Konfigurieren von Authentifizierung und Bereitstellung mit PingFederate

Wenn du einen Identitätsanbieter für IAM in GitHub Enterprise Server, SAML-SSO-Steuerungen und sicheren Zugriff auf Unternehmensressourcen wie Repositorys, Issues und Pull Requests verwendest, werden von SCIM automatisch Benutzerkonten erstellt und der Zugriff auf dein Unternehmen verwaltet, wenn du Änderungen an deinem Identitätsanbieter vornimmst. Außerdem kannst du Teams in GitHub mit Gruppen in deinem Identitätsanbieter synchronisieren. Weitere Informationen findest du unter Informationen zu Benutzerbereitstellung mit SCIM auf GitHub Enterprise Server.

Übersicht

Dieser Leitfaden hilft dir beim Einrichten von SAML-Authentifizierung und SCIM-Bereitstellung für GitHub in PingFederate.

Bevor Sie beginnen, beachten Sie bitte Folgendes:

• Die Verwendung von PingFederate als IDP für GitHub Enterprise Server befindet sich in der beta. Wenden Sie sich an Ihr Kontoteam, um Feedback zu geben.
• Dieses Handbuch basiert auf PingFederate, Version 12.1. Anweisungen können für andere Versionen variieren.
• Dieses Handbuch enthält die minimalen Schritte zum Konfigurieren eines funktionierenden Setups. Da Ihr Identitätsverzeichnis möglicherweise anders mit PingFederate verbunden ist, müssen Sie die richtigen Datenattribute für SAML und SCIM basierend auf den verfügbaren Daten aus dem Sicherungsdatenspeicher auswählen.

Voraussetzungen

Die allgemeinen Voraussetzungen für die Verwendung von SCIM für GitHub Enterprise Server finden Anwendung. Weitere Informationen findest du im Abschnitt „Voraussetzungen“ unter Konfigurieren der SCIM-Bereitstellung zum Verwalten von Benutzern.

Außerdem:

• Um SCIM zu konfigurieren, musst du die Schritte 1 bis 4 in Konfigurieren der SCIM-Bereitstellung zum Verwalten von Benutzern abgeschlossen haben.
  • Sie benötigen die personal access token (classic), die für den Setup-Benutzer erstellt wurden, um Anforderungen von PingFederate zu authentifizieren.
• Sie müssen den „GitHub EMU Connector“ auf PingFederate installiert haben. Informationen zum Herunterladen und Installieren des Connectors finden Sie unter Installieren der Bereitstellung in der PingIdentity-Dokumentation.
• Du musst einen LDAP-Server als Sicherungsdatenspeicher verwenden, um mit SCIM Benutzer bereitzustellen.
• Eventuell musst du die Firewall in PingFederate konfigurieren, um ausgehende Verbindungen mit dem https://HOSTNAME/api/v3/scim/v2-Endpunkt auf deiner Instanz von GitHub Enterprise Server zuzulassen.
• Der „Bereitstellungsmodus“ von PingFederate muss auf einen Wert festgelegt werden, der die SCIM-Bereitstellung zulässt. Weitere Informationen finden Sie im Abschnitt „Bevor Sie beginnen“ im Handbuch für die Konfiguration von Einstellungen für ausgehende Bereitstellungen von PingIdentity.
• Während dieses Verfahrens müssen Sie ein X509-Zertifikat in PingFederate hochladen. Sie können das Zertifikat erstellen und speichern, bevor Sie fortfahren. Außerdem benötigen Sie das Abfragekennwort für das Zertifikat. Weitere Informationen findest du im Abschnitt Beispiel für das Erstellen eines X509-Zertifikats weiter unten in diesem Artikel.

1. SAML konfigurieren

In diesem Abschnitt erstellen Sie einen SAML-Connector in PingFederate, richten eine LDAP-IdP-Adapter-Instance ein und verwalten die SAML-Ausgabe von Ihrem IdP-Adapter.

1. Erstellen eines SAML-Adapters
2. Einrichten einer LDAP-IdP-Adapter-Instance
3. Verwalten der SAML-Ausgabe von Ihrem IdP-Adapter

Stelle vor Beginn dieses Abschnitts sicher, dass du Schritte 1 und 2 in Konfigurieren der SCIM-Bereitstellung zum Verwalten von Benutzern befolgt hast.

