GitHub Enterprise Managed Users - SAML認証 × ユーザープロビジョニング

本記事では、OneLogin から GitHub Enterprise Managed Users へのSAML シングルサインオン（SSO）およびSCIM ユーザープロビジョニングの設定手順をご案内します。

目次

• 前提条件
• ユーザープロビジョニングとSAML連携の設定
  1. GitHub側の操作
  2. OneLogin側の設定
  3. GitHub側の設定
• ユーザープロビジョニングの動作確認
• SAML SSOの動作確認
• ユーザープロビジョニングの自動化
• ユーザープロビジョニングの無効化
• SAML SSOの無効化

前提条件

• OneLoginのライセンスプラン が Professional または旧ライセンスプラン Unlimited のいずれかであること
• OneLoginの Super User または Account Owner 権限を持つアカウントを所有していること
• GitHub Enterprise CloudにおけるEnterprise roleが Owner であること
• GitHubの環境が Enterprise with managed users であること
  

ユーザープロビジョニングとSAML連携の設定

1. GitHub側の操作

1. GitHub を開き、設定対象となるEnterpriseの Owner でサインインします
   
   
    
2. ［Generate SCIM token］をクリックします
   
   
    
3. scim:enterprise にチェックが入っていることを確認し、［Generate token］をクリックします
   
   
    
4. 発行されたトークンをクリップボードへコピーし、［Continue setup］をクリックします
   
   
    
5. ［Enable single sign-on］をクリックします
   
   
    
6. ［Add SAML configuration］をクリックします
   
   
    
7. assertion consumer service URL の Enterprise URL slug 部分をクリップボードへコピーします
   （例: pentio-enterprise）
   

2. OneLogin側の設定

1. OneLoginに管理者でログインし、管理 を開きます
   
   
    
2. Applications > Applications を開きます
   
   
    
3. ［Add App］をクリックします
   
   
    
4. GitHub Enterprise Managed Users を検索し、該当コネクタを選択します
   
   
    
5. ［Save］をクリックします
   
   
    
6. Configuration タブに移動し、1. GitHub側の設定 手順7 でコピーした Enterprise URL slug を入力します
   
    
7. SCIM Base URL に 1. GitHub側の設定 手順7 でコピーした Enterprise URL slug を含む https://api.github.com/scim/v2/enterprises/<Enterprise URL slug>/ を入力後、API Connection の［Enable］をクリックし、API Status が Enabled に変更されることを確認します
   
   
    
8. SCIM Bearer Token に 1. GitHub側の設定 手順4 でコピーしたトークンの値を入力します
   
   
    
9. SSO タブに移動し、SAML Signature Algorithm を［SHA-256］に変更します
   
   
    
10. Access タブに移動し、本アプリへのアクセス権を割り当てるロールを選択します
    
    
     
11. Provisioning タブに移動し、Enable provisioning にチェックを入れます
    
    
     
12. Parameters タブに移動し、Role を選択します
    *Parameters タブにおける username prefix フィールドに指定できる文字列は、英数字または先頭以外に含めることができる - のみです。また、初期値は Email name part に設定されておりますが、OneLoginのテナント内にドメイン違いで同一の Email name part を持つ複数のメールアドレスを登録されている場合は、一意な値を持つ他のフィールドを選択してください。
    
    
     
13. user と入力し、［Save］をクリックします
    
    
     
14. Rules タブに移動し、［Add Rule］をクリックします
    
    
     
15. Name（例: 管理部 -> enterprise_owner）を入力し、add condition［+］をクリックします
    
    
     
16. GitHubにおけるroleに enterprise_owner を割り当てたいユーザーが含まれるRoleを選択します
    *2. OneLogin側の設定 手順10 で選択したRoleにも、該当のユーザーが含まれている必要があります。
    
    
     
17. Actions から［Set Role in GitHub Enterprise Managed Users］を選択します
    
    
     
18. ［ - Macro - ］を選択します
    
    
     
19. enterprise_owner と入力し、［Save］をクリックします
    
    
     
20. ［Save］をクリックします
    
    
     
21. SSO タブに移動し、Issuer URL をクリップボードへコピーします
    
    
     
22. SAML 2.0 Endpoint (HTTP) をクリップボードへコピーします
    
    
     
23. View Details をクリックします
    
    
     
24. X.509 Certificate の内容をクリップボードへコピーします
    

3. GitHub側の設定

1. Sign on URL に 2. OneLogin側の設定 手順22 でコピーした SAML 2.0 Endpoint (HTTP) を入力します
   
   
    
2. Issuer に 2. OneLogin側の設定 手順21 でコピーした Issuer URL を入力します
   
   
    
3. Public certificate に 2. OneLogin側の設定 手順24 でコピーした X.509 Certificate の内容を入力し、［Test SAML configuration］をクリックします
   
   
    
4. Passed: Successfully authenticated your SAML SSO identity. と表示されることを確認し、［Save SAML settings］をクリックします
   
   
    
5. Recovery codes の［Download］または［Print］または［Copy］を一つ以上選択して保存後、［Enable SAML authentication］をクリックします
   
   
    
6. Single sign-on settings のトグルをクリックし、On にします
   
   
    
7. Open SCIM Configuration のトグルをクリックし、On にします
   

ユーザープロビジョニングの動作確認

1. Users タブに移動し、2. OneLogin側の設定 手順16 で選択したRoleに割り当てられているEnterprise管理用ユーザーの Pending をクリックします
   
   
    
2. role が enterprise_owner となっていることを確認し、［Approve］をクリックします
   
   
    
3. Provisioning State が Provisioned に変更されることを確認し、その他のユーザーも同様に Pending をクリックします
   
   
    
4. role が user となっていることを確認し、［Approve］をクリックします
   
   
    
5. GitHub Enterpriseを開き、People タブに移動します
   
   
    
6. ユーザープロビジョニングにより、OneLoginにおける Email name part を名前に持つGitHubアカウントが追加されていることを確認します
   

ユーザープロビジョニングの動作確認は以上です。

SAML SSOの動作確認

1. OneLoginに 4. ユーザープロビジョニングの動作確認 でプロビジョニング済みのユーザーでログインし、2. OneLogin側の設定 で追加したアプリケーションを選択します
   
   
    
2. SSOに成功すると、GitHub Enterpriseの Dashboard が表示されることを確認します
   

SAML SSOの動作確認は以上です。

ユーザープロビジョニングの自動化

1. Provisioning タブに移動し、自動実行したい操作のチェックを外し、［Save］をクリックします
   
   
    
2. More Actions > Reapply entitlement mappings を選択します
   
   
    
3. ［OK］をクリックします
   
   
    
4. Users タブに移動し、全ユーザーの Provisioning State が Provisioned に変化していることを確認します
   

ユーザープロビジョニングの自動化は以上です。

ユーザープロビジョニングの無効化

1. GitHub Enterpriseを開き、Identity provider タブに移動します
   
   
    
2. Open SCIM Configuration のトグルをクリックします
   
   
    
3. トグルの On が Off に変わることを確認します
   

ユーザープロビジョニングの無効化は以上です。

SAML SSOの無効化

1. Manage SSO をクリックします
   
   
    
2. SAML single sign-on のトグルをクリックします
   
   
    
3. 内容を確認し、［Disable SAML single sign-on］をクリックします
   
   
    
4. SAML authentication is disabled と表示されることを確認します
   

SAML SSOの無効化は以上です。