GitHub で Enterprise メンバーのユーザー アカウントを作成、管理、非アクティブ化するには、IdP が GitHub とのコミュニケーション用に SCIM を できる場合があります。 SCIM は、システム間のユーザー ID を管理するためのオープン仕様です。 IDP が異なると、SCIM プロビジョニングの構成に異なるエクスペリエンスが提供されます。
パートナー IdP を使用する場合は、パートナー IdP のアプリケーションを使用して SCIM プロビジョニングの構成を簡略化できます。 プロビジョニングにパートナー IdP を使用しない場合は、SCIM 用 GitHubの REST API の呼び出しを使用して SCIM を実装できます。 詳細については、「Enterprise Managed Users の概要.
メモ
GitHub では、Microsoft Entra ID Government Cloud や Okta Government Cloud など、Government Cloud 環境で使用するための ID プロバイダー (IdP) ギャラリー アプリケーションはテストまたは検証されません。 これらの環境のギャラリー アプリケーションに関連する認証と SCIM プロビジョニングの問題は、GitHubのサポート範囲外です。
SCIM を使用したユーザー ライフサイクル管理について
SCIM を使用すると、IdP からユーザー アカウントのライフサイクルを管理できます。
Enterprise Managed Usersのプロビジョニングを構成した後、IdP は SCIM を使用してGitHubにユーザー アカウントをプロビジョニングし、そのアカウントを enterprise に追加します IdP 内のアプリケーションにグループを割り当てると、IdP はグループのすべてのメンバーのアカウントをプロビジョニングします。
- IdP でユーザーの ID に関連付けられている情報を更新すると、IdP は GitHubでユーザーのアカウントを更新します。
- IdP アプリケーションからユーザーの割り当てを解除するか、IdP でユーザーのアカウントを非アクティブ化すると、IdP は GitHub と通信してセッションを無効にし、メンバーのアカウントを無効にします。 無効なアカウントの情報が維持され、ユーザー名が元のユーザー名のハッシュに変更され該当する場合は短いコードが追加されます。
- ユーザーを IdP アプリケーションに再割り当てするか、IdP で自分のアカウントを再アクティブ化すると、ユーザー アカウントが再アクティブ化され、ユーザー名が復元されます。
チームと組織のメンバーシップ、リポジトリへのアクセス、アクセス許可を構成するには、IdP でグループを使用できます。 詳しくは、「ID プロバイダー グループを使用したチーム メンバーシップの管理」をご覧ください。
前提条件
新しい企業に対して SCIM プロビジョニングを構成する場合は、最初の構成プロセスでこれまでの全手順を完了してください。 「Enterprise Managed Users を使ってみる」を参照してください。
ユーザー プロビジョニングの設定 Enterprise Managed Users
GitHubのセットアップが完了したら、IdP でプロビジョニングを構成できます。 この手順は、認証とプロビジョニングの両方にパートナー IdP のアプリケーションを使用するかどうかによって異なります。
パートナー IdP のアプリケーションを使用する場合のプロビジョニングの構成
認証とプロビジョニングの両方でパートナー IdP のアプリケーションを使用するには、次の表のリンクでプロビジョニングを構成するためのパートナーの手順を確認します。
| IdP | SSO の方法 | 手順 |
|---|---|---|
| Microsoft Entra ID (旧称 Azure AD) | OIDC | |
| Tutorial: Microsoft Learn GitHub Enterprise Managed User (OIDC) を構成して自動ユーザー プロビジョニングを行います | ||
| 保守する | SAML | |
| Tutorial: Microsoft Learn で GitHub Enterprise Managed User を構成して自動ユーザー プロビジョニングを設定する | ||
| Okta | SAML | |
| okta を使用した SCIM プロビジョニングの構成 | ||
| PingFederate | SAML | 「前提条件」と「2. [PingFederate を使用して認証とプロビジョニングを設定する] の [SCIM の構成] セクション |
他の ID 管理システムのプロビジョニングの構成
パートナー IdP を使用しない場合、または SAML 認証にパートナー IdP のみを使用する場合は、SCIM プロビジョニング用に GitHubの REST API エンドポイントを使用してユーザー アカウントのライフサイクルを管理できます。 「REST API を使用した SCIM でユーザーとグループのプロビジョニング」を参照してください。
メモ
OIDC が有効になっている企業では、SCIM プロビジョニング用の REST API の使用はサポートされていません。
GitHub は、認証とプロビジョニングのためにパートナー IdP の混在を明示的にサポートしていません。また、すべての ID 管理システムをテストしていません。 GitHub のサポート チームは、混合または未テストのシステムに関連する問題を支援できない場合があります。 ヘルプが必要な場合は、システムのドキュメント、サポート チーム、またはその他のリソースを参照する必要があります。
重要
SSO と SCIM に対する Okta と Entra ID の組み合わせ (順序は問いません) は、明示的にサポートされていません。 この組み合わせが構成されている場合、GitHub の SCIM API から、プロビジョニングの試行時に ID プロバイダーにエラーが返されます。
-
ユーザー名 SHORTCODE_admin を使って、Enterprise のセットアップ ユーザーとしてサインインします。SHORTCODE は、Enterprise の短いコードに置き換えます。
メモ
セットアップ ユーザーのパスワードをリセットする必要がある場合、GitHub のサポート から GitHub Support ポータル に問い合わせます。 メール アドレスを指定した通常のパスワードのリセット オプションは機能しません。
-
企業ページに移動してください。 たとえば、GitHub.com の [Enterprise] ページから。
-
ページの上部にある [ ID プロバイダー] をクリックします。
-
[Identity Provider] で、[Single sign-on configuration] をクリックします。
-
[SCIM 構成を開く]で、[SCIM 構成を開くを有効にする]を選択します。
-
SCIM プロビジョニングのため、REST API エンドポイントを呼び出してユーザーのライフサイクルを管理します。 「REST API を使用した SCIM でユーザーとグループのプロビジョニング」を参照してください。
割り当て 割り当てる
認証とプロビジョニングを構成設定した後、ユーザーまたはグループを GitHub アプリケーションに割り当てることで、GitHub Enterprise Managed User で新しいユーザーをプロビジョニングできます。
ユーザーを割り当てるときは、IdP 上のアプリケーションで "Roles" 属性を使って、Enterprise 内でのユーザーのロールを設定できます。 割り当てることができるロールの詳細については、「企業における役割の能力」を参照してください。
Entra ID は、入れ子になったグループのプロビジョニングをサポートしていません。 詳細については、「アプリケーション プロビジョニングが Microsoft Learn の Microsoft Entra ID で動作する方法」を参照してください。