Konfigurieren von Authentifizierung und Bereitstellung mit PingFederate

Wenn du einen IdP für IAM für GitHub Enterprise Server verwendest, steuert und schützt SAML SSO den Zugriff auf Unternehmensressourcen wie Repositorys, Issues und Pull Requests. SCIM erstellt automatisch Benutzerkonten und verwaltet den Zugriff auf Ihre GitHub Enterprise Server-Instance, wenn Änderungen am IdP vorgenommen werden. Du kannst auch Teams in GitHub Enterprise Server mit Gruppen in deinem IdP synchronisieren. Weitere Informationen finden Sie unter „Informationen zu Benutzerbereitstellung mit SCIM auf GitHub Enterprise Server“.

Übersicht

Dieses Handbuch hilft Ihnen, sowohl die SAML-Authentifizierung als auch die SCIM-Bereitstellung für GitHub Enterprise Server für PingFederate einzurichten.

Bevor Sie beginnen, beachten Sie bitte Folgendes:

• Die Verwendung von PingFederate als IDP für GitHub Enterprise Server befindet sich in der Betaversion. Wenden Sie sich an Ihr Kontoteam, um Feedback zu geben.
• Dieses Handbuch basiert auf PingFederate, Version 12.1. Anweisungen können für andere Versionen variieren.
• In diesem Leitfaden wird davon ausgegangen, dass Sie einen LDAP-Server als Sicherungsdatenspeicher verwenden. Die JDBC-Datenspeicher sollten funktionieren, aber die Anweisungen können geringfügig variieren.
• Dieses Handbuch enthält die minimalen Schritte zum Konfigurieren eines funktionierenden Setups. Da Ihr Identitätsverzeichnis möglicherweise anders mit PingFederate verbunden ist, müssen Sie die richtigen Datenattribute für SAML und SCIM basierend auf den verfügbaren Daten aus dem Sicherungsdatenspeicher auswählen.

Voraussetzungen

Die allgemeinen Voraussetzungen für die Verwendung von SCIM für GitHub Enterprise Server finden Anwendung. Weitere Informationen finden Sie im Abschnitt „Voraussetzungen“ in „Konfigurieren der SCIM-Bereitstellung zum Verwalten von Benutzern“.

Außerdem:

• Um SCIM zu konfigurieren, müssen Sie die Schritte 1 bis 4 in „Konfigurieren der SCIM-Bereitstellung zum Verwalten von Benutzern“ abgeschlossen haben.
  • Sie benötigen die personal access token (classic), die für den Setup-Benutzer erstellt wurden, um Anforderungen von PingFederate zu authentifizieren.
• Sie müssen den „GitHub EMU Connector“ auf PingFederate installiert haben. Informationen zum Herunterladen und Installieren des Connectors finden Sie unter Installieren des Connectors in der PingIdentity-Dokumentation.
  • Möglicherweise müssen Sie die Firewall in PingFederate so konfigurieren, dass ausgehende Verbindungen mit dem https://HOSTNAME/api/v3/scim/v2-Endpunkt in Ihrer GitHub Enterprise Server-Instance zugelassen werden.
• Der „Bereitstellungsmodus“ von PingFederate muss auf einen Wert festgelegt werden, der die SCIM-Bereitstellung zulässt. Weitere Informationen finden Sie im Abschnitt „Bevor Sie beginnen“ im Handbuch für die Konfiguration von Einstellungen für ausgehende Bereitstellungen von PingIdentity.
• Während dieses Verfahrens müssen Sie ein X509-Zertifikat in PingFederate hochladen. Sie können das Zertifikat erstellen und speichern, bevor Sie fortfahren. Außerdem benötigen Sie das Abfragekennwort für das Zertifikat. Weitere Informationen finden Sie im Abschnitt „Beispiel für das Erstellen eines X509-Zertifikats“ weiter unten in diesem Artikel.

1. SAML konfigurieren

In diesem Abschnitt erstellen Sie einen SAML-Connector in PingFederate, richten eine LDAP-IdP-Adapter-Instance ein und verwalten die SAML-Ausgabe von Ihrem IdP-Adapter.

