Okta を使用して Enterprise アカウントの SAML シングルサインオンおよび SCIM を設定する

Okta での SAML と SCIM について

Enterprise アカウントがアイデンティティプロバイダ (IdP) である Okta を使う SAML SSO と SCIM を使用するように設定すれば、GitHub の Enterprise アカウントや 他の Web アプリケーションへのアクセスを 1 つの集中インターフェースから制御することができます。

SAML SSO は、リポジトリや Issue、プルリクエストといった Enterprise アカウントのリソースに対するアクセスを制御し、保護します。 SCIM は、Okta で変更を行ったとき、Enterprise アカウントによって所有されている Organization に対するメンバーのアクセスを自動的に追加、管理、削除します。 詳細は、「Enterprise アカウントでセキュリティ設定を強制する」を参照してください。

SCIM を有効にすると、Okta で GitHub Enterprise Cloud アプリケーションを割り当てる任意のユーザが次のプロビジョニング機能を使えるようになります。

必要な環境

You must use the "Classic UI" in Okta. 詳しい情報については、Okta のブログで「Organized Navigation」を参照してください。

Okta で GitHub Enterprise Cloud アプリケーションを追加する

1. In Okta, in the upper-right corner, click Admin.
   
2. Oktaのダッシュボードで、Applications（アプリケーション）をクリックしてください。
   
3. [Add application] をクリックします。
   
4. 検索フィールドに "GitHub Enterprise Cloud" と入力します。
   
5. [GitHub Enterprise Cloud - Enterprise Accounts] をクリックします。
6. [Add] をクリックします。
7. オプションで、[Application label] の右にアプリケーションのわかりやすい名前を入力します。
   
8. [GitHub Enterprises] の右に、Enterprise アカウントの名前を入力します。 たとえば、Enterprise アカウントの URL が https://github.com/enterprises/octo-corp の場合は、octo-corp と入力します。
   
9. [Done] をクリックします。

SAML SSO の有効化とテスト

1. In Okta, in the upper-right corner, click Admin.
   
2. Oktaのダッシュボードで、Applications（アプリケーション）をクリックしてください。
   
3. Click the label for the application you created for your enterprise account.
4. Assign the application to your user in Okta. For more information, see Assign applications to users in the Okta documentation.
5. Under the name of the application, click Sign on.
   
6. [Settings] の右にある [Edit] をクリックします。
7. [Configured SAML Attributes] で、[groups] の右にあるドロップダウンメニューを使用して [Matches regex] を選択します。
8. ドロップダウンメニューの右に .*.* と入力します。
9. [Save] をクリックします。
10. [SIGN ON METHODS] で、[View Setup Instructions] をクリックします。
    
11. 設定手順の情報を使用して、Enterprise アカウントの SAML を有効にします。 詳しい情報については、「Enterprise アカウントで Organization 用に SAML シングルサインオンを有効にする」参照してください。

Okta でグループを作成する

1. Okta で、Enterprise アカウントが所有する各 Organization に合わせてグループを作成します。 各グループの名前は、Organization のアカウント名 (Organization の表示名ではく) に一致する必要があります。 たとえば、Organization の URL が https://github.com/octo-org の場合は、グループに octo-org という名前をつけます。
2. Enterprise アカウントに作成したアプリケーションを各グループに割り当てます。 GitHub が、ユーザごとに groups データをすべて受け取ります。
3. ユーザを所属させたい Organization に基づいて、ユーザをグループに追加します。

Okta で SCIM を使ってユーザのプロビジョニングを設定する

If you're participating in the private beta for user provisioning for enterprise accounts, when you enable SAML for your enterprise account, SCIM provisioning and deprovisioning is enabled by default in GitHub. You can use provisioning to manage organization membership by configuring SCIM in your IdP.

Okta で SCIM を使ってユーザのプロビジョニングを設定するには、OAuth アプリケーションを認可して、Okta が GitHub への認証に使用するトークンを作成する必要があります。 Okta と GitHub が連携して、okta-oauth アプリケーションが作成されます。

1. In Okta, in the upper-right corner, click Admin.
   
2. Oktaのダッシュボードで、Applications（アプリケーション）をクリックしてください。
   
3. Click the label for the application you created for your enterprise account.
4. Under the name of the application, click Provisioning.
   
5. [Configure API Integration] をクリックします。
   
6. [Enable API integration] を選択します。
   
7. [Authenticate with Github Enterprise Cloud - Enterprise Accounts] をクリックします。
   
8. Enterprise アカウント名の右にある [Grant] をクリックします。
9. [Authorize okta-oauth] をクリックします。
10. [Save] をクリックします。
    
11. [Provisioning to App] の右にある [Edit] をクリックします。
    
12. [Create Users] の右にある [Enable] を選択します。
    
13. [Update User Attributes] の右にある [Enable] を選択します。
    
14. [Deactivate Users] の右にある [Enable] を選択します。
    
15. [Save] をクリックします。
    
16. アプリケーション名の下で [ Push Groups] をクリックします。
    
17. [Push Groups] ドロップダウンメニューを使用して、[Find groups by name] を選択します。
    
18. ユーザプロビジョニングを有効にしたい Enterprise アカウントで各 Organization のプッシュグループを追加します。
    • [PUSH GROUPS BY NAME] で、Enterprise アカウントが所有する Organization に対応するグループを検索し、見つかったグループを検索結果でクリックします。
    • グループ名の右にある [Match results & push action] ドロップダウンメニューで、[Create Group] が選択されていることを確認します。
      
    • [Save] をクリックします。
    • Organization ごとに繰り返します。
19. アプリケーション名の下で [ Assignments] をクリックします。
    
20. [Provision users] と表示される場合は、グループのプッシュグループを追加する前に Okta グループのメンバーだったユーザは、プロビジョニングされていません。 そのようなユーザの GitHub に SCIM を送信するには、[Provision users] をクリックします。

SAML ユーザプロビジョニングを有効にする

SCIM のプロビジョニングとプロビジョニング解除を有効にすると、オプションで SAML のユーザプロビジョニングおよびプロビジョニング解除を有効にできます。

1. In the top-right corner of GitHub, click your profile photo, then click Your enterprises.

   

2. In the list of enterprises, click the enterprise you want to view.

   

3. Enterpriseアカウントのサイドバーで、 Settings（設定）をクリックしてください。

   

4. 左のサイドバーでSecurity（セキュリティ）をクリックしてください。

   

5. [SAML User Provisioning] で、[Enable SAML user provisioning] を選択します。

   

6. [Save] をクリックします。

7. オプションで、SAML ユーザプロビジョニングを有効にします。

   • [Enable SAML user deprovisioning] を選択して [Save] をクリックします。
     
   • 警告を読んでから、[Enable SAML deprovisioning] をクリックします。