エンタープライズマネージドユーザーの OIDC の構成

メモ: Enterprise Managed Users に対する OpenID Connect (OIDC) と条件付きアクセスポリシー (CAP) のサポートは、Azure AD でのみ使用できます。

エンタープライズマネージドユーザーの OIDC について

Enterprise Managed Users を使用すると、エンタープライズは ID プロバイダー (IdP) を使用してすべてのメンバーを認証します。 OpenID Connect (OIDC) を使うと、マネージドユーザーを含む Enterprise の認証を管理することができます。 OIDC SSO の有効化は、GitHub と IdP によって管理される証明書を使ったワンクリックの設定プロセスです。

企業で OIDC SSO を使うと、GitHub は IdP の条件付きアクセスポリシー (CAP) の IP 条件を自動的に使って、メンバーが IP アドレスを変更したとき、personal access token または SSH キーが使われるたびに、GitHub でのユーザー操作を検証します。詳しくは、「IdP の条件付きアクセスポリシーのサポートについて」を参照してください。

IdP から GitHub に対して発行される ID トークンの有効期間ポリシープロパティを変更することによって、セッションの有効期間と、マネージドユーザーアカウントが IdP で再認証を行う必要がある頻度を調整できます。既定の有効期間は 1 時間です。詳しくは、Azure AD のドキュメントの「トークンの有効期間ポリシーを構成する」をご覧ください。

注: OIDC セッションの有効期間の構成についてサポートが必要な場合は、Microsoft サポートにお問い合わせください。

現在、認証に SAML SSO を使っており、OIDC を使って CAP サポートの恩恵を受けたい場合は、移行パスをたどることができます。詳しくは、「SAML から OIDC への移行」を参照してください。

警告: GitHub Enterprise Importer を使って組織をお使いの GitHub Enterprise Server インスタンスから移行する場合は、Azure AD の CAP が免除されているサービスアカウントを使ってください。そうしないと、移行を実行してもブロックされる可能性があります。

ID プロバイダーのサポート

OIDC のサポートは、Azure Active Directory (Azure AD) を使っているお客様が使用できます。

各 Azure AD テナントは、Enterprise Managed Users との 1 つの OIDC 統合のみをサポートできます。 Azure AD を GitHub 上の複数のエンタープライズに接続する場合は、代わりに SAML を使います。詳しくは、「エンタープライズマネージドユーザーの SAML シングルサインオンの構成」を参照してください。

OIDC では、IdP によって開始される認証はサポートされていません。