1. Erstellen eines SAML-Adapters
2. Einrichten einer LDAP-IdP-Adapter-Instance
3. Verwalten der SAML-Ausgabe von Ihrem IdP-Adapter

Bevor Sie diesen Abschnitt starten, stellen Sie sicher, dass Sie die Schritte 1 und 2 in „Konfigurieren der SCIM-Bereitstellung zum Verwalten von Benutzern“ befolgt haben.

Erstellen eines SAML-Adapters

1. Öffnen Sie die Verwaltungskonsole von PingFederate.

2. Klicken Sie in der Kopfzeile auf Anwendungen und klicken Sie dann in der linken Randleiste auf SP-Verbindungen.

3. Klicken Sie auf Vorlage für diese Verbindung verwenden und wählen Sie dann im Dropdownmenü „Verbindungsvorlage“ den Eintrag „GitHub EMU-Konnektor“ aus.

   Note

   Wenn diese Option nicht angezeigt wird, wurde der GitHub EMU-Konnektor nicht installiert. Wenn Sie Hilfe benötigen, wenden Sie sich an Ihren Ping-Vertreter.

4. Melden Sie sich auf einer neuen Registerkarte bei Ihrer GitHub Enterprise Server-Instance als integrierter Setup-Benutzer an, und navigieren Sie dann zu https://HOSTNAME/saml/metadata. Laden Sie die Seite als XML-Datei herunter.

5. Laden Sie auf der Seite „SP-Verbindung“ die Datei aus dem vorherigen Schritt als Metadatendatei hoch. Stellen Sie sicher, dass Sie dies innerhalb von 5 Minuten nach dem Herunterladen der Datei tun.

6. Wechseln Sie zur Registerkarte „Verbindungstyp“.

7. Wählen Sie Browser-SSO-Profile aus, und deaktivieren Sie die Auswahl der ausgehenden Bereitstellung (dies wird später aktiviert).

8. Klicken Sie auf Weiter.

9. Stellen Sie auf der Registerkarte „Verbindungsoptionen“ sicher, dass nur Browser-SSO ausgewählt ist.

10. Klicken Sie auf Weiter.

11. Geben Sie auf der Registerkarte „Allgemeine Informationen“ die folgenden Details ein.

    • „Entitäts-ID des Partners“: Ihre GitHub Enterprise Server-Host-URL (https://HOSTNAME.com)
    • „Verbindungsname“: Ein beschreibender Name für Ihre SP-Verbindung in PingFederate
    • „Basis-URL“: Ihre GitHub Enterprise Server-Host-URL (https://HOSTNAME.com)
    • „Transaktionsprotokollierung“: Standard
    • Alle anderen Felder können leer gelassen werden.

12. Klicken Sie auf Weiter.

13. Klicken Sie auf Browser-SSO konfigurieren.

14. Klicken Sie auf Assertionserstellung konfigurieren.

15. Klicken Sie auf der Registerkarte „Authentifizierungsquellenzuordnung“ auf Neue Adapterinstanz zuordnen.

16. Klicken Sie auf der Registerkarte „Adapter-Instance“ auf Adapter-Instances verwalten.

17. Klicken Sie auf Neue Instance erstellen.

Einrichten einer LDAP-IdP-Adapter-Instance

1. Geben Sie auf der Seite „Adapter-Instance erstellen“ in PingFederate auf der Registerkarte „Typ“ die folgenden Details ein.

   • „Instance-Name“: Ein Name zur Identifizierung der Instanz, z. B. pfghadapter
   • „Instanz-ID“: Eine ID für die Instance, z. B. pfghadapter
   • „Type“: HTML-Formular-IDP-Adapter
   • „Übergeordnete Instanz“: Keine

2. Klicken Sie auf Weiter.

3. Klicken Sie auf der Registerkarte „IDP-Adapter“ unten auf der Seite auf Validierungssteuerelemente von Passwortanmeldedaten.

