LDAPの利用

使用しているアイデンティティプロバイダに追加せずにユーザを認証したい場合、ビルトイン認証を設定できます。詳細は「アイデンティティプロバイダ外のユーザに対するビルトイン認証を許可する」を参照してください。

このガイドの内容は以下のとおりです。

• サポートされているLDAPサービス
• LDAPでのユーザ名についての考慮
• 2 要素認証
• GitHub Enterprise Server インスタンスとのLDAPの設定
• LDAPの属性
• LDAPユーザの表示と作成
• LDAPアカウントの更新
• GitHub Enterprise Server インスタンスへのアクセスの削除

サポートされているLDAPサービス

GitHub Enterprise Server は、以下の LDAP サービスと統合できます:

• Active Directory
• FreeIPA
• Oracle Directory Server Enterprise Edition
• OpenLDAP
• Open Directory
• 389-ds

LDAPでのユーザ名についての考慮

GitHub Enterprise Serverのユーザ名に使えるのは、英数字とダッシュ（-）のみです。 GitHub Enterprise Serverは、アカウントのユーザ名に含まれている非英数字をダッシュに変換します。 たとえばgregory.st.johnというユーザ名は、gregory-st-johnに変換されます。 変換されたユーザ名の先頭及び末尾はダッシュであってはならないことに注意してください。 2つの連続するダッシュを含めることもできません。

メールアドレスから作成されたユーザ名は、@以前の文字を変換して作成されます。

複数のアカウントが変換後に同じGitHub Enterprise Serverのユーザ名になる場合、最初のユーザアカウントだけが作成されます。 同じユーザ名のそれ以降のユーザは、サインインできません。

以下の表は、ユーザ名がGitHub Enterprise Serverでどのように変換されるかの例を示しています。

2要素認証

LDAP あるいはビルトイン認証を利用する場合、2 要素認証がサポートされます。Organization の管理者は、メンバーに対して 2 要素認証を有効化することを要求できます。

GitHub Enterprise Server インスタンスとのLDAPの設定

LDAPを設定した後、ユーザは自分のLDAPクレデンシャルでインスタンスにサインインできるようになります。 ユーザが初めてサインインするときに、ディレクトリ内のLDAP属性を使ってプロフィール名、メールアドレス、SSHキーが設定されます。

Management Console経由でユーザのLDAPアクセスを設定した場合、インスタンスにユーザが初めてサインインするまで、シートは使われません。 しかし、サイト管理設定から手動でアカウントを作成した場合、シートはすぐに使われます。

1. In the upper-right corner of any page, click .

   

2. 左サイドバーで [Management Console] をクリックします。

   

3. In the left sidebar, click Authentication.

   

4. "Authentication（認証）"の下でLDAPを選択してください。

   

5. あるいは、ユーザがGitHub Enterprise Server インスタンスのアイデンティティプロバイダに属していないなら、Allow built-in authentication（ビルトイン認証の許可）を選択して、ビルトイン認証を使うように招待することもできます。

   

6. 設定を追加してください。

LDAPの属性

GitHub Enterprise Server インスタンスのlDAPの設定を完了させるために、以下の属性を使ってください。

Gitの操作のパスワード認証の無効化

LDAP 設定中の [Disable username and password authentication for Git operations（Git の操作でのユーザ名およびパスワード認証の無効化）] を選択し、Git アクセスでの個人アクセストークンあるいは SSH キーの使用を強制してください。そうすれば、サーバーが LDAP 認証のリクエストで過負荷になるのを防ぐのに役に立ちます。 特にポーリングによる大量のリクエストと組み合わさると、レスポンスの遅いLDAPサーバーは頻繁にパフォーマンス問題や障害の原因となるので、この設定をおすすめします。

このオプションが選択されると、ユーザがコマンドライン経由のGitの操作でパスワードを使おうとすると、次のようなエラーメッセージが返されます。Password authentication is not allowed for Git operations. You must use a personal access token.

LDAPの証明書検証の有効化

TLSと共に使うLDAPサーバの証明書を検証するには、LDAPの設定でEnable LDAP certificate verification（LDAPの証明書検証の有効化）を選択してください。

このオプションが選択されると、以下のことを確実にするために証明書が検証されます:

• 証明書にAlternative Name (SAN) が少なくとも1つ含まれている場合には、SANの1つがLDAPホスト名に一致し、 そうでない場合はコモンネーム (CN) がLDAPホスト名に一致すること。
• 証明書の期限が切れていないこと。
• 証明書が信頼されている認証局 (CA) によって署名されていること。

LDAP Syncの有効化

LDAP Sync を使うと、GitHub Enterprise Server のユーザおよび Team のメンバーシップを、確立された LDAP グループに対して同期できます。 そうすることで、GitHub Enterprise Server 内で手作業で行う代わりに、LDAP サーバからユーザのロールベースのアクセス制御を確立できます。 詳細は「チームを作成する」を参照してください。

To enable LDAP Sync, in your LDAP settings, select Synchronize Emails, Synchronize SSH Keys, or Synchronize GPG Keys .

