Configurar o logon único SAML e o SCIM para a sua conta corporativa usando o Okta

Sobre SAML e SCIM com Okta

Você pode controlar o acesso à conta corporativa no GitHub e em outros aplicativos web, a partir de uma interface central, configurando a conta corporativa para usar SAML SSO e SCIM com Okta, um provedor de identidade (IdP).

O SAML SSO controla e protege o acesso a recursos da conta corporativa, como, por exemplo, organizações, repositórios, problemas e pull requests. O SCIM adiciona, gerencia e remove automaticamente o acesso dos membros a organizações que pertencem à sua conta corporativa ao fazer alterações no Okta. Para obter mais informações, consulte "Aplicar as configurações de segurança na conta corporativa".

Após ativar o SCIM, os seguintes recursos de provisionamento estarão disponíveis para qualquer usuário ao qual você atribuir seu aplicativo do GitHub Enterprise Cloud no Okta.

Pré-requisitos

Você deve usar a "Interface Clássica" no Okta. Para obter mais informações, consulte Navegação Organizada no blog do Okta.

Adicionar o aplicativo GitHub Enterprise Cloud no Okta

1. No Okta, no canto superior direito, clique em Admin.
   
2. No painel do Okta, clique em Aplicativos.
   
3. Clique em Adicionar aplicativo.
   
4. No campo de busca, digite "GitHub Enterprise Cloud".
   
5. Clique em "GitHub Enterprise Cloud - Contas corporativas".
6. Clique em Salvar.
7. Opcionalmente, à direita do "Etiqueta do aplicativo", digite um nome descritivo para o aplicativo.
   
8. À direita da "Empresas de GitHub", digite o nome da conta corporativa. Por exemplo, se a URL da conta corporativa for https://github.com/enterprises/octo-corp, digite octo-corp.
   
9. Clique em Cpncluído.

Habilitar e e testar o SAML SSO

1. No Okta, no canto superior direito, clique em Admin.
   
2. No painel do Okta, clique em Aplicativos.
   
3. Clique na etiqueta para o aplicativo que você criou para a sua conta corporativa.
4. Atribua o aplicativo ao seu usuário no Okta. Para obter mais informações, consulte Atribuir aplicativos aos usuários na documentação do Okta.
5. No nome do aplicativo, clique em Iniciar sessão.
   
6. À direita das configurações, clique em Editar.
7. Em "Atributos de SAML configurados", à direita de "grupos", use o menu suspenso e selecione Correspondências de regex.
8. À direita do menu suspenso, digite .*.*.
9. Clique em Salvar.
10. Em "MÉTODOS DO INÍCIO DE SESSÃO", clique em Ver instruções de instalação.
    
11. Habilite o SAML para a conta corporativa usando as informações nas instruções de configuração. Para obter mais informações, consulte "Habilitar o logon único SAML para organizações na conta corporativa".

Criar grupos no Okta

1. No Okta, crie um grupo para corresponder a cada organização pertencente à conta corporativa. O nome de cada grupo deve corresponder ao nome da conta da organização (não ao nome de exibição da organização). Por exemplo, se a URL da organização for https://github.com/octo-org, nomeie o grupo octo-org.
2. Atribua o aplicativo que você criou para a sua conta corporativa a cada grupo. GitHub receberá todos os grupos de dados para cada usuário.
3. Adicione usuários a grupos baseados nas organizações às quais você deseja que os usuários pertençam.

Configurar o provisionamento do usuário com SCIM no Okta

Se você estiver participando do beta privado para o provisionamento de contas corporativas, ao habilitar o SAML para a sua conta corporativa, o provisionamento e desprovisionamento do SCIM é habilitado por padrão em GitHub. Você pode usar o provisionamento para gerenciar a associação à organização, configurando o SCIM no seu IdP.

Para configurar o provisionamento de usuário com SCIM no Okta, você deverá autorizar um aplicativo OAuth para criar um token que o Okta pode usar para efetuar a autenticação no GitHub em seu nome. O aplicativo okta-oauth é criado pelo Okta em parceria com GitHub.

1. No Okta, no canto superior direito, clique em Admin.
   
2. No painel do Okta, clique em Aplicativos.
   
3. Clique na etiqueta para o aplicativo que você criou para a sua conta corporativa.
4. No nome do aplicativo, clique em Provisionamento.
   
5. Clique em Configurar a Integração da API.
   
6. Selecione Habilitar a integração da API.
   
7. Clique em Efetuar a autenticação com Github Enterprise Cloud - Contas corporativas.
   
8. À direita do nome da conta corporativa, clique em Conceder.
9. Clique em Autorizar okta-oauth.
10. Clique em Salvar.
    
11. À direita do "Provisionamento para o App", clique em Editar.
    
12. À direita de "Criar usuários", selecione Habilitar.
    
13. À direita de "Atualizar Atributos do Usuário", selecione Habilitar.
    
14. À direita de "Desativar Usuários", selecione Habilitar.
    
15. Clique em Salvar.
    
16. No nome do aplicativo, clique em Grupos de push.
    
17. Use o menu suspenso Grupos de push e selecione Encontrar grupos por nome.
    
18. Adicione um grupo de push para cada organização na sua conta corporativa para a qual você deseja habilitar o provisionamento de usuários.
    • Em "GRUPOS DE PUSH POR NOME", pesquise um grupo que corresponde a uma organização que pertence à sua conta corporativa e, em seguida, clique no grupo nos resultados da pesquisa.
    • À direita do nome do grupo, no menu suspenso "Corresponder resultados & ação de push", verifique se a opção Criar Grupo está selecionada.
      
    • Clique em Salvar.
    • Repita o procedimento para cada organização.
19. No nome do seu aplicativo, clique em Atribuições.
    
20. Se você vir Provisões de usuários, usuários que eram integrantes de um grupo do Okta antes de você adicionar um grupo de push para esse grupo, não foram fornecidos. Para enviar os dados do SCIM para GitHub para esses usuários, clique em Provisionar usuários.

Habilitar o SAML usando o provisionamento de usuário

Depois de habilitar o provisionamento e desprovisionamento do SCIM, você pode habilitar, opcionalmente, o provisionamento e desprovisionamento do usuário de SAML.

1. No canto superior direito de GitHub, clique na sua foto de perfil e, em seguida, clique em Suas empresas.

   

2. Na lista de empresas, clique na empresa que você deseja visualizar.

   

3. Na barra lateral da conta corporativa, clique em Settings.

   

4. Na barra lateral esquerda, clique em Security (Segurança).

   

5. Em "Provisionamento de usuários de SAML", selecione Habilitar provisionamento de usuário de SAML.

   

6. Clique em Salvar.

7. Opcionalmente, habilite o desprovisionamento do usuário de SAML.

   • Selecione Habilitar o desprovisionamento do usuário de SAML e, em seguida, clique em Salvar.
     
   • Leia o aviso e clique em Habilitar o desprovisionamento de SAML.