关于你的 GitHub Enterprise Server 实例 上的 SAML SSO
SAML SSO 允许人员通过外部系统进行身份验证和访问 你的 GitHub Enterprise Server 实例，以便进行标识管理。
SAML 是一种基于 XML 的身份验证和授权标准。 为 你的 GitHub Enterprise Server 实例 配置 SAML 时，用于身份验证的外部系统称为标识提供者 (IdP)。 实例充当 SAML 服务提供程序 (SP)。 有关 SAML 标准的详细信息，请参阅 Wikipedia 上的安全断言标记语言。
注意：可以使用 SAML 或 LDAP，但不能同时使用两者。
分配或取消分配应用程序时，IdP 不会自动与 GitHub Enterprise Server 通信。 GitHub Enterprise Server 会在有人第一次导航到 GitHub Enterprise Server 并通过 IdP 进行身份验证来登录时使用 SAML 实时 (JIT) 预配创建用户帐户。 在授予对 GitHub Enterprise Server 的访问权限时，可能需要手动通知用户。
使用 SAML 或 CAS 时，双重身份验证在 GitHub Enterprise Server 实例上不受支持或无法管理，但受外部身份验证提供商的支持。 在组织上无法实施双重身份验证。 有关对组织强制实施双因素身份验证的详细信息，请参阅“在你的组织中要求进行双因素身份验证”。
配置 SAML 后，使用 你的 GitHub Enterprise Server 实例 的用户必须使用personal access token 对 API 请求进行身份验证。 有关详细信息，请参阅“创建个人访问令牌”。
如果想要允许对某些在你的外部验证提供程序上无帐户的人员进行身份验证，可以允许对 你的 GitHub Enterprise Server 实例 上的本地帐户进行回退身份验证。 有关详细信息，请参阅“允许对提供程序覆盖范围之外的用户进行内置身份验证”。
有关在 GitHub Enterprise Server 上配置 SAML SSO 的详细信息，请参阅“为企业配置 SAML 单点登录”。
支持的 IdP
GitHub Enterprise Server 支持 SAML SSO 与采用 SAML 2.0 标准的 IdP 一起使用。 有关详细信息，请参阅 OASIS 网站上的 SAML Wiki。
GitHub 官方支持和内部测试以下 IdP。
- Active Directory 联合身份验证服务 (AD FS)
- Azure Active Directory (Azure AD)
- Okta
- OneLogin
- PingOne
- Shibboleth
如果 IdP 支持加密断言，则可以在 GitHub Enterprise Server 上配置加密断言，以提高身份验证过程中的安全性。
GitHub Enterprise Server 不支持 SAML 单次注销。 要终止活动的 SAML 会话，用户应该直接在 SAML IdP 上注销。
延伸阅读
- OASIS 网站上的 SAML Wiki