LDAP Sync を有効化すると、同期のジョブが指定された間隔で動作し、各ユーザアカウントに対して以下の操作を行います:

• アイデンティティプロバイダ外のユーザに対してビルトイン認証を許可し、ユーザがビルトイン認証を使っているなら、次のユーザに進みます。
• ユーザに LDAP のマッピングが存在しないなら、ユーザをディレクトリ中の LDAP エントリにマップしようとします。 ユーザが LDAP のエントリにマップできなかった場合、ユーザをサスペンドして次のユーザに進みます。
• LDAP マッピングが存在し、ディレクトリ中の対応する LDAP のエントリが欠けている場合、そのユーザをサスペンドして次のユーザに進みます。
• 対応する LDAP のエントリが無効としてマークされており、ユーザがまだサスペンドされていないなら、そのユーザをサスペンドして次のユーザに進みます。
• 対応する LDAP のエントリが無効としてマークされておらず、そのユーザがサスペンドされており、Admin center で [Reactivate suspended users（サスペンドされたユーザを再アクティベート] が有効化されているなら、ユーザのサスペンドを解除します。
• 対応する LDAP エントリが name 属性を含んでいるなら、ユーザのプロフィール名を更新します。
• 対応する LDAP エントリが Administrators グループ内にあるなら、そのユーザをサイト管理者に昇格させます。
• 対応する LDAP エントリが Administrators グループ内にないなら、そのユーザを通常のアカウントに降格させます。
• LDAP の User フィールドがメール用に定義されているなら、ユーザのメール設定を LDAP のエントリと同期します。 最初の LDAP の mail エントリをプライマリのメールとして設定します。
• LDAP の User フィールドが公開 SSH キー用に定義されているなら、ユーザの公開 SSH キーを LDAP のエントリと同期します。
• LDAP の User フィールドが GPG キー用に定義されているなら、ユーザの GPG キーを LDAP のエントリと同期します。

同期ジョブは、LDAP グループにマップされなかった各 Team に対して以下の操作を行うためにも、指定された間隔で動作します。

• Team に対応する LDAP グループが削除された場合、すべてのメンバーを Team から削除します。
• LDAP グループから LDAP のメンバーエントリが削除された場合、対応するユーザを Team から削除します。 その結果、ユーザがリポジトリへのアクセスを失った場合、それらのリポジトリでユーザが持っていたプライベートなフォークを削除します。
• LDAP グループに LDAP のメンバーエントリが追加された場合、対応するユーザを Team に追加します。 その結果がユーザがリポジトリへのアクセスを再度得ることになった場合、過去 90 日以内にユーザがアクセスを失ったために削除されたリポジトリのプライベートフォークがリストアされます。

最適化設定の一部として、LDAP Sync は入れ子チームの構造を転送しません。子および親チームの関係を作るには、手作業で入れ子チームの構造を再作成し、対応する LDAP グループと同期しなければなりません。詳細は「Team を作成する」を参照してください。

サポートされるLDAPグループのオブジェクトクラス

GitHub Enterprise Server は、以下の LDAP グループオブジェクトクラスをサポートします。 グループは入れ子にできます。

• group
• groupOfNames
• groupOfUniqueNames
• posixGroup

LDAPユーザの表示と作成

インスタンスにアクセスできる LDAP ユーザの完全なリストを表示し、新しいユーザをプロビジョニングできます。

1. http(s)://HOSTNAME/login で GitHub Enterprise Server インスタンス にサインインしてください。

2. In the upper-right corner of any page, click .

   

3. 左のサイドバーでLDAP users（LDAPユーザ）をクリックしてください。

   

4. ユーザを検索するには、完全なユーザ名もしくはユーザ名の一部を入力し、Search（検索）をクリックしてください。 検索結果に該当するユーザが表示されます。 該当するユーザがいなければ、Create（作成）をクリックして新しいユーザアカウントをプロビジョニングできます。

   

LDAPアカウントの更新

LDAP Sync が有効化されていない限り、LDAP アカウントへの変更は自動的には GitHub Enterprise Server に同期されません。

• 新しい LDAP 管理者グループを使うには、LDAP 内での変更を反映させるためにユーザを GitHub Enterprise Server 上で手動で昇格および降格させなければなりません。
• LDAP 管理者グループに LDAP アカウントを追加あるいは削除するには、GitHub Enterprise Server 上でそのアカウントを昇格もしくは降格させてください。
• LDAP アカウントを削除するには、GitHub Enterprise Server アカウントをサスペンドしてください。

手動でのLDAPアカウントの同期

1. http(s)://HOSTNAME/login で GitHub Enterprise Server インスタンス にサインインしてください。

2. In the upper-right corner of any page, click .

   

3. 検索フィールドにユーザ名を入力して [Search（検索）] をクリックしてください。

   

4. 検索結果から、ユーザ名をクリックします。

   

5. In the upper-right corner of the page, click Admin.

   

6. In the left sidebar, click Admin.

   

7. "LDAP"の下でSync now（即時同期）をクリックして、LDAPサーバからのデータでアカウントを手動更新してください。

   

また、API を使って手動同期を開始することもできます。

GitHub Enterprise Server インスタンスへのアクセスの削除

LDAP Sync が有効化されているなら、ユーザの LDAP のクレデンシャルを削除すれば、次の同期が行われた後にそのユーザのアカウントはサスペンドされます。

LDAP Sync が有効化されていないなら、LDAP のクレデンシャルの削除後に GitHub Enterprise Server アカウントを手動でサスペンドしなければなりません。 詳細は「ユーザのサスペンドとサスペンドの解除」を参照してください。