Okta を使う SAML シングルサインオンおよび SCIM を設定する

Okta で Security Assertion Markup Language (SAML) シングル サインオン (SSO) と System for Cross-domain Identity Management (SCIM) を使用して、 GitHubで組織へのアクセスを自動的に管理できます。

この機能を使用できるユーザーについて

Organization owners can configure SAML SSO and SCIM using Okta for an organization.

この記事で

Okta での SAML と SCIM について

ID プロバイダー (IdP) である Okta で SAML SSO と SCIM を使用するように組織を構成することで、1 つの中央インターフェイスから、 GitHub やその他の Web アプリケーション上の組織へのアクセスを制御できます。

メモ

SAML シングル サインオンを使うには、organization が GitHub Enterprise Cloud を使っている必要があります。 GitHub Enterprise Cloud を無料で試す方法の詳細については、「GitHub Enterprise Cloud の試用版を設定する」を参照してください。

SAML SSO は、リポジトリや Issue、Pull Requestといった Organization のリソースに対するアクセスを制御し、保護します。 SCIM は、Okta で変更を加えたときに、 GitHub に対するメンバーの組織へのアクセスを自動的に追加、管理、および削除します。 詳細については、「SAML シングルサインオンを使うアイデンティティおよびアクセス管理について」および「組織におけるSCIMについて」を参照してください。

SCIM を有効にすると、okta で GitHub Enterprise Cloud アプリケーションを割り当てるすべてのユーザーに対して、次のプロビジョニング機能を使用できるようになります。

機能説明
新規ユーザーへのプッシュ通知Okta で新しいユーザーを作成すると、ユーザーは GitHubに組織に参加するための電子メールを受け取ります。
ユーザ無効化のプッシュOkta でユーザーを非アクティブ化すると、Okta は GitHubで組織からユーザーを削除します。
プロフィール更新をプッシュ通知するOkta でユーザーのプロファイルを更新すると、Okta は、 GitHubで組織内のユーザーのメンバーシップのメタデータを更新します。
ユーザの再アクティブ化Okta でユーザーを再アクティブ化すると、Okta はユーザーが GitHubに組織に再び参加するための招待メールを送信します。

あるいは、EnterpriseでOktaを使うSAML SSOを設定することもできます。 Enterpriseアカウント用のSCIMは、Enterprise管理のユーザでのみ利用できます。 詳細については、「Okta を使用して Enterprise 向けの SAML シングル サインオンを設定する」および「okta を使用した SCIM プロビジョニングの構成」を参照してください。

Okta で SAML を構成する

  1. Okta ダッシュボードで [アプリケーション] メニューを展開し、続いて [アプリケーション] をクリックします。
  2. [アプリ カタログの参照] をクリックします。
  3. "GitHub Enterprise Cloud - Organization" という名前のアプリケーションを検索します。
  4. [統合の追加] をクリックします。
  5. フォームに入力し、 GitHub に組織の名前を入力し、[アプリケーション ラベル] フィールドに一意の名前を入力します。
  6. Oktaでユーザにアプリケーションを割り当ててください。 詳細については、Okta ドキュメントの「Assign applications to users (ユーザーにアプリケーションを割り当てる)」を参照してください。
  7. アプリケーションの名前の下にある [サインオン] をクリックします。
  8. [サインオン方法] で [セットアップ手順の表示] をクリックします。
  9. 「SAML 2.0 の構成方法」ガイドのサインオン URL、発行者 URL、パブリック証明書を使用して、 GitHub で SAML SSO を有効にしてテストします。 詳しくは、「組織向けの SAML シングルサインオンを有効化してテストする」をご覧ください。

Okta で SCIM を使ってアクセスのプロビジョニングを設定する

組織で SCIM を使用するには、サードパーティ所有の OAuth app を使用する必要があります。 OAuth app では、特定の GitHub ユーザーによって承認される必要があり、その後は、そのユーザーに代わって動作します。 この OAuth app を最後に承認したユーザーが組織から離れるか、組織から削除された場合、SCIM は動作を停止します。 この問題を回避するために、SCIM を構成するための専用ユーザー アカウントを作成することをお勧めします。 このユーザー アカウントは組織の所有者である必要があり、ライセンスを使用します。

  1. 組織オーナーであり、できれば SCIM 構成専用として使用するアカウントを使って、GitHub にサインインします。

  2. Organization のアクティブな SAML セッションを作成するには、https://github.com/orgs/ORGANIZATION-NAME/sso に移動します。 詳しくは、「シングル サインオンでの認証について」をご覧ください。

  3. Okta に移動します。

  4. 左側のサイドバーで、 [アプリケーション] ドロップダウンを使用し、 [アプリケーション] をクリックします。

  5. アプリケーションのリストで、GitHub Enterprise Cloudを使うOrganizationのために作成したアプリケーションのラベルをクリックしてください。

  6. アプリケーションの名前の下で [プロビジョニング] をクリックします。

  7. [API 統合の構成] をクリックします。

  8. [Enable API integration](API 統合を有効にする) を選択します。

    メモ

    [グループのインポート] は、GitHub ではサポートされていません。 チェックボックスを選択または選択解除しても、構成には影響しません。

  9. [GitHub Enterprise Cloud - 組織で認証] をクリックします。

  10. 組織名の右側にある [付与] をクリックします。

    メモ

    組織が表示されない場合は、 OAuth app アクセス制限が組織で有効になっている可能性があります。 続行するには、組織の「OKTA SCIM 統合」アプリを承認する必要があります。 詳しくは、「貴社用の OAuth アプリを承認する」をご覧ください。

  11. [OktaOAN の承認] をクリックします。

  12. 保存をクリックします。

  13. 同期エラーを回避し、ユーザーが SAML と SCIM のリンク ID を有効にしていることを確認するには、組織のユーザーを監査することをお勧めします。 詳しくは、「組織の ID とアクセス管理のトラブルシューティング」をご覧ください。

  14. [アプリへのプロビジョニング] の右側にある [編集] をクリックします。

  15. [ユーザーの作成] の右側にある [有効] を選びます。

  16. [ユーザー属性の更新] の右側にある [有効] を選びます。

  17. [ユーザーの非アクティブ化] の右側にある [有効] を選びます。

  18. [保存] をクリックします。

参考資料