4. Klicken Sie auf Neue Instance erstellen.

5. Geben Sie auf der Registerkarte „Typ“ die folgenden Details ein.

   • „Instance-Name“: Ein Name zur Identifizierung der Instanz, z. B. pfghdocscv
   • „Instanz-ID“: Eine ID für die Instance, z. B. pfghdocscv
   • „Type“: Validierungssteuerelemente von Passwortanmeldedaten des LDAP-Nutzernamens
   • „Übergeordnete Instanz“: Keine

6. Klicken Sie auf Weiter.

7. Klicken Sie auf der Registerkarte „Instance-Konfiguration“ auf Datenspeicher verwalten.

8. Klicken Sie auf Neuen Datenspeicher hinzufügen.

9. Geben Sie auf der Registerkarte „Datenspeichertyp“ die folgenden Details ein.

   • „Instance-Name": Beliebiger eindeutiger Wert, z. B. pfghdocsds
   • „Type“: Verzeichnis (LDAP)
   • „Maskenwerte im Protokoll“: Nicht ausgewählt

10. Klicken Sie auf Weiter.

11. Konfigurieren Sie auf der Registerkarte „LDAP-Konfiguration“ Ihre LDAP-Serverdetails.

12. Klicken Sie auf Verbindung testen. Es sollte „Konnektivitätstest war erfolgreich"“ angezeigt werden.

13. Klicke unten auf der Seite auf Advanced.

14. Klicken Sie auf die Registerkarte „LDAP-Binärattribute“, und fügen Sie guidAttribute und objectGUID als Attribute hinzu.

15. Klicken Sie auf Fertig. Sie sollten wieder auf der Registerkarte „LDAP-Konfiguration“ sein.

16. Klicken Sie auf Weiter und dann auf Speichern.

17. Klicken Sie auf der Registerkarte „Datenspeicher verwalten“ auf Fertig.

18. Geben Sie auf der Registerkarte „Instance-Konfiguration“ die folgenden Details ein.

    • „LDAP-Datenspeicher“: Der Name des oben erstellten Datenspeichers
    • „Suchbasis“: Der Speicherort im Verzeichnis, an dem LDAP-Suchvorgänge beginnen sollen
    • „Suchfilter“: Ein Filter, der sicherstellt, dass der Benutzername, den der Benutzer bei der Anmeldung eingibt, mit einem Feld im LDAP-Server übereinstimmt (z. B.: sAMAccountName=${username})
    • „Suchbereich“: Unterstruktur
    • „Abgleich zwischen Groß- und Kleinschreibung“: Ausgewählt

19. Klicken Sie erneut auf Weiter, noch einmal auf Weiter und klicken Sie dann auf Speichern.

Verwalten der SAML-Ausgabe von Ihrem IdP-Adapter

1. Klicken Sie auf der Seite „Validierungssteuerelement der Passwortanmeldedaten verwalten“ auf Fertig.

2. Geben Sie auf der Registerkarte „IDP-Adapter“ die folgenden Daten ein.

   • „Instance dees Validierungssteuerelements der Passwortanmeldedaten“: Der Name der oben erstellten Validator-Instance (z. B. pfghdocscv). Klicken Sie auf Aktualisieren, um ihre Auswahl abzuschließen.
   • Alle anderen Felder können als Standard festgelegt oder an Ihre Anforderungen geändert werden.

3. Klicken Sie auf Weiter und dann erneut auf Weiter.

4. Geben Sie auf der Registerkarte „Adapterattribute“ die folgenden Details ein.

   • „Schlüsselattribut des individuellen Benutzers“: username

   • Wählen Sie neben dem username-Attribut „Pseudonym“ aus.

   Note

   Dieser Schritt ist wichtig. Das Adapter-Attribut wird verwendet, um einen Benutzer in Ihrer Instance während der SCIM-Bereitstellung eindeutig zu identifizieren.

5. Klicken Sie auf Weiter und dann erneut auf Weiter.

6. Überprüfen Sie Ihre Einstellungen auf der Übersichtsseite und klicken Sie dann auf Speichern.

7. Auf der Registerkarte „IdP-Adapter“ sollte der soeben erstellte Adapter angezeigt werden. Klicken Sie auf Fertig.

8. Wählen Sie auf der Registerkarte „Adapter-Instance“ im Dropdownmenü „Adapter-Instance“ den soeben erstellten Adapter aus.

9. Klicken Sie auf Weiter.

10. Wählen Sie auf der Registerkarte „Zuordnungsmethode“ Nur die Adaptervertragswerte in der SAML Assertion verwenden aus (andere Auswahlen funktionieren möglicherweise, wurden aber nicht bestätigt).

