В продолжение темы SSO, Okta и SAML.
Для Jenkins всё сделано (см. Jenkins: SAML, Okta, группы пользователей и Role-Based Security) — теперь пришёл черёд Github.
Идея та же: в Okta держим список пользователей, при логине в Github (наш Service provider, SP) — он должен запросить авторизацию у нашего Identity Provider, IDP — Okta, используя SAML.
Используем приложение Okta Github Enterprise Cloud — Organization.
Документация:
- How to Configure SAML 2.0 for GitHub Enterprise Cloud — Organization
- About authentication with SAML single sign-on
Чего пока не нашёл, как реализовать — так это передать группы из Okta в Github как teams пользователя.
Содержание
Trial Github Enterprise Cloud — Organization
Для того, что бы использовать SAML в Github — необходим тип аккаунта Github Enterprise Cloud — Organization.
Для тестов — создадим новую огранизацию и возьмём Enterprise на trial-период.
Переходим в огранизацию, Settings > Security:
Сейчас тут нет ни SAML, ни SSH-сертификатов.
Переходим на страницу GitHub Enterprise Cloud:
Кликаем Trial — создаём новую организацию:
Можно сразу добавить пользователей:
Теперь мой пользователь имеется доступ к трём огранизациям — рабочий проект, и два личных, в том числе только что созданный тестовый с Enterprise:
Переходим в Settings — Security организации, и тут уже доступен SAML:
Okta SAML — настройка Github Enterprise Cloud — Organization
Переходим в Okta — Applications — Add application, находим Github Enterprise Cloud — Organization:
Задаём имя организации в том же виде, в котором она задана в Github:
Переходим во вкладку Sign On:
Кликаем на View Setup Instructions — будем переадресованы на стрицу с уже готовыми настройками для нашего SAML:
Настройка SAML в Github Organization
Переходим в Github, кликаем Enable SAML authentication, заполняем поля данными со страницы, которую открыли выше в View Setup Instructions, тут просто скпировать значения трёх полей:
Возвращаемся в приложение Github в Okta, во вкладке Assignments подключаем приложение тестовому пользователю:
В Github кликаем Test SAML configuration:
Логинимся с тестовым пользователем из Okta — проверка пройдена:
Внизу не забываем нажать Save.
Проверка SAML
Находим SSO URL:
Открываем его в инкогнито:
Кликаем Continue — и нас переадресует на страницу аутентификации в Okta:
Тут можно либо создать нового пользователя — либо залогиниться с уже существующим аккаунтом Github.
В любом случае Okta использует Just In Time (JIT) Provisioning для добавления пользователя в Github организацию:
Логинимся:
И получаем доступ к огранизации:
Готово.
Осталось придумать с группами.
