GitHub で Enterprise メンバーのユーザー アカウントを作成、管理、非アクティブ化するには、IdP 実装する必要 できる場合があります。 SCIM は、システム間のユーザー ID を管理するためのオープン仕様です。 IDP が異なると、SCIM プロビジョニングの構成に異なるエクスペリエンスが提供されます。
パートナー IdP を使用する場合は、パートナー IdP のアプリケーションを使用して SCIM プロビジョニングの構成を簡略化できます。 プロビジョニングにパートナー IdP を使用しない場合は、SCIM 用 GitHubの REST API の呼び出しを使用して SCIM を実装できます。 詳細については、「」を参照してください。GitHub Enterprise Server での SCIM を使用したユーザー プロビジョニングについて。
メモ
GitHub では、Microsoft Entra ID Government Cloud や Okta Government Cloud など、Government Cloud 環境で使用するための ID プロバイダー (IdP) ギャラリー アプリケーションはテストまたは検証されません。 これらの環境のギャラリー アプリケーションに関連する認証と SCIM プロビジョニングの問題は、GitHubのサポート範囲外です。
これらの指示に従う必要があるのは誰ですか？
インスタンスで既に SAML 認証が使用されている場合や、以前のプライベート プレビュー バージョンで SCIM GitHub Enterprise Serverに登録されている場合でも、バージョン 3.14 以降で SCIM を有効にするには、このガイドのすべての手順に従っている必要があります。
このガイドは、次のいずれかの状況で適用されます。
- SAML と SCIM を初めて設定している場合: 次の手順に従って作業を開始します。
- SAML 認証を既に使用している場合: インスタンスで SCIM を有効にする必要があります。さらに、自動プロビジョニングをサポートする IdP アプリケーションを使用して SAML を再構成するか、REST API との SCIM 統合を設定する必要があります。
- SCIM プライベート プレビューに登録されました。インスタンスで SCIM を再び有効にする必要があります。パートナー IdP を使用している場合は、更新された IdP アプリケーションで設定を再構成します。
前提条件
- SCIM は、サーバー間プロトコルです。 インスタンスの REST API エンドポイントには、SCIM プロバイダーからアクセスできる必要があります。
次の表に、IDP を使用して GHES SCIM を構成するためのネットワーク要件を示します。
| System | 通信方向 | 目的 | プロトコル/ポート | 注記 |
|---|---|---|---|---|
| ギットハブ エンタープライズ サービス | 受信 | ユーザーとグループの IdP から SCIM API 要求を受信します | TCP 443 (HTTPS) | |
| IDP から AUTOTITLE に到達できる必要があります | ||||
| ID プロバイダー (IdP) | 送信 | SCIM プロビジョニング要求をユーザーとグループのGitHubに送信する | TCP 443 (HTTPS) | IdP は SCIM クライアントとして機能し、GitHubの SCIM API エンドポイントへの送信 HTTPS 接続を開始します。 |
- 認証では、インスタンスで SAML SSO を使用するか、SAML とビルトイン認証を組み合わせて使用する必要があります。
- SCIM を他の外部認証方法と混在させることはできません。 CAS または LDAP を使用する場合は、SCIM を使用する前に SAML に移行する必要があります。
- SCIM を構成したら、SCIM を引き続き使用するには、SAML 認証を有効にしておく必要があります。
- IdP への管理者アクセスが必要です。
- GitHub Enterprise Serverの管理コンソールにアクセスできる必要があります。
- 既存のユーザーを持つインスタンスで SCIM を構成する場合は、SCIM がこれらのユーザーを識別して更新する方法を理解していることを確認してください。 「GitHub Enterprise Server での SCIM を使用したユーザー プロビジョニングについて」を参照してください。
1. 組み込みのセットアップ ユーザーを作成する