11. Klicken Sie auf Weiter.

12. Ordnen Sie auf der Registerkarte „Attributvertragserfüllung“ SAML_SUBJECT „Adapter“ als Quelle und username als Wert zu.

    Note

    Dieser Schritt ist wichtig. Das normalisierte SAML_SUBJECT muss mit den normalisierten Benutzernamen von Benutzern übereinstimmen, die von SCIM bereitgestellt werden.

13. Klicken Sie erneut auf Weiter, noch einmal auf Weiter und klicken Sie dann auf Fertig.

14. Sie sollten wieder auf der Registerkarte „Authentifizierungsquellenzuordnung“ sein, und der Abschnitt „Adapter-Instance-Name“ sollte die soeben erstellte Adapter-Instance enthalten.

15. Klicken Sie auf Weiter und Fertig, bis Sie die Registerkarte „Anmeldedaten“ erreicht haben.

16. Klicken Sie auf der Registerkarte „Anmeldedaten“ auf Anmeldedaten konfigurieren, und klicken Sie dann auf Zertifikate verwalten.

17. Klicken Sie auf der Seite „Zertifikatverwaltung“ auf Importieren, und laden Sie dann ein X509-Zertifikat hoch (Hilfe finden Sie im Abschnitt „Beispiel für das Erstellen eines X509-Zertifikats“).

18. Verwenden Sie für das „Passwort“ das Abfragepasswort für das Zertifikat.

19. Klicken Sie auf Weiter und dann auf Speichern.

20. Auf der Registerkarte „Zertifikatverwaltung“ sollte das soeben importierte Zertifikat angezeigt werden. Klicken Sie auf Fertig.

21. Auf der Registerkarte „Einstellungen für digitale Signaturen“:

    • Wählen Sie das soeben erstellte Zertifikat für das „Signaturzertifikat“ aus.
    • Sie können das sekundäre Zertifikat leer lassen und das Kontrollkästchen „Zertifikat in die Signatur einschließen“ deaktiviert lassen.
    • Der Signaturalgorithmus sollte „RSA SHA256“ sein.

22. Klicken Sie auf Weiter, dann auf Fertig und dann auf Weiter.

23. Aktivieren Sie auf der Registerkarte „Zusammenfassung“ den Umschalter für „SSO-Anwendungsendpunkt“.

24. Klicken Sie auf Speichern. Sie sollten zur Liste der SP-Verbindungen zurückkehren, in der die neu erstellte SP-Verbindung angezeigt werden soll.

Sammeln von Informationen für Ihre SAML-Konfiguration

Sie benötigen einige Details von PingFederate, um SAML für GitHub zu konfigurieren.

1. Klicken Sie auf der Seite „SP Connections“ in der Zeile für die neue Verbindung auf Aktion auswählen und dann auf Metadaten exportieren.
2. Wählen Sie auf der Registerkarte „Metadatensignatur“ in der Zeile für Ihre neue Verbindung das oben erstellte Signaturzertifikat aus. Klicken Sie zum Herunterladen des Zertifikats auf Weiter und dann auf Exportieren.
3. Klicken Sie in PingFederate auf System in der Kopfzeile und dann auf Server und auf Protokolleinstellungen. Überprüfen Sie, ob SAML 2.0 ENTITY ID definiert ist. Notieren Sie sich dies, da Sie es für das Feld „Aussteller“ in den SAML-Einstellungen von GitHub benötigen.
4. Öffnen Sie die heruntergeladene Metadatendatei und halten Sie sie für die nächsten Schritte bereit.

Konfigurieren Sie GitHub Enterprise Server

1. Melden Sie sich bei Ihre GitHub Enterprise Server-Instance als Benutzer mit Zugriff auf die Verwaltungskonsole an.

2. Navigieren Sie zum Abschnitt „Authentifizierung“ der Verwaltungskonsole, und aktivieren Sie dann SAML. Weitere Informationen finden Sie unter „Konfigurieren von SAML Single Sign-On für dein Unternehmen“.

