Tutorial: Integração do SSO do Microsoft Entra com uma organização do GitHub Enterprise Cloud

Neste tutorial, você aprenderá a integrar uma Organização do GitHub Enterprise Cloud com o Microsoft Entra ID. Ao integrar uma organização do GitHub Enterprise Cloud com o Microsoft Entra ID, você pode:

• Controle no Microsoft Entra ID quem tem acesso à sua organização do GitHub Enterprise Cloud.
• Gerenciar o acesso à sua organização do GitHub Enterprise Cloud em um local central.

Pré-requisitos

Para começar, você precisará dos seguintes itens:

• Uma assinatura do Microsoft Entra. Caso você não tenha uma assinatura, obtenha uma conta gratuita.
• Uma organização do GitHub criada no GitHub Enterprise Cloud, que exige o plano de cobrança do GitHub Enterprise.

Descrição do cenário

Neste tutorial, configure e teste o logon único do Microsoft Entra em um ambiente de teste.

• O GitHub dá suporte ao SSO iniciado por SP.

• Ele também dá suporte ao provisionamento Automatizado de usuário (convites da organização).

Adicionar o GitHub da galeria

Para configurar a integração do GitHub no Microsoft Entra ID, você precisa adicionar o GitHub da galeria à sua lista de aplicativos SaaS gerenciados.

1. Entre no Centro de administração do Microsoft Entra como pelo menos Administrador de Aplicativo de nuvem.
2. Navegue até Identidade>Aplicativos>Aplicativos empresariais>Novo aplicativo.
3. Na seção Adicionar da galeria, digite GitHub na caixa de pesquisa.
4. Selecione GitHub Enterprise Cloud – Organização no painel de resultados e adicione o aplicativo. Aguarde alguns segundos enquanto o aplicativo é adicionado ao seu locatário.

Opcionalmente, você também pode usar o Assistente de Configuração de Aplicativos do Enterprise. Neste assistente, você pode adicionar um aplicativo ao seu locatário, adicionar usuários/grupos ao aplicativo, atribuir funções, bem como percorrer a configuração de SSO. Saiba mais sobre os assistentes do Microsoft 365.

Configurar e testar o SSO do Microsoft Entra para GitHub

Configure e teste o SSO do Microsoft Entra com o GitHub usando um usuário de teste chamado B. Fernandes. Para que o SSO funcione, você precisa estabelecer uma relação de vínculo entre um usuário do Microsoft Entra e o usuário relacionado no GitHub.

Para configurar e testar o SSO do Microsoft Entra com o GitHub, execute as seguintes etapas:

1. Configurar o SSO do Microsoft Entra – para permitir que os usuários usem esse recurso.
   1. Crie um usuário de teste do Microsoft Entra para testar o logon único do Microsoft Entra com B.Silva.
   2. Atribuir o usuário de teste do Microsoft Entra – para permitir que B.Fernandes use o logon único do Microsoft Entra.
2. Configurar o SSO do GitHub – para configurar o logon único no lado do aplicativo.
   1. Criar um usuário de teste do Nimbus – Para ter um equivalente de B. Fernandes no GitHub que esteja vinculado à representação de usuário no Microsoft Entra.
3. Testar o SSO – para verificar se a configuração funciona.

Configurar o SSO do Microsoft Entra

Siga estas etapas para habilitar o SSO do Microsoft Entra.

1. Entre no Centro de administração do Microsoft Entra como pelo menos Administrador de Aplicativo de nuvem.

2. Navegue até Identidade>Aplicativos>Aplicativos empresariais>GitHub>Logon único.

3. Na página Selecionar um método de logon único, escolha SAML.

4. Na página Configurar o logon único com o SAML, clique no ícone de caneta da Configuração Básica do SAML para editar as configurações.

   

5. Na seção Configuração Básica do SAML, insira os valores para os seguintes campos:

   a. Na caixa de texto Identificador (ID da Entidade) , digite uma URL usando o seguinte padrão: https://github.com/orgs/<Organization ID>

   b. No URL de resposta caixa de texto, digite uma URL usando o seguinte padrão: https://github.com/orgs/<Organization ID>/saml/consume

   c. Na caixa de texto URL de Logon, digite uma URL usando o seguinte padrão: https://github.com/orgs/<Organization ID>/sso

   Observação

   Observe que esses não são os valores reais. Você precisa atualizar esses valores com o Identificador, a URL de Resposta e a URL de Logon reais. Aqui, sugerimos que você use o valor exclusivo de cadeia de caracteres no Identificador. Acesse a seção Administração do GitHub para recuperar esses valores.

6. Seu aplicativo GitHub espera as declarações de SAML em um formato específico, o que exige que você adicione mapeamentos de atributo personalizados de acordo com sua configuração de atributos do token SAML. A captura de tela a seguir mostra a lista de atributos padrão, enquanto o Identificador de Usuário Único (ID de nome) é mapeado com user.userprincipalname. O aplicativo GitHub espera que o Identificador de Usuário Único (ID de nome) seja mapeado com user.mail. Portanto, você precisa editar o mapeamento de atributos clicando no ícone Editar e alterando-o.

   

7. Na página Configurar logon único com SAML, na seção Certificado de Autenticação SAML, clique em Fazer o download para fazer o download do Certificado (Base64) usando as opções fornecidas de acordo com seus requisitos e salve-o no computador.