SCIM が有効になっているときにログインと設定の構成を続行できるようにするには、ビルトイン認証を使用してエンタープライズ所有者を作成します。
-
管理コンソールにアクセスできるユーザーとして GitHub Enterprise Server にサインインします。
-
既に SAML 認証を有効にしている場合、設定で組み込みの認証ユーザーを作成して昇格できることを確認します。 管理コンソールの [認証] セクションに移動し、次の設定を有効にします:
- [ビルトイン認証でのアカウントの作成を許可する] を選択して、ユーザーを作成できるようにします。
- [管理者降格/昇格を無効にする] を選択して、SAML プロバイダーの外部で管理者アクセス許可を付与できるようにします。
これらの設定の検索については、「Enterprise 向けの SAML シングルサインオンを設定する」をご覧ください。
-
インスタンスに対してプロビジョニング アクションを実行するためのユーザー名
scim-adminを使用して組み込みのユーザー アカウントを作成します。 「使用しているプロバイダーの外部ユーザーのためのビルトイン認証の許可」を参照してください。ユーザーの Email とユーザー名が、SCIM を使用したプロビジョニングを計画しているユーザーとは異なっていることを確認します。 Email プロバイダーでサポートされている場合は、
+admin(例:johndoe+admin@example.com) を追加してメール アドレスを変更できます。
セットアップ ユーザーには任意のユーザー名を使用できますが、 scim-adminを使用することをお勧めします。
scim-admin ユーザーは最初の作成時にライセンスを使いますが、SCIM が有効になるとライセンスは解放されます。 他のユーザー名を使用すると、SCIM が有効になった後もユーザーは引き続きライセンスを使用します。
-
ユーザーを作成した後、パスワードのリセット リンクをコピーし、プライベート ブラウザー ウィンドウで開きます。 このユーザーのパスワードを設定します。
重要
このユーザーは緊急用アカウントとして機能するため、そのパスワードはパスワード マネージャーで厳重に保存してください。 そうしないと、このアカウントにアクセスできなくなる可能性があります。
-
ユーザーをエンタープライズ オーナーに昇格します。 「サイト管理者の昇格あるいは降格」を参照してください。
2. personal access token を作成してください
-
前のセクションで作成した 組み込みセットアップ ユーザー としてインスタンスにログインします。
-
personal access token (classic)を作成します。 手順については、「個人用アクセス トークンを管理する」を参照してください。
- トークンには
scim:enterpriseスコープが必要です。 - トークンに有効期限は必要ありません。 有効期限を指定した場合、有効期限が過ぎると SCIM は機能しなくなります。
- トークンには
-
セットアップ プロセスの後半でトークンが再び必要になるまで、トークンをパスワードマネージャーに安全に保管してください。 IdP で SCIM を構成するには、トークンが必要です。
3. インスタンスで SAML を有効にする
メモ
このセクションは、次のいずれかの状況に該当する場合に完了してください: * まだ SAML 認証を有効にしていない 場合は、 SCIM を有効にする前に有効にする必要があります。
- SAML 認証を既に使用していて、認証とプロビジョニングの両方にパートナー IdP を使用する場合、または SCIM プライベート プレビューからアップグレードする場合は、新しいアプリケーションを使用して SAML を再構成する必要があります。
-
管理コンソールにアクセスできるユーザーとしてインスタンスにサインインします。
-
管理コンソールの [認証] セクションに移動します。 手順については、「Enterprise 向けの SAML シングルサインオンを設定する」を参照してください。
-
[SAML] を選択します。
-
要件と使用している IdP に従って SAML 設定を構成します。
- そのため、組み込みのセットアップ ユーザーは引き続き認証を行うことができます。次の設定を選択してください:
- ビルトイン認証でのアカウントの作成を許可する
- 管理者の降格/昇格を無効にする
- パートナー IdP を使用している場合は、設定を構成するために必要な情報を見つけるには、関連するガイドの「SAML の構成」セクションに従います。
- そのため、組み込みのセットアップ ユーザーは引き続き認証を行うことができます。次の設定を選択してください:
-
必要に応じて、IdP 内のアプリケーション内で SAML 設定の構成を完了します。 または、後で実行するまでこの手順を終了することもできます。
4. インスタンスで SCIM を有効にする
-
以前に作成した 組み込みセットアップ ユーザー としてインスタンスにサインインします。
-
GitHub Enterprise Server の右上隅にあるプロフィール画像をクリックしてから、[Enterprise settings] をクリックします。
-
ページの上部にある [ Settings] をクリックします。
-
[ Settings] の下にある [Authentication security] をクリックします。
-
[SCIM 構成]で、[SCIM 構成を有効にする] を選択します。
インスタンスの監査ログをチェックすることで、SCIM が有効になっていることをチェックできます。 インスタンスでGitHubの SCIM REST API が有効になっていることを示す "business.enable_open_scim" イベントが表示されます。
5. ID プロバイダーを構成する
GitHubのセットアップが完了したら、IdP でプロビジョニングを構成できます。 この手順は、認証とプロビジョニングの両方にパートナー IdP のアプリケーションを使用するかどうかによって異なります。
パートナー IdP のアプリケーションを使用する場合のプロビジョニングの構成
認証とプロビジョニングの両方にパートナー IdP のアプリケーションを使用するには、以下にリンクされている手順を確認します。 SCIM を有効にする手順と、まだ実行していない SAML 構成を完了します。
他の ID 管理システムのプロビジョニングの構成
パートナー IdP を使用しない場合、または SAML 認証にパートナー IdP のみを使用する場合は、SCIM プロビジョニング用に GitHubの REST API エンドポイントを使用してユーザー アカウントのライフサイクルを管理できます。 「REST API を使用した SCIM でユーザーとグループのプロビジョニング」を参照してください。
メモ
OIDC が有効になっている企業では、SCIM プロビジョニング用の REST API の使用はサポートされていません。
GitHub は、認証とプロビジョニングのためにパートナー IdP の混在を明示的にサポートしていません。また、すべての ID 管理システムをテストしていません。 GitHub のサポート チームは、混合または未テストのシステムに関連する問題を支援できない場合があります。 ヘルプが必要な場合は、システムのドキュメント、サポート チーム、またはその他のリソースを参照する必要があります。
重要
SSO と SCIM に対する Okta と Entra ID の組み合わせ (順序は問いません) は、明示的にサポートされていません。 この組み合わせが構成されている場合、GitHub の SCIM API から、プロビジョニングの試行時に ID プロバイダーにエラーが返されます。
6.設定の更新
構成プロセスが完了したら、管理コンソールで次の設定を無効にすることをお勧めします。
- 管理者の降格/昇進を無効化: この設定を無効にすることで、SCIMを使ってエンタープライズオーナーロールの割り当てを可能にします。 この設定が有効なままの場合、SCIM を介して Enterprise 所有者をプロビジョニングすることはできません。
必要に応じて、管理コンソールで次の設定を無効にすることもできます。
- 組み込みの認証を使用したアカウントの作成を許可する: すべてのユーザーを IdP からプロビジョニングする場合は、この設定を無効にします。
7。 ユーザーとグループ 割り当てる
認証とプロビジョニングを構成設定した後、ユーザーまたはグループを IdP の関連アプリケーションに割り当てることで、GitHub Enterprise Managed User で新しいユーザーをプロビジョニングできます。
ユーザーを割り当てるときは、IdP 上のアプリケーションで "Roles" 属性を使って、Enterprise 内でのユーザーのロールを設定できます。 割り当てることができるロールの詳細については、「企業における役割の能力」を参照してください。
Entra ID は、入れ子になったグループのプロビジョニングをサポートしていません。 詳細については、「アプリケーション プロビジョニングが Microsoft Learn の Microsoft Entra ID で動作する方法」を参照してください。