Erstellen eines SAML-Adapters

1. Öffnen Sie die Verwaltungskonsole von PingFederate.

2. Klicken Sie in der Kopfzeile auf Anwendungen und klicken Sie dann in der linken Randleiste auf SP-Verbindungen.

3. Klicken Sie auf Vorlage für diese Verbindung verwenden und wählen Sie dann im Dropdownmenü „Verbindungsvorlage“ den Eintrag „GitHub EMU-Konnektor“ aus.

   Note

   Wenn diese Option nicht angezeigt wird, wurde der GitHub EMU-Konnektor nicht installiert. Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren Ping-Vertreter.

4. Lade eine XML-Datei mit SAML-Metadaten für dein Unternehmen hoch, um einige Felder in der PingFederate-Konfiguration aufzufüllen.

   1. Melde dich in einer neuen Registerkarte als integrierter Setupbenutzer bei GitHub an. Navigiere zu deiner SAML-Metadatenseite unter https://HOSTNAME/saml/metadata.
   2. Laden Sie die Seite als XML-Datei herunter.

5. Lade auf der PingFederate-Seite „SP Connection“ die Datei aus dem vorherigen Schritt als Metadatendatei hoch. Stelle sicher, dass dies innerhalb von 5 Minuten nach dem Herunterladen der Datei geschieht.

6. Wechseln Sie zur Registerkarte „Verbindungstyp“.

7. Wählen Sie Browser-SSO-Profile aus, und deaktivieren Sie die Auswahl der ausgehenden Bereitstellung (dies wird später aktiviert).

8. Klicken Sie auf Weiter.

9. Stellen Sie auf der Registerkarte „Verbindungsoptionen“ sicher, dass nur Browser-SSO ausgewählt ist.

10. Klicken Sie auf Weiter.

11. Geben Sie auf der Registerkarte „Allgemeine Informationen“ die folgenden Details ein.

    • „Partner’s Entity ID“: deine GitHub-Host-URL (https://HOSTNAME.com)
    • „Verbindungsname“: Ein beschreibender Name für Ihre SP-Verbindung in PingFederate
    • „Base URL“: deine GitHub-Host-URL (https://HOSTNAME.com)
    • „Transaktionsprotokollierung“: Standard
    • Alle anderen Felder können leer gelassen werden.

12. Klicken Sie auf Weiter.

13. Klicken Sie auf Browser-SSO konfigurieren.

14. Klicken Sie auf Assertionserstellung konfigurieren.

15. Klicken Sie auf der Registerkarte „Authentifizierungsquellenzuordnung“ auf Neue Adapterinstanz zuordnen.

16. Klicken Sie auf der Registerkarte „Adapter-Instance“ auf Adapter-Instances verwalten.

17. Klicken Sie auf Neue Instance erstellen.

Einrichten einer LDAP-IdP-Adapter-Instance

1. Geben Sie auf der Seite „Adapter-Instance erstellen“ in PingFederate auf der Registerkarte „Typ“ die folgenden Details ein.

   • „Instance-Name“: Ein Name zur Identifizierung der Instanz, z. B. pfghadapter
   • „Instanz-ID“: Eine ID für die Instance, z. B. pfghadapter
   • „Type“: HTML-Formular-IDP-Adapter
   • „Übergeordnete Instanz“: Keine

2. Klicken Sie auf Weiter.

3. Klicken Sie auf der Registerkarte „IDP-Adapter“ unten auf der Seite auf Validierungssteuerelemente von Passwortanmeldedaten.

4. Klicken Sie auf Neue Instance erstellen.

5. Geben Sie auf der Registerkarte „Typ“ die folgenden Details ein.

   • „Instance-Name“: Ein Name zur Identifizierung der Instanz, z. B. pfghdocscv
   • „Instanz-ID“: Eine ID für die Instance, z. B. pfghdocscv
   • „Type“: Validierungssteuerelemente von Passwortanmeldedaten des LDAP-Nutzernamens
   • „Übergeordnete Instanz“: Keine

