Informationen zu SAML-SSO für deine GitHub Enterprise Server-Instanz
Mithilfe von SAML-SSO können sich Personen über ein externes System für die Identitätsverwaltung in deine GitHub Enterprise Server-Instanz authentifizieren und darauf zugreifen.
SAML ist ein XML-basierter Standard für die Authentifizierung und Autorisierung. Wenn du SAML für deine GitHub Enterprise Server-Instanz konfigurierst, wird das externe System für die Authentifizierung als Identitätsanbieter (Identity Provider, IdP) bezeichnet. Deine Instanz fungiert als SAML-Dienstanbieter (Service Provider, SP). Weitere Informationen zum SAML-Standard findest du auf Wikipedia unter Security Assertion Markup Language.
Hinweis: Du kannst entweder SAML oder LDAP verwenden, aber nicht beide Optionen.
Dein Identitätsanbieter kommuniziert nicht automatisch mit GitHub Enterprise Server, wenn du die Anwendung zuweist oder die Zuweisung aufhebst. GitHub Enterprise Server erstellt ein Benutzerkonto mit SAML-JIT-Bereitstellung, wenn ein Benutzer zum ersten Mal zu GitHub Enterprise Server navigiert und sich bei der Anmeldung über deinen Identitätsanbieter authentifiziert. Benutzer müssen ggf. manuell benachrichtigt werden, wenn du Zugriff auf GitHub Enterprise Server gewährst.
Bei Verwendung von SAML oder CAS wird die Zwei-Faktor-Authentifizierung in der GitHub Enterprise Server-Instanz weder unterstützt noch verwaltet, jedoch möglicherweise vom externen Authentifizierungsanbieter unterstützt. Die Erzwingung der Zwei-Faktor-Authentifizierung für Organisationen ist nicht verfügbar. Weitere Informationen zum Erzwingen der zweistufigen Authentifizierung für Organisationen findest du unter Anfordern von zweistufiger Authentifizierung in deiner Organisation.
Nachdem du SAML konfiguriert hast, müssen Personen, die deine GitHub Enterprise Server-Instanz nutzen, ein personal access token für die Authentifizierung von API-Anforderungen verwenden. Weitere Informationen findest du unter About SAML for enterprise IAM.
Wenn du die Authentifizierung für einige Personen zulassen möchtest, die kein Konto bei deinem externen Authentifizierungsanbieter haben, kannst du die Fallbackauthentifizierung für lokale Konten auf deine GitHub Enterprise Server-Instanz zulassen. Weitere Informationen findest du unter Zulassen integrierter Authentifizierung für Benutzer*innen außerhalb deines Anbieters.
Weitere Informationen zur Konfiguration von SAML-SSO in GitHub Enterprise Server findest du unter Configuring SAML single sign-on for your enterprise.
Unterstützte IdPs
GitHub Enterprise Server unterstützt SAML-SSO mit Identitätsanbietern, die den SAML 2.0-Standard implementieren. Weitere Informationen findest du im SAML-Wiki auf der OASIS-Website.
Folgende Identitätsanbieter werden von GitHub offiziell unterstützt und intern getestet:
- Active Directory-Verbunddienste (AD FS)
- Azure Active Directory (Azure AD)
- Okta
- OneLogin
- PingOne
- Shibboleth
Wenn dein IdP verschlüsselte SAML-Assertionen unterstützt, kannst du verschlüsselte Assertionen in GitHub Enterprise Server konfigurieren und so während des Authentifizierungsprozesses erhöhte Sicherheit gewährleisten.
GitHub Enterprise Server unterstützt keinen SAML Single-Logout. Um eine aktive SAML-Sitzung zu beenden, sollte sich der Benutzer direkt auf Deiner SAML-IdP abmelden.
Weitere Informationsquellen
- SAML-Wiki auf der OASIS-Website