Parte 1: Criar aplicativo Enterprise no Microsoft Entra ID

1. No Microsoft Entra ID, clique em Add e depois em Enterprise Application.

2. Clique em Create your own application.

3. Nomeie seu aplicativo como Windsurf, selecione Integrate any other application you don’t find in the gallery e então clique em Create.

Parte 2: Configurar SAML e atributos de usuário no Microsoft Entra ID

4. No seu novo aplicativo Windsurf, clique em Set up single sign on e depois clique em SAML.
5. Clique em Edit em Basic SAML Configuration.
6. Mantenha esta aba do Entra ID aberta e abra uma nova aba para acessar as configurações de SSO do Windsurf Teams em https://windsurf.com/team/settings.
7. No formulário de configuração SAML do Microsoft Entra ID:
   • Identifier (Entity ID): copie o valor de SP Entity ID da página de configurações de SSO do Windsurf
   • Reply URL (Assertion Consumer Service URL): copie o valor de Callback URL da página de configurações de SSO do Windsurf
   • Clique em Save no topo
8. Configure os atributos de usuário para exibição correta do nome. No Microsoft Entra ID, em Attributes & Claims, clique em Edit.
9. Crie 2 novas declarações clicando em Add new claim para cada uma:
   • Primeira declaração: Name = firstName, Source attribute = user.givenname
   • Segunda declaração: Name = lastName, Source attribute = user.surname

Parte 3: Configurar as configurações de SSO no portal do Windsurf

10. Na página de configurações de SSO do Windsurf:
    • Pick your SSO ID: escolha um identificador exclusivo para o portal de login da sua equipe (isso não poderá ser alterado depois)
    • IdP Entity ID: copie o valor do Microsoft Entra ID em Set up Windsurf → Microsoft Entra Identifier
      A URL do IdP Entity ID deve terminar com uma barra / (por exemplo, https://sts.windows.net/{tenant-id}/). Se a URL não incluir a barra final, adicione-a manualmente.
    • SSO URL: copie o valor de Login URL do Microsoft Entra ID
    • X509 Certificate: baixe o SAML certificate (Base64) do Microsoft Entra ID, abra o arquivo e cole aqui o conteúdo de texto
11. No portal do Windsurf, clique em Enable Login with SAML e depois clique em Save.
12. Teste a configuração: clique em Test Login para verificar se a configuração de SSO está funcionando conforme esperado.

Configurar o aplicativo do IdP

• Single sign-on URL para https://auth.windsurf.com/__/auth/handler
• Audience URI (SP Entity ID) para www.codeium.com
• NameID format para EmailAddress
• Application username para Email

Registrar o Okta como um provedor SAML

• Abra https://windsurf.com/team/settings e clique em Configure SAML
• Copie o texto após ‘Issuer’ na página do aplicativo do Okta e cole em IdP Entity ID
• Copie o texto após ‘Sign on URL’ na página do aplicativo do Okta e cole em SSO URL
• Baixe o Signing Certificate e cole em X509 certificate
• Marque Enable Login with SAML e clique em Save
• Teste o login com o botão Test Login. Você deverá ver uma mensagem de sucesso:

Observações

Solução de problemas

Login com configuração SAML falhou: Firebase: Error (auth/operation-not-allowed)

Login com configuração SAML falhou: Firebase: SAML Response <Issuer> mismatch. (auth/invalid-credential)

Falha ao verificar a assinatura em samlresponse

-----BEGIN CERTIFICATE-----
value
------END CERTIFICATE------

• Acesso de administrador ao Microsoft Entra ID / Azure AD
• Acesso de administrador ao Windsurf
• Um aplicativo do Windsurf já existente no Entra ID (geralmente o mesmo usado pelo seu aplicativo de SSO atual)

Passo 1: Criar uma Função com Permissões SCIM

1. Acesse Windsurf Team Settings
2. Em “Other Settings”, clique em Configure ao lado de Role Management
3. Clique em Add Role e dê a ele o nome “SCIM Provisioning”
4. Adicione as permissões a seguir:
   • Team User Read
   • Team User Update
   • Team User Delete
5. Clique em Save

Passo 2: Navegue até o aplicativo Windsurf existente

Passo 3: Configurar provisionamento SCIM

Passo 4: Configurar o Provisionamento SCIM

NOT([IsSoftDeleted])

• Acesso de administrador ao Okta
• Acesso de administrador ao Windsurf
• Um aplicativo Windsurf já criado no Okta (normalmente a partir do seu aplicativo de SSO existente)

Etapa 1: Navegue até o aplicativo Windsurf existente

Etapa 2: Habilite o provisionamento SCIM

• https://windsurf.com/team/settings e vá para Service Key Configuration
• Clique em Configure, depois em Add Service Key e dê um nome à sua chave de API
• Copie a chave de API, volte para o Okta e cole em HTTP Header - Authorization

Etapa 3: Configure o provisionamento

Etapa 4: Configure o provisionamento de grupos (opcional)

Criar Grupo

curl -k -X POST https://server.codeium.com/scim/v2/Groups -d '{
"displayName": "<nome do grupo>",
"schemas": ["urn:ietf:params:scim:schemas:core:2.0:Group"]
}' -H "Authorization: Bearer <chave secreta da api>" -H "Content-Type: application/scim+json"