6. Klicken Sie auf Weiter.

7. Klicken Sie auf der Registerkarte „Instance-Konfiguration“ auf Datenspeicher verwalten.

8. Klicken Sie auf Neuen Datenspeicher hinzufügen.

9. Geben Sie auf der Registerkarte „Datenspeichertyp“ die folgenden Details ein.

   • „Instance-Name": Beliebiger eindeutiger Wert, z. B. pfghdocsds
   • „Type“: Verzeichnis (LDAP)
   • „Maskenwerte im Protokoll“: Nicht ausgewählt

10. Klicken Sie auf Weiter.

11. Konfigurieren Sie auf der Registerkarte „LDAP-Konfiguration“ Ihre LDAP-Serverdetails.

12. Klicken Sie auf Verbindung testen. Es sollte „Konnektivitätstest war erfolgreich"“ angezeigt werden.

13. Klicke unten auf der Seite auf Advanced.

14. Klicken Sie auf die Registerkarte „LDAP-Binärattribute“, und fügen Sie guidAttribute und objectGUID als Attribute hinzu.

15. Klicken Sie auf Fertig. Sie sollten wieder auf der Registerkarte „LDAP-Konfiguration“ sein.

16. Klicken Sie auf Weiter und dann auf Speichern.

17. Klicken Sie auf der Registerkarte „Datenspeicher verwalten“ auf Fertig.

18. Geben Sie auf der Registerkarte „Instance-Konfiguration“ die folgenden Details ein.

    • „LDAP-Datenspeicher“: Der Name des oben erstellten Datenspeichers
    • „Suchbasis“: Der Speicherort im Verzeichnis, an dem LDAP-Suchvorgänge beginnen sollen
    • „Suchfilter“: Ein Filter, der sicherstellt, dass der Benutzername, den der Benutzer bei der Anmeldung eingibt, mit einem Feld im LDAP-Server übereinstimmt (z. B.: sAMAccountName=${username})
    • „Suchbereich“: Unterstruktur
    • „Abgleich zwischen Groß- und Kleinschreibung“: Ausgewählt

19. Klicken Sie erneut auf Weiter, noch einmal auf Weiter und klicken Sie dann auf Speichern.

Verwalten der SAML-Ausgabe von Ihrem IdP-Adapter

1. Klicken Sie auf der Seite „Validierungssteuerelement der Passwortanmeldedaten verwalten“ auf Fertig.

2. Geben Sie auf der Registerkarte „IDP-Adapter“ die folgenden Daten ein.

   • „Instance dees Validierungssteuerelements der Passwortanmeldedaten“: Der Name der oben erstellten Validator-Instance (z. B. pfghdocscv). Klicken Sie auf Aktualisieren, um ihre Auswahl abzuschließen.
   • Alle anderen Felder können als Standard festgelegt oder an Ihre Anforderungen geändert werden.

3. Klicken Sie auf Weiter und dann erneut auf Weiter.

4. Geben Sie auf der Registerkarte „Adapterattribute“ die folgenden Details ein.

   • „Schlüsselattribut des individuellen Benutzers“: username

   • Wählen Sie neben dem username-Attribut „Pseudonym“ aus.

   Note

   Dieser Schritt ist wichtig. Mit dem Adapterattribut wird ein Benutzer während der SCIM-Bereitstellung in GitHub eindeutig bezeichnet.

5. Klicken Sie auf Weiter und dann erneut auf Weiter.

6. Überprüfen Sie Ihre Einstellungen auf der Übersichtsseite und klicken Sie dann auf Speichern.

7. Auf der Registerkarte „IdP-Adapter“ sollte der soeben erstellte Adapter angezeigt werden. Klicken Sie auf Fertig.

8. Wählen Sie auf der Registerkarte „Adapter-Instance“ im Dropdownmenü „Adapter-Instance“ den soeben erstellten Adapter aus.

9. Klicken Sie auf Weiter.

10. Wählen Sie auf der Registerkarte „Zuordnungsmethode“ Nur die Adaptervertragswerte in der SAML Assertion verwenden aus (andere Auswahlen funktionieren möglicherweise, wurden aber nicht bestätigt).

11. Klicken Sie auf Weiter.

12. Ordnen Sie auf der Registerkarte „Attributvertragserfüllung“ SAML_SUBJECT „Adapter“ als Quelle und username als Wert zu.

    Note

    Dieser Schritt ist wichtig. Das normalisierte SAML_SUBJECT muss mit den normalisierten Benutzernamen von Benutzern übereinstimmen, die von SCIM bereitgestellt werden.