   

8. Na seção Configurar o GitHub, copie as URLs apropriadas de acordo com suas necessidades.

   

Criar um usuário de teste do Microsoft Entra

Nesta seção, você criará um usuário de teste chamado B.Fernandes.

1. Entre no centro de administração do Microsoft Entra como, no mínimo, Administrador de Usuários.
2. Navegue até Identidade>Usuários>Todos os usuários.
3. Na parte superior da tela, selecione Novo usuário>Criar novo usuário.
4. Nas propriedades do Usuário, siga estas etapas:
   1. No campo Nome de exibição, insira B.Simon.
   2. No campo Nome principal do usuário, insira o username@companydomain.extension. Por exemplo, B.Simon@contoso.com.
   3. Marque a caixa de seleção Mostrar senha e, em seguida, anote o valor exibido na caixa Senha.
   4. Selecione Examinar + criar.
5. Selecione Criar.

Atribuir o usuário de teste do Microsoft Entra

Nesta seção, você permitirá que B.Fernandes use o logon único permitindo acesso ao GitHub.

1. Entre no Centro de administração do Microsoft Entra como pelo menos Administrador de Aplicativo de nuvem.

2. Navegue até Identidade>Aplicativos>Aplicativos empresariais>GitHub.

3. Na página de visão geral do aplicativo, localize a seção Gerenciar e escolha Usuários e grupos.

4. Escolha Adicionar usuário e, em seguida, Usuários e grupos na caixa de diálogo Adicionar Atribuição.

5. Na caixa de diálogo Usuários e grupos, selecione B.Fernandes na lista Usuários e clique no botão Selecionar na parte inferior da tela.

6. Se você estiver esperando que uma função seja atribuída aos usuários, escolha-a na lista suspensa Selecionar uma função. Se nenhuma função tiver sido configurada para esse aplicativo, você verá a função "Acesso Padrão" selecionada.

   

7. Na caixa de diálogo Adicionar atribuição, clique no botão Atribuir.

Configurar o SSO do GitHub

1. Em outra janela do navegador da Web, faça logon em seu site de organização do GitHub como administrador.

2. Navegue até Configurações e clique em Segurança.

   

3. Marque a caixa Habilitar autenticação SAML, revelando os campos de configuração de Logon Único e execute as seguintes etapas:

   

   a. Copie o valor da URL de Logon único e cole-o na caixa de texto URL de Logon na Configuração Básica do SAML.

   b. Copie o valor da URL do serviço do consumidor de declaração e cole-o na caixa de texto URL de resposta na Configuração Básica do SAML.

4. Configure os seguintes campos:

   

   a. Na caixa de texto URL de Logon, cole o valor da URL de Logon copiado anteriormente.

   b. Na caixa de texto Emissor, cole o valor do Identificador do Microsoft Entra copiado anteriormente.

   c. Abra o certificado baixado do portal do Azure no bloco de notas e cole o conteúdo na caixa de texto Certificado Público.

   d. Clique no ícone Editar para editar o Método de Assinatura e Método de Resumo do RSA-SHA1 e SHA1 para RSA-SHA256 e SHA256 conforme mostrado abaixo.

   e. Atualize a URL do serviço do consumidor de declaração (URL de Resposta) da URL padrão para que a URL no GitHub corresponda à URL no registro do aplicativo do Azure.

   

5. Clique em Testar configuração de SAML para confirmar que não há falhas de validação ou erros durante o SSO.

   

6. Clique em Salvar

Observação

O logon único no GitHub se autentica em uma organização específica no GitHub e não substitui a autenticação do GitHub em si. Portanto, se a sessão do github.com do usuário expirou, você poderá ser solicitado a autenticar-se com a ID/senha do GitHub durante o processo de logon único.

Criar um usuário de teste do GitHub

O objetivo desta seção é criar um usuário chamado Britta Simon no GitHub. O GitHub dá suporte ao provisionamento automático de usuário, que está habilitado por padrão. Você pode encontrar mais detalhes aqui sobre como configurar o provisionamento automático de usuários.

Se você precisar criar o usuário manualmente, execute as seguintes etapas:

1. Faça logon em seu site de empresa do GitHub como administrador.

2. Clique em Pessoas.

   

3. Clique em Convidar membro.

   

4. Na caixa de diálogo Convidar membro, execute as seguintes etapas:

   a. Na caixa de texto Email, digite o endereço de email da conta de Brenda Fernandes.

   

   b. Clique em Enviar Convite.

   

   Observação

   O titular da conta do Microsoft Entra receberá um email e clicará em um link para confirmar sua conta antes que ela se torne ativa.

Testar o SSO

Nesta seção, você vai testar a configuração de logon único do Microsoft Entra com as opções a seguir.

• Clique em Testar este aplicativo, isso irá redirecionar para a URL de logon do GitHub, onde você pode iniciar o fluxo de logon.

• Acesse a URL de Entrada do GitHub diretamente e inicie o fluxo de logon desse local.

• Você pode usar os Meus Aplicativos da Microsoft. Quando você clicar no bloco do GitHub em Meus Aplicativos, isso redirecionará para a URL de logon do GitHub. Para obter mais informações sobre os Meus Aplicativos, confira Introdução aos Meus Aplicativos.

Próximas etapas

Depois de configurar o GitHub, você poderá impor o controle de sessão, que fornece proteção contra exfiltração e infiltração dos dados confidenciais da sua organização em tempo real. O controle da sessão é estendido do acesso condicional. Saiba como impor o controle de sessão com o Microsoft Defender for Cloud Apps.