X PATCH \
  'https://<enterprise portal url>/_route/api_server/scim/v2/Users/<user api key>' \
    -H 'Authorization: Bearer <clé de service>' \
    -H 'Content-Type: application/scim+json' \
    -d '{
      "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
      "Operations": [
        {
          "op": "Replace",
          "path": "displayName",
          "value": "<nouveau nom>"
        }
      ]
   }'

​

Création d’une clé secrète d’API

​

Prérequis

​

Configurer Duo pour Windsurf

1. Accédez à Applications et ajoutez un fournisseur de services SAML générique.

2. Accédez à SSO dans Team Settings.

3. Lors de l’activation de SAML pour la première fois, vous devrez définir votre ID de SSO. Vous ne pourrez pas le modifier par la suite. Il est recommandé d’utiliser le nom de votre organisation ou de votre équipe, uniquement avec des caractères alphanumériques.
4. Copiez la valeur Entity ID depuis le portail Duo et collez-la dans le champ IdP Entity ID du portail Windsurf.
5. Copiez la valeur Single Sign-On URL depuis le portail Duo et collez-la dans le champ SSO URL du portail Windsurf.
6. Copiez la valeur du certificat depuis le portail Duo et collez-la dans le champ X509 Certificate du portail Windsurf.

7. Copiez la valeur SP Identity ID depuis le portail Windsurf et collez-la dans le champ Entity ID du portail Duo.
8. Copiez la Callback URL (Assertion Consumer Service URL) depuis le portail Windsurf et collez-la dans le champ Assertion Consumer Service (ACS) URL du portail Duo.
9. Dans le portail Duo, configurez les déclarations d’attributs comme suit :

10. Activez la connexion SAML dans le portail Windsurf pour pouvoir la tester.

11. Une fois votre test conclu avec succès, vous pouvez vous déconnecter. Vous pouvez désormais utiliser la connexion SSO en accédant à la page de votre équipe/organisation avec l’ID de SSO que vous avez configuré à l’étape 3.

​

Prérequis

​

Configurer PingID pour Windsurf

1. Accédez à Applications et ajoutez Windsurf comme application SAML.

2. Accédez à SSO dans Team Settings.

3. Lors de la première activation de SAML, vous devrez configurer votre ID SSO. Vous ne pourrez plus le modifier par la suite.

4. Dans PingID, choisissez la saisie manuelle de la configuration et remplissez les champs avec les valeurs suivantes :

• ACS URLs — correspond à la Callback URL (Assertion Consumer Service URL) depuis le portail Windsurf.
• Entity ID — correspond à la valeur SP Entity ID depuis le portail Windsurf.

5. Copiez l’Issuer ID depuis PingID dans la valeur IdP Entity ID du portail Windsurf.
6. Copiez la valeur Single Signon Service depuis PingID dans la valeur SSO URL du portail Windsurf.
7. Téléchargez le certificat de signature depuis PingID au format X509 PEM (.crt), ouvrez le fichier et copiez son contenu dans le champ X509 Certificate du portail Windsurf.

8. Dans les correspondances d’attributs (attribute mappings), veillez à mapper :

• saml_subject — Adresse e-mail
• firstName — Prénom
• lastName — Nom de famille

9. Ajoutez/modifiez toute autre règle et tout autre accès selon les besoins de votre configuration/organisation.
10. Activez la connexion SAML dans le portail Windsurf afin de pouvoir la tester.

11. Une fois le test réussi, vous pouvez vous déconnecter. Vous pouvez désormais utiliser la connexion SSO en accédant à la page de votre équipe/organisation avec l’ID SSO que vous avez configuré à l’étape 3.