3. Geben Sie die folgenden Werte aus der Metadaten-Datei ein, die Sie im vorherigen Abschnitt heruntergeladen haben.

   • Verwenden Sie für die URL für das Single Sign-On den location-Wert des <md: SingleSignOnService>-Felds. Dies sollte eine URL sein, die auf /idp/SSO.saml2 endet.
   • Verwenden Sie für den „Aussteller“ den entityId-Wert des <md: EntityDescriptor>-Felds (eine URL).

4. Laden Sie für das „Überprüfungszertifikat“ die zuvor erstellte X509-Zertifikatdatei hoch.

5. Klicken Sie auf Save settings (Einstellungen speichern).

2. SCIM konfigurieren

In diesem Abschnitt konfigurieren Sie SCIM-Einstellungen und Attributzuordnung für PingFederate.

1. Konfigurieren von SCIM-Einstellungen
2. Zuordnen von LDAP-Feldern zu SCIM
3. Konfiguration und Test abschließen

Bevor Sie diesen Abschnitt starten, stellen Sie sicher, dass Sie die Schritte 1 und 4 in „Konfigurieren der SCIM-Bereitstellung zum Verwalten von Benutzern“ befolgt haben.

Konfigurieren von SCIM-Einstellungen

1. Wechseln Sie zurück zur Seite „SP-Connections“ in PingFederate und wählen Sie die SP-Verbindung aus, die Sie zuvor erstellt haben.

2. Klicken Sie auf die Registerkarte „Verbindungstyp“.

3. Wählen Sie Ausgehende Bereitstellung aus.

4. Stellen Sie sicher, dass Browser-SSO-Profile ausgewählt sind.

5. Klicken Sie auf Weiter, bis Sie die Registerkarte „Ausgehende Bereitstellung“ erreicht haben, und klicken Sie dann auf Bereitstellung konfigurieren.

6. Geben Sie auf der Registerkarte „Ziel“ die folgenden Details ein.

   • „Basis-URL“: https://HOSTNAME/api/v3/scim/v2/
   • „Zugriffstoken“: Die für den integrierten Setup-Benutzer erstellte personal access token (classic)

7. Klicken Sie auf Weiter.

8. Klicken Sie auf der Registerkarte „Kanal verwalten“ auf Erstellen, und geben Sie dann einen eindeutigen Kanalnamen ein, z. B. pfghscim.

9. Klicken Sie auf Weiter.

10. Wählen Sie auf der Registerkarte „Quelle“ den zuvor erstellten Datenspeicher aus.

11. Klicken Sie auf Weiter.

12. Auf der Registerkarte „Quelleinstellungen“ können Sie alle Standardeinstellungen beibehalten. Andere Einstellungen funktionieren wahrscheinlich, wurden aber nicht bestätigt.

13. Klicken Sie auf Weiter.

14. Konfigurieren Sie auf der Registerkarte „Quellspeicherort“, wo auf Ihrem LDAP-Server Benutzer bereitgestellt werden sollen. Dies variiert je nach Setup und Anforderungen. Klicken Sie nach der Konfiguration auf Weiter.

Zuordnen von LDAP-Feldern zu SCIM

Auf der Registerkarte „Attributzuordnung“ müssen Sie Felder von Ihrem LDAP-Server zu SCIM-Feldern zuordnen. In der folgenden Liste finden Sie unterstützte SCIM-Felder von GitHub und die Werte, die in den einzelnen Feldern erwartet werden.

• Benutzername: Dies wird normalisiert und als GitHub-Nutzername für den bereitgestellten Benutzer verwendet. Weitere Informationen finden Sie unter „Überlegungen zum Benutzernamen für die externe Authentifizierung“. Dies muss mit der Normalisierung des Betreffs übereinstimmen, der mit der SAML-Assertion gesendet wurde, die Sie mit der SAML_SUBJECT-Eigenschaft in PingFederate konfiguriert haben.
• E-Mail: Ein Feld, das die E-Mail-Adresse des Benutzers enthält.
• Anzeigename: Ein lesbarer Name für den Benutzer.
• Formatierter Name: Der vollständige und für die Anzeige formatierte Name des Benutzers/der Benutzerin, einschließlich aller zweiter Vornamen, Titel und Namenszusätze.
• Vorname: Der Vorname des Benutzers.
• Nachname: Der Nachname des Benutzers.
• Externe ID: Dieser Bezeichner wird von einem Identitätsanbieter generiert.
• Rollen: Dieses Feld sollte eine Zeichenkette enthalten, die die beabsichtigte Rolle des Benutzers für GitHub darstellt. Gültige Rollen sind enterprise_owner und user.