13. Klicken Sie erneut auf Weiter, noch einmal auf Weiter und klicken Sie dann auf Fertig.

14. Sie sollten wieder auf der Registerkarte „Authentifizierungsquellenzuordnung“ sein, und der Abschnitt „Adapter-Instance-Name“ sollte die soeben erstellte Adapter-Instance enthalten.

15. Klicken Sie auf Weiter.

16. Klicke auf der Registerkarte „Protocol Settings“ auf Configure Protocol Settings.

17. Füge als „Assertion Consumer Service URL“ eine Zeile mit den folgenden Informationen hinzu:

    • „Default“ ausgewählt
    • „Index“: 0
    • „Binding“: POST
    • „Endpoint URL“: HOSTNAME/saml/consume

18. Klicken Sie auf Weiter.

19. Stelle sicher, dass auf der Registerkarte „Allowable SAML Bindings“ nur die Optionen „POST“ und „REDIRECT“ ausgewählt sind.

20. Klicken Sie auf Weiter.

21. Stelle auf der Seite „Signature Policy“ sicher, dass nur „SIGN RESPONSE AS REQUIRED“ ausgewählt ist.

22. Klicken Sie auf Weiter.

23. Stelle sicher, dass auf der Registerkarte „Encryption Policy“ die Option „NONE“ ausgewählt ist.

24. Klicken Sie auf Weiter.

25. Klicken Sie auf Speichern.

26. Klicken Sie auf Weiter und Fertig, bis Sie die Registerkarte „Anmeldedaten“ erreicht haben.

27. Klicken Sie auf der Registerkarte „Anmeldedaten“ auf Anmeldedaten konfigurieren, und klicken Sie dann auf Zertifikate verwalten.

28. Klicke auf der Seite „Zertifikatverwaltung“ auf Import, und lade dann ein X509-Zertifikat hoch. Hilfe findest du im Abschnitt Beispiel für das Erstellen eines X509-Zertifikats.

29. Verwenden Sie für das „Passwort“ das Abfragepasswort für das Zertifikat.

30. Klicken Sie auf Weiter und dann auf Speichern.

31. Auf der Registerkarte „Zertifikatverwaltung“ sollte das soeben importierte Zertifikat angezeigt werden. Klicken Sie auf Fertig.

32. Auf der Registerkarte „Einstellungen für digitale Signaturen“:

    • Wählen Sie das soeben erstellte Zertifikat für das „Signaturzertifikat“ aus.
    • Sie können das sekundäre Zertifikat leer lassen und das Kontrollkästchen „Zertifikat in die Signatur einschließen“ deaktiviert lassen.
    • Der Signaturalgorithmus sollte „RSA SHA256“ sein.

33. Klicken Sie auf Weiter, dann auf Fertig und dann auf Weiter.

34. Aktivieren Sie auf der Registerkarte „Zusammenfassung“ den Umschalter für „SSO-Anwendungsendpunkt“.

35. Klicken Sie auf Speichern. Sie sollten zur Liste der SP-Verbindungen zurückkehren, in der die neu erstellte SP-Verbindung angezeigt werden soll.

Sammeln von Informationen für Ihre SAML-Konfiguration

Du benötigst weitere Informationen von PingFederate, um SAML in GitHub zu konfigurieren.

1. Klicken Sie auf der Seite „SP Connections“ in der Zeile für die neue Verbindung auf Aktion auswählen und dann auf Metadaten exportieren.
2. Wählen Sie auf der Registerkarte „Metadatensignatur“ in der Zeile für Ihre neue Verbindung das oben erstellte Signaturzertifikat aus. Klicken Sie zum Herunterladen des Zertifikats auf Weiter und dann auf Exportieren.
3. Klicken Sie in PingFederate auf System in der Kopfzeile und dann auf Server und auf Protokolleinstellungen. Überprüfen Sie, ob SAML 2.0 ENTITY ID definiert ist. Notiere dir diese, da du sie für das Feld „Issuer“ in den SAML-Einstellungen von GitHub benötigst.
4. Öffnen Sie die heruntergeladene Metadatendatei und halten Sie sie für die nächsten Schritte bereit.

