エンタープライズマネージドユーザーの OIDC の構成

OpenID Connect (OIDC) シングルサインオン (SSO) を構成し、IdP の条件付きアクセスポリシー (CAP) のサポートを有効にすることで、GitHub 上の Enterprise アカウントへのアクセスを自動的に管理する方法について説明します。

この機能を使用できるユーザーについて

GitHub Enterprise Cloud で Enterprise Managed Users を使用するエンタープライズアカウントで使用できます。「Enterprise Managed Users について」をご覧ください。

この記事の内容

Note

Enterprise Managed Users に対する OpenID Connect (OIDC) と条件付きアクセスポリシー (CAP) のサポートは、Microsoft Entra ID (旧称 Azure AD) でのみ使用できます。

エンタープライズマネージドユーザーの OIDC について

Enterprise Managed Users を使用すると、エンタープライズは ID プロバイダー (IdP) を使用してすべてのメンバーを認証します。 OpenID Connect (OIDC) を使うと、マネージドユーザーを含む Enterprise の認証を管理することができます。 OIDC SSO の有効化は、GitHub と IdP によって管理される証明書を使ったワンクリックの設定プロセスです。

企業で OIDC SSO を使うと、GitHub は IdP の条件付きアクセスポリシー (CAP) の IP 条件を自動的に使って、メンバーが Web UI を使用するか IP アドレスを変更したとき、およびpersonal access tokenまたはユーザーアカウントに関連付けられた SSH キーを使用した認証のたびに、GitHub での操作を検証します。「IdP の条件付きアクセスポリシーのサポートについて」を参照してください。

Note

Web セッションの CAP 保護は現在パブリックプレビュー段階にあり、変更される可能性があります。

2024 年 11 月 5 日より後に IdP CAP サポートを有効にする新しい企業では、Web セッションの保護が既定で有効になります。

IdP CAP のサポートを既に有効にしている既存の企業は、企業の [Authentication security] 設定から Web セッションの拡張保護をオプトインできます。

IdP から GitHub に対して発行される ID トークンの有効期間ポリシープロパティを変更することによって、セッションの有効期間と、マネージドユーザーアカウントが IdP で再認証を行う必要がある頻度を調整できます。既定の有効期間は 1 時間です。 Microsoft ドキュメントの「トークンの有効期間ポリシーを構成する」を参照してください。

有効期間ポリシープロパティを変更するには、Enterprise Managed Users OIDC に関連付けられているオブジェクト ID が必要です。「Entra OIDC アプリケーションのオブジェクト ID の検索」をご覧ください。

Note

OIDC セッションの有効期間の構成についてサポートが必要な場合は、Microsoft サポートにお問い合わせください。

現在、認証に SAML SSO を使っており、OIDC を使って CAP サポートの恩恵を受けたい場合は、移行パスをたどることができます。詳しくは、「SAML から OIDC への移行」を参照してください。

警告: GitHub Enterprise Importer を使って Organization をお使いの GitHub Enterprise Server インスタンスから移行する場合、Entra ID の CAP が免除されているサービスアカウントを使ってください。そうしないと、移行を実行してもブロックされる可能性があります。

ID プロバイダーのサポート

OIDC のサポートは、Entra ID を使用しているお客様が利用できます。

各 Entra ID テナントは、Enterprise Managed Users との OIDC 統合を 1 つだけサポートできます。 Entra ID を GitHub 上の複数のエンタープライズに接続するには、代わりに SAML を使います。「Enterprise マネージドユーザーの SAML シングルサインオンの構成」をご覧ください。

OIDC では、IdP によって開始される認証はサポートされていません。