SAML サービスプロバイダーとして GitHub Enterprise Cloud を設定する

GitHub Enterprise Cloud（github.com）の組織向けに、SAML2 Web App アドオンを使用して Auth0 を IDプロバイダーとして設定する方法について説明します。

Auth0 を、GitHub Enterprise Cloud (github.com) の IDプロバイダー として設定できます。GitHub で外部の SAML IdP を使用するには、Enterprise レベルのサブスクリプションが必要です。

• GitHub の SSO については、https://docs.github.com の About authentication with SAML single sign-on を参照してください。
• GitHub Enterprise Server (プライベートインスタンス) の IDプロバイダーとして Auth0 を設定する方法については、Configure Auth0 as Identity Provider for GitHub Enterprise Server を参照してください。

​

Auth0 で SAML SSO を設定する

1. Dashboard > Applications > Applications に移動し、新しいアプリケーションを作成します。GitHub などのわかりやすい名前を付けてください。アプリケーションの種類はどれでも選択できますが、Regular Web App を推奨します。

2. Addons タブに移動し、SAML2 Web App トグルを有効にします。

3. Settings タブで、Application Callback URL を次の値に設定します。https://github.com/orgs/{YOUR_GITHUB_ORG_NAME}/saml/consume

   

4. 次のコードを Settings テキストボックスに貼り付け、Debug をクリックします。

   {
         "audience": "https://github.com/orgs/{yourGitHubOrgName}",
         "mappings": {
       "user_id": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
       "email": "emails",
       "name": "full_name"
         },
         "passthroughClaimsWithNoMapping": false,
         "mapIdentities": false,
         "signatureAlgorithm": "rsa-sha256",
         "digestAlgorithm": "sha256",
         "nameIdentifierProbes": [
       "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier"
         ]
       }
   
   1. {YOUR_GITHUB_ORG_NAME} は、サブスクリプションに対応する GitHub の組織名に置き換えます。このマッピングでは、user_id が Name Identifier として GitHub に送信されます。これは、GitHub アプリケーションで複数の接続を有効にしている場合に適した設定です。各ユーザーに異なる ID が割り当てられるため、一意性を確保できます。
   2. 単一の接続を使用している場合は、よりわかりやすい Name Identifier として nickname や別の一意な識別子を使用することもできます (ただし、選択するプロパティが一意であることを確認してください) 。たとえば、Name Identifier として nickname を使用する場合、上記の mappings セクションは次のようになります。

5. タブの一番下までスクロールし、Enable をクリックします。

6. Usage タブで Identity Provider Metadata を見つけ、Download をクリックしてメタデータファイルをダウンロードします。これは、Auth0 を IDプロバイダーとして設定するときに必要です。

   

​

GitHub で SAML SSO を設定する

1. GitHub の 組織向けに SAML シングルサインオン (SSO) を有効にしてテストする の手順に従って、GitHub Enterprise Cloud 側の設定を完了します。
2. 次の情報が必要です。

フィールド	入力値
サインオン URL	https://{yourDomain}/samlp/{CLIENT_ID} {'{CLIENT_ID}'} には、Auth0 で作成した GitHub アプリケーションの client_id を指定します。
発行者	urn:auth0:{yourTenant}
公開証明書	https://{yourDomain}/pem からダウンロードします。ダウンロードしたファイルをテキストエディタで開き、内容をコピーして GitHub のテキストエリアに貼り付けます。
署名方式	RSA256-SHA256
ダイジェスト方式	SHA256

3. GitHub のドキュメントで推奨されているように、組織で SAML SSO を有効にする前に Test SAML configuration をクリックし、入力した情報が正しいことを確認します。

組織向けの SAML シングルサインオン (SSO) を設定する際は、Require SAML SSO authentication for all members of the organization をオフのままにしておくことで、組織のメンバーに影響を与えずに実装をテストできます。