Konfigurieren von GitHub

1. Melde dich in GitHub als Benutzer mit Zugriff auf die Verwaltungskonsole an.

2. Aktiviere SAML in den Unternehmenseinstellungen. Weitere Informationen findest du unter Konfigurieren von SAML Single Sign-On für dein Unternehmen.

3. Gib die folgenden Werte aus der SAML-Metadatendatei aus dem vorherigen Abschnitt ein.

   • Verwenden Sie für die URL für das Single Sign-On den location-Wert des <md: SingleSignOnService>-Felds. Dies sollte eine URL sein, die auf /idp/SSO.saml2 endet.
   • Verwenden Sie für den „Aussteller“ den entityId-Wert des <md: EntityDescriptor>-Felds (eine URL).

4. Laden Sie für das „Überprüfungszertifikat“ die zuvor erstellte X509-Zertifikatdatei hoch.

5. Klicken Sie auf Save settings (Einstellungen speichern).

2. SCIM konfigurieren

In diesem Abschnitt konfigurieren Sie SCIM-Einstellungen und Attributzuordnung für PingFederate.

1. Konfigurieren von SCIM-Einstellungen
2. Zuordnen von LDAP-Feldern zu SCIM
3. Konfiguration und Test abschließen

Stelle vor Beginn dieses Abschnitts sicher, dass du Schritte 1 bis 4 in Konfigurieren der SCIM-Bereitstellung zum Verwalten von Benutzern befolgt hast.

Konfigurieren von SCIM-Einstellungen

1. Wechseln Sie zurück zur Seite „SP-Connections“ in PingFederate und wählen Sie die SP-Verbindung aus, die Sie zuvor erstellt haben.

2. Klicken Sie auf die Registerkarte „Verbindungstyp“.

3. Wählen Sie Ausgehende Bereitstellung aus.

4. Stellen Sie sicher, dass Browser-SSO-Profile ausgewählt sind.

5. Klicken Sie auf Weiter, bis Sie die Registerkarte „Ausgehende Bereitstellung“ erreicht haben, und klicken Sie dann auf Bereitstellung konfigurieren.

6. Geben Sie auf der Registerkarte „Ziel“ die folgenden Details ein.

   • „Base URL“: https://HOSTNAME/api/v3/scim/v2
   • „Zugriffstoken“: Das für den Setupbenutzer erstellte personal access token (classic)

7. Klicken Sie auf Weiter.

8. Klicken Sie auf der Registerkarte „Kanal verwalten“ auf Erstellen, und geben Sie dann einen eindeutigen Kanalnamen ein, z. B. pfghscim.

9. Klicken Sie auf Weiter.

10. Wählen Sie auf der Registerkarte „Quelle“ den zuvor erstellten Datenspeicher aus.

11. Klicken Sie auf Weiter.

12. Auf der Registerkarte „Quelleinstellungen“ können Sie alle Standardeinstellungen beibehalten. Andere Einstellungen funktionieren wahrscheinlich, wurden aber nicht bestätigt.

13. Klicken Sie auf Weiter.

14. Konfigurieren Sie auf der Registerkarte „Quellspeicherort“, wo auf Ihrem LDAP-Server Benutzer bereitgestellt werden sollen. Dies variiert je nach Setup und Anforderungen. Klicken Sie nach der Konfiguration auf Weiter.

Zuordnen von LDAP-Feldern zu SCIM

Auf der Registerkarte „Attributzuordnung“ müssen Sie Felder von Ihrem LDAP-Server zu SCIM-Feldern zuordnen. In der folgenden Liste findest du die unterstützten SCIM-Felder von GitHub und die darin erwarteten Werte.

• Username: Dieser wird normalisiert und als GitHub-Benutzername für den bereitgestellten Benutzer verwendet. Weitere Informationen findest du unter Überlegungen zum Benutzernamen für die externe Authentifizierung. Dies muss mit der Normalisierung des Betreffs übereinstimmen, der mit der SAML-Assertion gesendet wurde, die Sie mit der SAML_SUBJECT-Eigenschaft in PingFederate konfiguriert haben.
• E-Mail: Ein Feld, das die E-Mail-Adresse des Benutzers enthält.
• Anzeigename: Ein lesbarer Name für den Benutzer.
• Formatierter Name: Der vollständige und für die Anzeige formatierte Name des Benutzers/der Benutzerin, einschließlich aller zweiter Vornamen, Titel und Namenszusätze.
• Vorname: Der Vorname des Benutzers.
• Nachname: Der Nachname des Benutzers.
• Externe ID: Dieser Bezeichner wird von einem Identitätsanbieter generiert.
• Roles: Dieses Feld sollte eine Zeichenfolge enthalten, die für die beabsichtigte Rolle des Benutzers in GitHub steht. Gültige Rollen sind enterprise_owner und user.

