Entra IDを使用するエンタープライズ用の認証とプロビジョニングの構成

Microsoft Entra ID (旧称 Azure AD) のテナントを ID プロバイダー (IdP) として使用して、お使いの GitHub Enterprise Server インスタンスの認証とユーザープロビジョニングを一元管理できます。

この機能を使用できるユーザーについて

Enterprise owners can configure authentication and provisioning for an enterprise on GitHub Enterprise Server.

この記事の内容

Entra ID を使用した認証とユーザープロビジョニングについて

Entra ID は、ユーザアカウントと Web アプリケーションへのアクセスを一元管理できる Microsoft のサービスです。詳細については、Microsoft Docs の「Microsoft Entra ID とは」を参照してください。

GitHub Enterprise Server で IAM に IdP を使う場合、リポジトリ、issue、pull request などの Enterprise リソースへのアクセスは、SAML SSO によって制御やセキュリティ保護が行われます。 IdP に変更を加えると、ユーザーアカウントの作成とお使いの GitHub Enterprise Server インスタンスへのアクセスの管理は SCIM によって自動的に行われます。また、GitHub Enterprise Server 上の team を IdP 上のグループと同期することもできます。詳細については、次の記事を参照してください。

注: GitHub Enterprise Server の SCIM は現在プライベートベータ版であり、変更される可能性があります。ベータ版にアクセスするには、GitHub の営業チームのアカウントマネージャーにお問い合わせください。 [GitHub Community ディスカッション] にフィードバックをお寄せください。

警告: ベータ版はテストとフィードバック専用であり、サポートは利用できません。 GitHub では、ステージングインスタンスを使用したテストをお勧めします。詳しくは、「ステージングインスタンスのセットアップ」を参照してください。

Entra ID を使用して GitHub Enterprise Server に対して SAML SSO と SCIM を有効にした後、Entra ID テナントから以下を実行できます。

Entra ID 上の GitHub Enterprise Server アプリケーションをユーザーアカウントに割り当て、GitHub Enterprise Server 上に対応するユーザーアカウントを自動的に作成して、アクセス権を付与します。
Entra ID 上のユーザーアカウントへの GitHub Enterprise Server アプリケーションの割り当てを解除して、GitHub Enterprise Server の対応するユーザーアカウントを非アクティブ化します。
GitHub Enterprise Server アプリケーションを Entra ID 上の IdP グループに割り当てて、IdP グループのすべてのメンバーに対して GitHub Enterprise Server 上でユーザーアカウントを自動的に作成して、アクセス権を付与します。さらに、Team とその親 Organization に接続するために、GitHub Enterprise Server で IdP グループを利用できます。
IdP グループから GitHub Enterprise Server アプリケーションの割り当てを解除すると、その IdP グループを介してのみアクセスしていたすべての IdP ユーザーの GitHub Enterprise Server ユーザーアカウントが非アクティブ化され、親 Organization からユーザーが削除されます。 IdP グループは GitHub Enterprise Server のどの Team からも切断されます

お使いの GitHub Enterprise Server インスタンスでのエンタープライズの ID およびアクセス管理について詳しくは、「Enterprise IAM での SAML の使用」をご覧ください。

前提条件

Entra ID を使用して GitHub Enterprise Server の認証とユーザープロビジョニングを設定するには、Entra ID アカウントとテナントが必要です。詳細については、Entra ID の Web サイトと Microsoft Docs の「クイックスタート: テナントを設定する」を参照してください。
お使いの GitHub Enterprise Server インスタンス用に SAML SSO を構成する必要があります。詳しくは、「Configuring SAML single sign-on for your enterprise」を参照してください。
IdP で専用のマシンユーザーアカウントを作成して使用し、GitHub Enterprise Server の 1 つの Enterprise 所有者アカウントに関連付ける必要があります。このユーザアカウントの認証情報は、パスワードマネージャに安全に保存してください。詳しくは、「Enterprise 用の SCIM を使用したユーザーのプロビジョニングを構成する」を参照してください。

Entra ID を使用して認証とユーザープロビジョニングを設定する

お使いの GitHub Enterprise Server インスタンス用に SAML SSO を構成します。詳しくは、「Configuring SAML single sign-on for your enterprise」を参照してください。
インスタンス用の SCIM を使用したユーザーのプロビジョニングを構成する詳しくは、「Enterprise 用の SCIM を使用したユーザーのプロビジョニングを構成する」を参照してください。

エンタープライズ所有者の管理

エンタープライズ所有者にユーザーを指定する手順は、SAML だけを使用するか、SCIM も使用するかによって変わります。 Enterprise 所有者について詳しくは、「Enterprise におけるロール」を参照してください。

プロビジョニングを構成した場合、GitHub Enterprise Server でユーザーにエンタープライズ所有権を付与するには、Entra ID でユーザーにエンタープライズオーナーロールを割り当てます。

プロビジョニングを構成しなかった場合は、GitHub Enterprise Server でユーザーにエンタープライズ所有権を付与するには、IdP のユーザーアカウントに対して、SAML アサーションの administrator 属性を、true の値を指定して含めます。 Entra ID からの SAML 要求に administrator 属性を含める方法の詳細については、Microsoft Docs のエンタープライズアプリケーションの SAML トークンで発行された要求をカスタマイズする方法に関するページを参照してください。