Azure AD を使用した認証とユーザプロビジョニングについて
Azure Active Directory (Azure AD) は、ユーザアカウントと Web アプリケーションへのアクセスを一元管理できる Microsoft のサービスです。 詳細については、Microsoft Docs の「Azure Active Directory とは」を参照してください。
GitHub AE で IAM に IdP を使う場合、リポジトリ、issue、pull request などの Enterprise リソースへのアクセスは、SAML SSO によって制御やセキュリティ保護が行われます。 IdP に変更を加えると、ユーザー アカウントの作成と ご自分のエンタープライズ へのアクセスの管理は SCIM によって自動的に行われます。 また、GitHub AE 上の team を IdP 上のグループと同期することもできます。 詳細については、次の記事を参照してください。
- 「エンタープライズ IAM の SAML について」
- Enterprise 用の SCIM を使用したユーザーのプロビジョニングを構成する
- 「Team をアイデンティティプロバイダグループと同期する」
Azure AD を使って GitHub AE に対して SAML SSO と SCIM を有効にした後、Azure AD テナントから以下を実行できます。
- Azure AD の GitHub AE アプリケーションをユーザー アカウントに割り当て、GitHub AE 上に対応するユーザー アカウントを自動的に作成して、アクセスを許可します。
- Azure AD 上のユーザー アカウントへの GitHub AE アプリケーションの割り当てを解除し、GitHub AE の対応するユーザー アカウントを非アクティブ化します。
- GitHub AE アプリケーションを Azure AD の IdP グループに割り当てて、IdP グループのすべてのメンバーに対する GitHub AE 上のユーザー アカウントを自動的に作成して、アクセスを許可します。 さらに、Team とその親 Organization に接続するために、GitHub AE で IdP グループを利用できます。
- IdP グループから GitHub AE アプリケーションの割り当てを解除すると、その IdP グループを介してのみアクセスしていたすべての IdP ユーザーの GitHub AE ユーザー アカウントが非アクティブ化され、親 Organization からユーザーが削除されます。 IdP グループは GitHub AE のどの Team からも切断されます
ご自分のエンタープライズ でのエンタープライズの ID およびアクセス管理について詳しくは、「Enterprise IAM での SAML の使用」をご覧ください。
前提条件
-
Azure AD を使用して GitHub AE の認証とユーザプロビジョニングを設定するには、Azure AD アカウントとテナントが必要です。 詳細については、Azure AD Web サイトおよび Microsoft Docs の「クイックスタート: Azure Active Directory テナントを作成する」を参照してください。
-
IdP で専用のマシン ユーザー アカウントを作成して使用し、GitHub AE 上の最初の Enterprise 所有者アカウントに関連付ける必要があります。 このユーザアカウントの認証情報は、パスワードマネージャに安全に保存してください。 詳しくは、「Enterprise 用の SCIM を使用したユーザーのプロビジョニングを構成する」を参照してください。
Azure AD を使用して認証とユーザプロビジョニングを設定する
Azure AD テナントで、GitHub AE 用のアプリケーションを追加してから、プロビジョニングを構成します。
-
Azure AD で、GitHub AE アプリケーション をテナントに追加し、シングル サインオンを構成します。 詳しくは、Microsoft Docs のチュートリアル: Azure Active Directory シングル サインオン (SSO) と GitHub AE の統合に関する記事をご覧ください。
-
GitHub AE で、Azure AD テナントの詳細を入力します。
-
初期化の間にSAML IdPの詳細を入力することによって、GitHub AEのアイデンティティとアクセスの管理を設定することになります。 詳しくは、「GitHub AE を初期化する」を参照してください。
-
別の IdP を使って ご自分のエンタープライズ の SAML SSO を既に設定しており、その代わりに Azure AD を使う場合は、構成を編集できます。 詳しくは、「Enterprise 向けの SAML シングルサインオンを設定する」を参照してください。
-
-
GitHub AE でユーザプロビジョニングを有効化し、Azure AD でユーザプロビジョニングを設定します。 詳しくは、「Enterprise 用の SCIM を使用したユーザーのプロビジョニングを構成する」を参照してください。
エンタープライズ所有者の管理
エンタープライズ所有者にユーザーを指定する手順は、SAML だけを使用するか、SCIM も使用するかによって変わります。 Enterprise 所有者について詳しくは、「Enterprise におけるロール」を参照してください。
プロビジョニングを構成した場合、GitHub AE でユーザーにエンタープライズ所有権を付与するには、Azure AD のユーザーにエンタープライズ所有者ロールを割り当てます。
プロビジョニングを構成しなかった場合は、GitHub AE でユーザーにエンタープライズ所有権を付与するには、IdP のユーザー アカウントに対して、SAML アサーションの administrator 属性を、true の値を指定して含めます。 Azure AD からの SAML 要求に administrator 属性を含める方法の詳細については、Microsoft Docs の「エンタープライズ アプリケーションの SAML トークンで発行された要求のカスタマイズ」を参照してください。