Klicken Sie auf Weiter, wenn Sie mit dem Konfigurieren der Einstellungen fertig sind.

Konfiguration und Test abschließen

1. Wählen Sie auf der Registerkarte „Aktivierung und Zusammenfassung“ für den Kanalstatus Aktiv aus.
2. Klicken Sie auf der Registerkarte „Kanäle verwalten“ auf Fertig.
3. Klicken Sie auf der Registerkarte „Ausgehende Bereitstellung“ auf Speichern. SCIM ist jetzt konfiguriert und aktiviert.
4. Warten Sie einige Minuten, bis die Bereitstellung ausgeführt wird, öffnen Sie dann ein neues privates Browserfenster, und navigieren Sie zu Ihrer Instance unter https://HOSTNAME/login.
5. Klicken Sie auf Mit SAML anmelden. Sie sollten zur Anmeldeseite von PingFederate umgeleitet werden.
6. Sie sollten sich mit den Anmeldedaten für einen Benutzer auf dem LDAP-Server anmelden können, der für GitHub Enterprise Server bereitgestellt wurde.

Die PingFederate-Bereitstellung verarbeitet Benutzer und Gruppen unabhängig voneinander. Benutzer müssen direkt zugewiesen werden, um bereitgestellt zu werden. Benutzer, die sich in einer zugewiesenen Gruppe befinden, aber nicht direkt zugewiesen sind, werden nicht bereitgestellt.

Wenn Sie die Konfiguration von SCIM abgeschlossen haben, möchten Sie möglicherweise einige SAML-Einstellungen deaktivieren, die Sie für den Konfigurationsprozess aktiviert haben. Weitere Informationen finden Sie unter „Konfigurieren der SCIM-Bereitstellung zum Verwalten von Benutzern“.

Beispiel für das Erstellen eines X509-Zertifikats

Es gibt mehrere Möglichkeiten zum Erstellen eines X509-Zertifikats. Hier ist ein Beispiel, das für Ihre Anforderungen funktionieren kann.

1. Überprüfen Sie in einem Terminalfenster, ob OpenSSL durch Ausführen von openssl version installiert ist. Falls die Erweiterung nicht installiert ist, installieren Sie sie.

2. Erzeugen Sie den privaten Schlüssel mit dem folgenden Befehl.

   Shell

   openssl req -nodes -sha256 -newkey rsa:2048 -keyout MyPrivateKey.key -out MyCertificateRequest.csr
   

   Geben Sie die erforderlichen Informationen ein, und notieren Sie sich das von Ihnen erstellte Abfragepasswort.

3. Um sicherzustellen, dass der Schlüssel erstellt wurde, führen Sie den folgenden Befehl aus. Eine Datei namens MyPrivateKey.key sollte in der Befehlsausgabe aufgeführt werden.

   Shell

   ls | grep MyPrivateKey.key
   

4. Generieren Sie mit dem folgenden Befehl das Zertifikat.

   Shell

   openssl x509 -req -days 365 -sha256 -in MyCertificateRequest.csr -signkey MyPrivateKey.key -out pfgh256.crt
   

5. Um sicherzustellen, dass das Zertifikat erstellt wurde, führen Sie den folgenden Befehl aus. Eine Datei namens pfgh256.crt sollte in der Befehlsausgabe aufgeführt werden.

   Shell

   ls | grep pfgh256.crt
   

6. Exportieren Sie eine PKCS #12-Datei mit dem folgenden Befehl. Dies ist die Datei, die Sie in PingFederate hochladen sollten.

   Shell

   openssl pkcs12 -export -in pfgh256.crt -inkey MyPrivateKey.key -out pfgh256.p12
   

7. Führen Sie den folgenden Befehl aus, um sicherzustellen, dass die Datei exportiert wurde. Eine Datei namens pfgh256.p12 sollte in der Befehlsausgabe aufgeführt werden.

   Shell

   ls | grep pfgh256.p12