GitHubでSAML認証を実現するには、"Business Cloud"、"Enterprise"である必要があります。https://github.com/pricing
OneLogin側の設定
OneLoginに管理者アカウントでログインして、"Apps > Add Apps"を開き、"GitHub"と検索して、"GitHub.com"を選択します。
表示名を入力して"SAVE"を押します。
"Configuration"メニューを開きGitHubの"Organization"名を入力し、"SAVE"を押します。
"SSO"メニューを開き、"X.509証明書"、SAMLアルゴリズムを設定します。
GitHubの標準設定が、SHA-256を利用しているため、証明書及び、アルゴリズムは"SHA-256"を指定することを推奨します。
証明書が、SHA-256ではない場合は、以下の手順で、新規で証明書を作成することができます。
https://serverworks-msp.zendesk.com/knowledge/articles/360014202233
その後、該当証明書と、"IssuerURL"、"SAML 2.0 Endpoint (HTTP)"の内容を控えて置きます。
※GitHub側の設定時に利用します。
Accessのメニューを開き、利用させたいユーザーが所属しているRoleを指定して"SAVE"を押します。
GitHub側の設定
GitHubのOrganization管理者でログインし、"Settings > Security"を開き、"Enable SAML authentication"を有効にします。
OneLogin側で取得したデータを以下のように入力して"Test SAML Configuration"を押します。
| OneLogin | GitHub |
| X.509 Certificate | Public certificate |
| Issuer URL | Issuer |
| SAML 2.0 Endpoint (HTTP) | Sign on URL |
Testが正常に終了すると、以下の画像が画面に表示されます。
エラーが表示された場合は、OneLogin側の値を確認しましょう。
ユーザー側の設定
GitHubにSAML SSOを行う場合、OneLogin側のメールアドレスが、GitHubのUserIDと連携されます。
そのため、GitHubを利用するユーザーは、組織のメールアドレスでユーザーが作成されているか、以下のように、予備のメールアドレスに組織のアドレスが追加されている必要があります。
組織のアドレスを追加するには、ユーザーの"Settings > Emails"を開き、"Add email address"に組織のアドレスを追加して"Add"を押します。
その後、該当アドレスに、確認のメールが送信されるので、メールに記載された"Verify Email"を押して完了です。
ログイン確認
OneLogin→GitHub
OneLoginのコネクタをクリックして、該当GitHub OrganizationへSAMLログインを実施します。
SAMLログイン成功後、通常のGitHubのログイン認証が求められます。
この認証をクリアすることで、通常のGitHubアカウントと、OrganizationのGitHubを利用することができます。
GitHub→Organization
Organizationに招待されているGitHubアカウントで、ログインを行い、該当Organizationを選択します。
以下のようにSSOを行う画面が表示されるので、Continueを押します。
OneLoginのログインセッションがある場合は、そのまま、Organizationの画面に移動します。
ログインを行っていない場合は、OneLoginのログイン画面に遷移するため、そのまま、OneLoginにログインすることで、Organizationへログインが完了します。
