Migración de SAML a OIDC

Acerca de la migración de tu empresa con usuarios administrados de SAML a OIDC

Si tu empresa con usuarios administrados usa el SSO de SAML para autenticarse con Azure Active Directory (Azure AD), puedes migrar a OIDC. Cuando la empresa usa el inicio de sesión único de OIDC, GitHub usará automáticamente las condiciones IP de la directiva de acceso condicional (CAP) de IdP para validar las interacciones del usuario con GitHub, cuando los miembros cambian las direcciones IP y cada vez que se usa personal access token o una clave SSH.

Al migrar de SAML a OIDC, cuentas de usuario administradas y los grupos que estaban aprovisionados para SAML, pero que no están aprovisionados por la aplicación GitHub Enterprise Managed User (OIDC), tendrán el sufijo "(SAML)" adjunto al nombre para mostrar.

Si no estás familiarizado con Enterprise Managed Users y todavía no configuraste la autenticación para tu empresa, no es necesario que migres y puedes configurar el inicio de sesión único de OIDC de inmediato. Para obtener más información, vea «Configuración de OIDC para usuarios administrados de Enterprise».

Migración de tu empresa

1. Antes de empezar la migración, inicia sesión en Azure y deshabilita el aprovisionamiento en la aplicación GitHub Enterprise Managed User existente.

2. Si usas directivas de ubicación de red de acceso condicional (CA) en Azure AD y actualmente usas una lista de direcciones IP permitidas con tu cuenta empresarial o con cualquiera de las organizaciones que pertenecen a la cuenta empresarial en GitHub.com, deshabilita las listas de direcciones IP permitidas. Para obtener más información, vea «Requerir las políticas para los ajustes de seguridad en tu empresa» y «Administrar las direcciones IP permitidas en tu organización».

3. Inicia sesión en GitHub.com como el usuario de configuración de la empresa con el nombre de usuario @SHORT-CODE_admin.

4. Cuando se te pida continuar a tu proveedor de identidades, haz clic en Usar un código de recuperación e inicia sesión con uno de los códigos de recuperación de la empresa.

   Nota: Debes usar un código de recuperación para la empresa, no para la cuenta de usuario. Para obtener más información, consulta "Descarga de los códigos de recuperación de inicio de sesión único de la cuenta de empresa".

   1. En la esquina superior derecha de GitHub.com, haga clic en la imagen de perfil y después en **Your enterprises**. 

5. En la lista de empresas, da clic en aquella que quieras ver.

6. En la barra lateral de la cuenta de empresa, haz clic en Configuración.

7. En Configuración, haz clic en Seguridad de autenticación.

8. En la parte inferior de la página, junto a "Migrar al inicio de sesión único de OpenID Connect", haz clic en Configurar con Azure.

   Advertencia: La migración puede tardar hasta una hora y es importante que no se aprovisione ningún usuario durante el proceso. Para confirmar si la migración sigue en curso, vuelve a la página de la configuración de seguridad de la empresa; si la opción "Requerir autenticación de SAML" todavía está activada, la migración sigue en curso.

   

9. Lee ambas advertencias y haz clic para continuar.

10. Cuando GitHub Enterprise Cloud te redirija a tu proveedor de identidades, inicia sesión en el proveedor de identidades y sigue las instrucciones para dar tu consentimiento e instalar la aplicación GitHub Enterprise Managed User (OIDC). Cuando Azure AD solicite permisos para GitHub Enterprise Managed Users con OIDC, habilita Consentimiento en nombre de la organización y, a continuación, haz clic en Aceptar.

    Advertencia: Debes iniciar sesión en Azure AD como usuario con derechos de administrador global para dar tu consentimiento a la instalación de la aplicación GitHub Enterprise Managed User (OIDC).

11. En una pestaña o ventana nueva, mientras sigues en la sesión que iniciaste como usuario de configuración en GitHub.com, crea un personal access token (classic) con el ámbito admin:enterprise y sin expiración y cópialo en el Portapapeles. Para más información sobre cómo crear un token, consulta "Configurar el aprovisionamiento de SCIM para los Usuarios Administrados Empresariales".

12. En la configuración de la aplicación GitHub Enterprise Managed User (OIDC) en Azure Portal, en "URL de inquilino", escribe https://api.github.com/scim/v2/enterprises/YOUR_ENTERPRISE y reemplaza YOUR_ENTERPRISE por el nombre de tu cuenta empresarial.

    Por ejemplo, si la dirección URL de tu cuenta empresarial es https://github.com/enterprises/octo-corp, el nombre de la cuenta empresarial es octo-corp.

13. En "Token secreto", pega personal access token (classic) con el ámbito admin:enterprise que creaste anteriormente.

14. Para probar la configuración, haz clic en Probar conexión.

15. Para guardar los cambios, haz clic en Guardar en la parte superior del formulario.

16. En Azure Portal, copia los usuarios y los grupos de la aplicación GitHub Enterprise Managed User anterior a la aplicación GitHub Enterprise Managed User (OIDC) nueva.

17. Para probar la configuración, aprovisiona un usuario nuevo único.

18. Si la prueba se completa correctamente, empieza a aprovisionar para todos los usuarios con un clic en Iniciar aprovisionamiento.