Adicionar Membros do Grupo

curl -X PATCH https://server.codeium.com/scim/v2/Groups/<nome do grupo> -d '{"schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
"Operations":[
{
"op": "add",
"path":"members",
"value": [{"value": "<email 1>"}, {"value": "<email 2>"}]
}]}' -H "Authorization: Bearer <chave secreta da api>" -H "Content-Type: application/scim+json"

Substituir Membros do Grupo

curl -X PATCH https://server.codeium.com/scim/v2/Groups/<nome do grupo> -d '{"schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
"Operations":[
{
"op": "replace",
"path":"members",
"value": [{"value": "<email 1>"}, {"value": "<email 2>"}]
}]}' -H "Authorization: Bearer <chave secreta da api>" -H "Content-Type: application/scim+json"

Excluir Grupo

curl -X DELETE https://server.codeium.com/scim/v2/Groups/<nome do grupo> -H "Authorization: Bearer <chave secreta da api>" -H "Content-Type: application/scim+json"

Listar Grupo

curl -X GET -H "Authorization: Bearer <chave secreta da api>" "https://server.codeium.com/scim/v2/Groups"

Listar Usuários de um Grupo

curl -X GET -H "Authorization: Bearer <chave secreta da api>" "https://server.codeium.com/scim/v2/Groups/<group_id>"

APIs do Usuário

curl -X PATCH \
  https://server.codeium.com/scim/v2/Users/<chave de api do usuário> \
  -H 'Content-Type: application/scim+json' \
  -H 'Authorization: Bearer <chave secreta de api>' \
  -d '{
    "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
    "Operations": [
      {
        "op": "replace",
        "path": "active",
        "value": false
      }
    ]
  }'

curl -X POST \
  https://server.codeium.com/scim/v2/Users \
  -H 'Content-Type: application/scim+json' \
  -H 'Authorization: Bearer <chave secreta da API>' \
  -d '{
    "schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
    "userName": "<email>",
    "displayName": "<full name>",
    "active": true,
}'

curl -X PATCH \
  'https://<enterprise portal url>/_route/api_server/scim/v2/Users/<user api key>' \
    -H 'Authorization: Bearer <service key>' \
    -H 'Content-Type: application/scim+json' \
    -d '{
      "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
      "Operations": [
        {
          "op": "Replace",
          "path": "displayName",
          "value": "<novo nome>"
        }
      ]
   }'

Criando Chave Secreta da API

Pré-requisitos

Configurar o Duo para o Windsurf

1. Acesse Applications e adicione um provedor de serviço Generic SAML

2. Acesse SSO em Team Settings

3. Ao habilitar o SAML pela primeira vez, será necessário configurar seu SSO ID. Você não poderá alterá-lo depois. Recomenda-se defini-lo como o nome da sua organização ou equipe, usando apenas caracteres alfanuméricos.
4. Copie o valor de Entity ID no portal do Duo e cole no campo IdP Entity ID no portal do Windsurf.
5. Copie o valor de Single Sign-On URL no portal do Duo e cole no campo SSO URL no portal do Windsurf.
6. Copie o valor do certificado no portal do Duo e cole no campo X509 Certificate no portal do Windsurf.

7. Copie o valor de SP Identity ID no portal do Windsurf e cole no campo Entity ID no portal do Duo.
8. Copie o Callback URL (Assertion Consumer Service URL) no portal do Windsurf e cole no campo Assertion Consumer Service (ACS) URL no portal do Duo.
9. No portal do Duo, configure as declarações de atributos da seguinte forma:

10. Habilite o login SAML no portal do Windsurf para poder testá-lo.

11. Depois que o teste for concluído com sucesso, você pode fazer logout. Agora você pode usar o login por SSO ao acessar a página da sua equipe/organização com o SSO ID configurado na etapa 3.

Pré-requisitos

Configurar o PingID para o Windsurf

1. Vá até Applications e adicione o Windsurf como um SAML Application

2. Vá até SSO em Team Settings

3. Ao habilitar o SAML pela primeira vez, será necessário definir seu SSO ID. Você não poderá alterá-lo depois.

4. No PingID, escolha inserir a configuração manualmente e preencha os campos com os seguintes valores:

• ACS URLs — é o Callback URL (Assertion Consumer Service URL) do portal do Windsurf.
• Entity ID — é o SP Entity ID do portal do Windsurf.

5. Copie o Issuer ID do PingID para o campo IdP Entity ID no portal do Windsurf.
6. Copie o valor Single Signon Service do PingID para o campo SSO URL no portal do Windsurf.
7. Baixe o Signing Certificate do PingID como X509 PEM (.crt), abra o arquivo e copie seu conteúdo para o campo X509 Certificate no portal do Windsurf.

8. Em attribute mappings, garanta o mapeamento de:

• saml_subject — Email Address
• firstName — Given Name
• lastName — Family Name

9. Adicione/edite quaisquer outras políticas e acessos conforme exigido pela sua configuração/organização.
10. Habilite o login SAML no portal do Windsurf para poder testá-lo.

11. Quando o teste for concluído com sucesso, você poderá fazer logout. Agora você pode usar o login com SSO ao acessar a página da sua equipe/organização com o SSO ID configurado na etapa 3.