Referenz zur SAML-Konfiguration

Informationen zur SAML-Konfiguration

Wenn Sie das einmalige Anmelden (Single Sign-On, SSO) mit SAML zur Authentifizierung bei GitHub Enterprise Cloud verwenden möchten, müssen Sie sowohl Ihren externen SAML-Identitätsanbieter (Identity Provider, IdP) und Ihr Unternehmen oder Ihre Organisation auf GitHub konfigurieren. In einer SAML-Konfiguration dient GitHub Enterprise Cloud als SAML-Dienstanbieter (Service Provider, SP). Weitere Informationen zur Authentifizierung für Ihr Unternehmen finden Sie unter „Informationen zur Identitäts- und Zugriffsverwaltung“.

GitHub Enterprise Cloud stellt die Integration gemäß der SAML 2.0-Spezifikation bereit. Weitere Informationen finden Sie im SAML-Wiki auf der OASIS-Website.

Sie müssen eindeutige Werte für Ihren SAML-IdP eingeben, wenn Sie SAML-SSO für GitHub Enterprise Cloud konfigurieren, und Sie müssen auch eindeutige Werte aus GitHub Enterprise Cloud bei Ihrem IdP eingeben.

SAML-Metadaten

Die Metadaten des Dienstanbieters für GitHub Enterprise Cloud sind entweder für Organisationen oder Unternehmen mit SAML-SSO verfügbar. GitHub Enterprise Cloud verwendet die Bindung urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST.

Wenn du Enterprise Managed Users verwendest, kannst du SAML-SSO nur auf Unternehmensebene aktivieren.

Organisationen

Du kannst SAML-SSO auch für eine einzelne Organisation in deinem Unternehmen konfigurieren. Du kannst SAML-SSO auch für eine Organisation konfigurieren, wenn du eine einzelne Organisation auf GitHub Enterprise Cloud und kein Unternehmenskonto verwendest. Weitere Informationen findest du unter SAML Single Sign-On für deine Organisation verwalten.

Die Metadaten des Dienstanbieters für eine Organisation auf GitHub sind unter https://github.com/orgs/ORGANIZATION/saml/metadata verfügbar, wobei ORGANIZATION der Name Ihrer Organisation auf ist.

Unternehmen

Abhängig von deiner Umgebung sind die SP-Metadaten für ein Unternehmen in GitHub Enterprise Cloud hier verfügbar:

• https://github.com/enterprises/ENTERPRISE/saml/metadata, wenn es sich bei ENTERPRISE um den Namen des Unternehmens handelt
• https://SUBDOMAIN.ghe.com/enterprises/SUBDOMAIN/saml/metadata, wenn es sich bei SUBDOMAIN um die Unterdomäne des Unternehmens handelt

SAML-Attribute

Die folgenden SAML-Attribute sind für GitHub Enterprise Cloud verfügbar.

Verwende mehrere <saml2:AttributeValue>-Elemente, um mehrere Werte für ein Attribut anzugeben.

<saml2:Attribute FriendlyName="public_keys" Name="urn:oid:1.2.840.113549.1.1.1" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">
    <saml2:AttributeValue>ssh-rsa LONG KEY</saml2:AttributeValue>
    <saml2:AttributeValue>ssh-rsa LONG KEY 2</saml2:AttributeValue>
</saml2:Attribute>

SAML-Antwortanforderungen

Bei GitHub Enterprise Cloud muss die Antwortnachricht von deinem IdP die folgenden Anforderungen erfüllen.

• Dein IdP musst das Element <Destination> im Stammantwortdokument bereitstellen und nur dann mit der ACS-URL übereinstimmen, wenn das Stammantwortdokument signiert ist. Wenn dein IdP die Assertion signiert, ignoriert GitHub Enterprise Cloud die Assertion.

• Dein IdP muss das <Audience>-Element immer als Teil des <AudienceRestriction>-Elements bereitstellen. Der Wert muss mit Ihrer EntityId für GitHub Enterprise Cloud übereinstimmen.

  • Wenn du SAML für eine Organisation konfigurierst, lautet dieser Wert https://github.com/orgs/ORGANIZATION.
  • Wenn du SAML für ein Unternehmen konfigurierst, lautet diese URL https://github.com/enterprises/ENTERPRISE oder https://SUBDOMAIN.ghe.com/enterprises/SUBDOMAIN.

• Dein IdP muss jede Assertion in der Antwort mit einer digitalen Signatur schützen. Du kannst dies tun, indem du jedes einzelne <Assertion>-Element oder das <Response>-Element signierst.

• Dein IdP muss ein <NameID>-Element als Teil des <Subject>-Elements bereitstellen. Du kannst ein beliebiges Format für beständige Namensbezeichner verwenden.

• Dein IdP muss das Recipient-Attribut enthalten, das auf die ACS-URL festgelegt werden muss. Im folgenden Beispiel wird das Attribut veranschaulicht.

  <samlp:Response ...>
    <saml:Assertion ...>
      <saml:Subject>
        <saml:NameID ...>...</saml:NameID>
        <saml:SubjectConfirmation ...>
          <saml:SubjectConfirmationData Recipient="https://github.com/enterprises/ENTERPRISE/saml/consume" .../>
        </saml:SubjectConfirmation>
      </saml:Subject>
      <saml:AttributeStatement>
        <saml:Attribute FriendlyName="USERNAME-ATTRIBUTE" ...>
          <saml:AttributeValue>monalisa</saml:AttributeValue>
        </saml:Attribute>
      </saml:AttributeStatement>
    </saml:Assertion>
  </samlp:Response>
  

Sitzungsdauer und Timeout

Um zu verhindern, dass eine Person sich bei deinem IdP authentifiziert und auf unbestimmte Zeit autorisiert bleibt, macht GitHub Enterprise Cloud die Sitzung für jedes Benutzerkonto mit Zugriff auf die Ressourcen deines Unternehmens in regelmäßigen Abständen ungültig. Nach der Invalidierung muss die Person sich erneut bei Ihrem IdP authentifizieren.

Wenn Ihr IdP keinen Wert für das SessionNotOnOrAfter-Attribut angibt, macht GitHub Enterprise Cloud eine Sitzung 24 Stunden nach der erfolgreichen Authentifizierung bei Ihrem IdP standardmäßig ungültig.

GitHub Enterprise Cloud unterstützt eine angepasste Sitzungsdauer, wenn Ihr IdP die Möglichkeit bietet, ein SessionNotOnOrAfter-Attribut und einen Wert verwendet.

Wenn Sie einen angepassten Sitzungsdauerwert von weniger als 24 Stunden angeben, könnte es sein, dass GitHub Enterprise Cloud Personen dazu auffordert, sich jedes Mal zu authentifizieren, wenn GitHub Enterprise Cloud eine Umleitung initiiert.

Um Authentifizierungsfehler zu verhindern, wird eine Mindestsitzungsdauer von vier Stunden empfohlen. Weitere Informationen finden Sie unter SAML-Authentifizierung.