Configurar el inicio de sesión único de SAML y SCIM para tu cuenta empresarial utilizando Okta

Acerca de SAML y SCIM con Okta

Puedes controlar el acceso a tu cuenta empresarial en GitHub y en otras aplicaciones web desde una interface central si configuras dicha cuenta para que utilice el SSO de SAML y SCIM con Okta, un proveedor de identidad (IdP).

El SSO de SAML controla y protege el acceso a los recursos de la cuenta empresarial como las organizaciones, repositorios, informes de problemas y solicitudes de extracción. El SCIM agrega, administra y elimina automáticamente el acceso de los miembros a las organizaciones que pertenezcan a tu cuenta empresarial cuando haces cambios en Okta. Para obtener más información, consulta "Requerir configuraciónes de seguridad en tu cuenta empresarial".

Después de que habilites SCIM, las siguientes características de aprovisionamiento estarán disponibles para cualquier usuario al que asignes tu aplicación de GitHub Enterprise Cloud en Okta.

Prerrequisitos

Debes utilizar la "IU Clásica" en Okta. Para obtener más información, consulta la sección Organized Navigation en el blog de Okta.

Agregar la aplicación GitHub Enterprise Cloud en Okta

1. En Okta, en la esquina superior derecha, da clic en Admin.
   
2. En el tablero de Okta, da clic en Aplicaciones.
   
3. Da clic en Agregar aplicación.
   
4. En el campo de búsqueda, teclea "GitHub Enterprise Cloud".
   
5. Da clic en "GitHub Enterprise Cloud - Cuentas Empresariales".
6. Da clic en Agregar.
7. Opcionalmente, a la derecha de la "Etiqueta de aplicación", teclea un nombre descriptivo para la aplicación.
   
8. A la derecha de "Empresas de GitHub", teclea el nombre de tu cuenta empresarial. Por ejemplo, si la URL de tu cuenta empresarial es https://github.com/enterprises/octo-corp, teclea octo-corp.
   
9. Haz clic en Done (listo).

Habilitar y probar el SSO de SAML

1. En Okta, en la esquina superior derecha, da clic en Admin.
   
2. En el tablero de Okta, da clic en Aplicaciones.
   
3. Da clic en la etiqueta de la aplicación que creaste para tu cuenta empresarial.
4. Asigna la aplicación a tu usuario en Okta. Para obtener más información, consulta la sección Asignar aplicaciones a los usuarios en la documentación de Okta.
5. Debajo del nombre de la aplicación, da clic en Iniciar sesión.
   
6. A la derecha de los Ajustes, da clic en Editar.
7. Debajo de "Atributos de SAML Configurados", a la derecha de "grupos"; utiliza el menú desplegable y selecciona Coincidencias de regex.
8. A la derecha del menú desplegable, teclea .*.*.
9. Haz clic en Save (Guardar).
10. Debajo de "MÉTODOS DE REGISTRO", da clic en **Ver las instrucciones de configuración".
    

Crear grupos en Okta

1. En Okta, crea un grupo para que empate con la organización que pertenezca a tu cuenta empresarial. El nombre de cada grupo debe coincidir con el nombre de cuenta de la organización (no así, con el nombre mostrado de la misma). Por ejemplo, si la URL de la organización es https://github.com/octo-org, nombra octo-org al grupo.
2. Asigna la aplicación que creaste para tu cuenta empresarial a cada grupo. GitHub recibirá todos los datos de los groups para cada usuario.
3. Agrega usuarios a los grupos basándote en las organizaciones a las cuales quisieras que pertenezcan dichos usuarios.

Configurar el aprovisionamiento de usuarios con SCIM en Okta

Si estás participando en el beta privado para el aprovisionamiento de usuario para cuentas empresariales, cuando habilites SAML para tu cuenta empresarial, se habilitará predeterminadamente el aprovisionamiento y desaprovisionamiento de SCIM en GitHub. Puedes utilizar el aprovisionamiento para administrar la membrecía de la organización si configuras SCIM en tu IdP.

Para configurar el aprovisionamiento de usuarios con SCIM en Okta, debes autorizar una aplicación de OAuth para que cree un token que Okta pueda utilizar para autenticarse en GitHub a tu nombre. Okta creó la aplicación okta-oauth en asociación con GitHub.

1. En Okta, en la esquina superior derecha, da clic en Admin.
   
2. En el tablero de Okta, da clic en Aplicaciones.
   
3. Da clic en la etiqueta de la aplicación que creaste para tu cuenta empresarial.
4. Debajo del nombre de la aplicación, da clic en Aprovisionamiento.
   
5. Da clic en Configurar la integraciòn de la API.
   
6. Selecciona Habilitar la Integraciòn de la API.
   
7. Da clic en Autenticarse con GitHub Enterprise Cloud - Cuentas Empresariales.
   
8. A la derecha del nombre de tu cuenta empresarial, da clic en Otorgar.
9. Da clic en Autorizar a okta-oauth.
10. Haz clic en Save (Guardar).
    
11. A la derecha de "Aprovisionar a la App", da clic en Editar.
    
12. A la derecha de "Crear Usuarios", selecciona Habilitar.
    
13. A la derecha de "Actualizar Atributos de Usuario", selecciona Habilitar.
    
14. A la derecha de "Desactivar Usuarios", selecciona Habilitar.
    
15. Haz clic en Save (Guardar).
    
16. Debajo del nombre de la aplicación, da clic en Grupos de Subida.
    
17. Utiliza el menú desplegable de Grupos de Subida y selecciona Encontrar grupos por nombre.
    
18. Agrega un grupo de subida para cada organización en tu cuenta empresarial en la cual quieras habilitar el aprovisionamiento de usuarios.
    • Debajo de "GRUPOS DE SUBIDA POR NOMBRE", busca el grupo que corresponda a una organización que pertenezca a tu cuenta empresarial, luego da clic en el grupo dentro de los resultados de la búsqueda.
    • A la derecha del nombre de grupo, en el menú desplegable de "Empatar resultados & acción de subida", verifica que se encuentre seleccionada la opción Crear Grupo.
      
    • Haz clic en Save (Guardar).
    • Repite esto para cada organización.
19. Debajo del nombre de tu aplicación, da clic en Tareas.
    
20. Si ves la opción Aprovisionar usuarios, los usuarios que fuesen miembros de un grupo de Okta antes de que agregaras un grupo de subida para este grupo no se han aprovisionado. Para enviar datos de SCIM de estos usuarios a GitHub, da clic en Aprovisionar usuarios.

Habilitar SAML utilizando el aprovisionamiento

Después de que habilitas el aprovisionamiento y desaprovisionamiento de SCIM, puedes habilitar opcionalmente el aprovisionamiento y desaprovisionamiento de usuarios de SAML.

1. Visita la cuenta de tu empresa en https://github.com/enterprises/ENTERPRISE-NAME, reemplazando ENTERPRISE-NAME por el nombre de la cuenta de tu empresa.
2. En la barra lateral de la cuenta de empresa, haz clic en Settings (Configuraciones).
   
3. En la barra lateral izquierda, haz clic en Security (Seguridad).
   
4. Debajo de "Aprovisionamiento de Usuarios de SAML", selecciona Habilitar el aprovisionamiento de usuarios de SAML.
   
5. Haz clic en Save (Guardar).
6. Opcionalmente, habilita el desaprovisionamiento de usuarios de SAML.
   • Selecciona Habilitar el resaprovisionamiento de usuarios de SAML, y luego da clic en Guardar.
     
   • Lee la advertencia y da clic en Habilitar el desaprovisionamiento de SAML.