Klicken Sie auf Weiter, wenn Sie mit dem Konfigurieren der Einstellungen fertig sind.

Konfiguration und Test abschließen

1. Wählen Sie auf der Registerkarte „Aktivierung und Zusammenfassung“ für den Kanalstatus Aktiv aus.
2. Klicken Sie auf der Registerkarte „Kanäle verwalten“ auf Fertig.
3. Klicken Sie auf der Registerkarte „Ausgehende Bereitstellung“ auf Speichern. SCIM ist jetzt konfiguriert und aktiviert.
4. Warte ein paar Minuten, damit die Bereitstellung durchgeführt werden kann. Öffne dann ein neues privates Browserfenster, und navigiere zu GitHub.
5. Klicken Sie auf Mit SAML anmelden. Sie sollten zur Anmeldeseite von PingFederate umgeleitet werden.
6. Du solltest dich mit den Anmeldeinformationen eines Benutzers auf einem LDAP-Server anmelden können, der in GitHub bereitgestellt wurde.

Die PingFederate-Bereitstellung verarbeitet Benutzer und Gruppen unabhängig voneinander. Benutzer müssen direkt zugewiesen werden, um bereitgestellt zu werden. Benutzer, die sich in einer zugewiesenen Gruppe befinden, aber nicht direkt zugewiesen sind, werden nicht bereitgestellt.

Wenn Sie die Konfiguration von SCIM abgeschlossen haben, möchten Sie möglicherweise einige SAML-Einstellungen deaktivieren, die Sie für den Konfigurationsprozess aktiviert haben. Weitere Informationen findest du unter Konfigurieren der SCIM-Bereitstellung zum Verwalten von Benutzern.

Beispiel für das Erstellen eines X509-Zertifikats

Es gibt mehrere Möglichkeiten zum Erstellen eines X509-Zertifikats. Hier ist ein Beispiel, das für Ihre Anforderungen funktionieren kann.

1. Überprüfen Sie in einem Terminalfenster, ob OpenSSL durch Ausführen von openssl version installiert ist. Falls die Erweiterung nicht installiert ist, installieren Sie sie.

2. Erzeugen Sie den privaten Schlüssel mit dem folgenden Befehl.

   Shell

   openssl req -nodes -sha256 -newkey rsa:2048 -keyout MyPrivateKey.key -out MyCertificateRequest.csr
   

   Geben Sie die erforderlichen Informationen ein, und notieren Sie sich das von Ihnen erstellte Abfragepasswort.

3. Um sicherzustellen, dass der Schlüssel erstellt wurde, führen Sie den folgenden Befehl aus. Eine Datei namens MyPrivateKey.key sollte in der Befehlsausgabe aufgeführt werden.

   Shell

   ls | grep MyPrivateKey.key
   

4. Generieren Sie mit dem folgenden Befehl das Zertifikat.

   Shell

   openssl x509 -req -days 365 -sha256 -in MyCertificateRequest.csr -signkey MyPrivateKey.key -out pfgh256.crt
   

5. Um sicherzustellen, dass das Zertifikat erstellt wurde, führen Sie den folgenden Befehl aus. Eine Datei namens pfgh256.crt sollte in der Befehlsausgabe aufgeführt werden.

   Shell

   ls | grep pfgh256.crt
   

6. Exportieren Sie eine PKCS #12-Datei mit dem folgenden Befehl. Dies ist die Datei, die Sie in PingFederate hochladen sollten.

   Shell

   openssl pkcs12 -export -in pfgh256.crt -inkey MyPrivateKey.key -out pfgh256.p12
   

7. Führen Sie den folgenden Befehl aus, um sicherzustellen, dass die Datei exportiert wurde. Eine Datei namens pfgh256.p12 sollte in der Befehlsausgabe aufgeführt werden.

   Shell

   ls | grep pfgh256.p12