Okta SSO
このガイドでは、OktaでBitriseをSAMLアプリケーションとして設定する手順を段階的に説明します。
SAML SSOは、一部のプランでのみ利用できます。SAML SSOが Workspaceのプランで利用可能かどうかは、サポートまでお問い合わせください。
SAML SSO機能は上記のプランに紐づいているため、無料プランにダウングレードすると、この機能は利用できなくなります。Workspaceのすべてのメンバーにダウングレードに関するメールが送信されます。SAML SSOをWorkspaceで再び使用したい場合は、2週間以内に再アップグレードしてください。
SAML SSOをWorkspaceに接続する前に:
- OktaにログインしているOkta管理者がすぐに対応できる状態にしてください。
- Workspace のオーナーのみが、Bitrise Workspace に SAML SSO を設定できる点にご注意ください。
- Bitrise のアカウントに、有料プランのいずれかの Workspace があります。
BitriseをOktaに追加するClick to copy link
BitriseはOktaに統合されたアプリではありません。まずBitriseをOktaに手動で追加してから、その上でSAML SSOを設定します。
Bitrise WorkspaceアカウントとOktaを行き来するため、両方のページを開いておいてください。具体的には、WorkspaceのオーナーがBitriseにログインし、Oktaの管理者がOktaにログインしている状態にします。
-
Oktaにログインし、Adminをクリックします。
-
左側のメニューから、Applicationsセクションの下にあるApplicationsを選択します。
-
Create App Integrationボタンをクリックします。
これにより、Create a new app integrationウィンドウが開きます。
-
Sign-in methodとしてSAML 2.0オプションを選択し、Nextをクリックします。
-
General Settingsの手順で、App nameフィールドにBitriseを入力します(必要に応じて、アプリのロゴを追加することもできます)。Nextをクリックします。
-
Bitrise Workspaceに移動し、左側のメニューにあるSingle Sign-onタブをクリックします。
-
Copyボタンをクリックして、Assertion Consumer Service URL (ACS URL)をコピーします。
-
OktaのConfigure SAMLページに戻り、Step 7でコピーしたURLをSingle sign-on URLの入力フィールドに貼り付けます。
-
Audience URI (SP Entity ID)にBitriseを入力します。
今すぐOkta証明書ファイルをダウンロードし、その内容をBitrise WorkspaceのSingle Sign-OnページにあるSAML SSO provider certificateフィールドに貼り付けるか、ファイル自体をアップロードできます。どのみちBitriseでAssertion Consumer Service URL (ACS URL)を入力する必要があるため、後回しにしてしまう方が簡単です。これはOktaでBitriseをSAMLアプリとして設定する際に取得します。BitriseのSingle Sign-onページで、まだConfigure SSOをクリックしないでください。
-
Name ID formatをEmailAddressに設定します。
-
Nextをクリックします。
-
Feedbackセクションを入力します。Hit Finish。
-
Applications内でSign-onタブに移動し、Settingsの隣にあるEditをクリックします。
-
Credential Detailsセクションまでスクロールし、Application username formatがEmailに設定されていることを確認します。
-
Saveをクリックします。
お疲れさまでした!BitriseがOktaにアプリとして正常に追加されました。
Okta向けにBitriseをSAMLアプリとして設定するClick to copy link
-
BitriseアプリのAssignmentsタブをクリックします。
ここでは、個人またはグループにBitriseを割り当てられます。SAML経由でBitrise WorkspaceにアクセスするすべてのWorkspaceメンバーにBitriseを割り当ててください。
-
BitriseアプリのSign-Onタブをクリックします。SAMLの設定がまだ完了していないことが表示されます。下にスクロールし、View SAML setup instructionsをクリックします。
How to Configure SAML 2.0 for Bitrise applicationページが表示されます。このページには、BitriseとOktaの間でSAML接続を設定するために必要なすべての情報がまとめられています。
-
Identity Provider Single Sign-On URLをコピーし、Bitrise WorkspaceのSSO URLフィールドに貼り付けます。
Bitrise WorkspaceのSAML SSO provider certificateフィールドに証明書の内容をまだ貼り付けていない、またはファイル自体をまだアップロードしていない場合は、ここで行ってください。
-
必要に応じて、SSO Logout URLフィールドを入力し、複数のWorkspacesが同じOktaインスタンスを使用する場合はApplication Identifierフィールドも入力します。
-
Bitrise WorkspaceでConfigure SSOをクリックします。
以上です!これ以降、Single Sign-onページにアクセスするたびに、SAML SSOの設定を行えます。
OktaでSCIMプロビジョニングを設定するClick to copy link
Oktaを使用して、Bitrise向けにSCIMプロビジョニングを設定できます。
SCIMはBitrise Workspacesに対するユーザーのアクセスを管理する優れた方法ですが、SCIMのプロビジョニングの設定が完了した後、Bitriseでグループの初期設定を行う必要があります。グループの設定方法の詳細については、Workspaceグループをプロジェクトに追加するをご覧ください。
Bitrise WorkspaceアカウントとOktaを行き来するため、両方のページを開いておいてください。具体的には、WorkspaceのオーナーがBitriseにログインし、Oktaの管理者がOktaにログインしている状態にします。
-
Bitriseで、ドメインコントロールを設 定してSCIMの認証情報を生成します。以下が必要です:
- 検証済みのドメイン。
- SCIMのベースURLとSCIMの認証トークン。
後の手順で必要になるため、これらを両方とも保存しておいてください。
-
Oktaにログインし、Adminをクリックします。
-
左側のメニューから、Applicationsセクションの下にあるApplicationsを選択します。
-
Bitriseアプリを選択します。
-
BitriseアプリのGeneralタブをクリックします。
-
App Settingsセクションの隣にあるEditをクリックし、Provisioningの隣にあるラジオボタンを使ってSCIMオプションを選択します。
-
Saveをクリックします。
Provisioningという新しいタブが表示されます。
-
Oktaに戻り、Provisioningタブを選択してから、Editをクリックします。
-
BitriseからコピーしたSCIMのベースURLを、SCIM connector base URLフィールドに貼り付けます。
-
Unique identifier field for usersフィールドにuserNameを追加します。
-
Supported provisioning actionsの隣にあるチェックボックスを使って、有効にするプロビジョニングアクションを選択します。
Push Groupsは必須Push Groupsを必ず有効にしてください。これは、BitriseではWorkspaceのメンバーシップがグループ経由で機能するため、Okta/SCIMがPush Groupsを通じてWorkspaceグループを制御できるからです。
-
Authorization ModeドロップダウンメニューからHTTP Headerを選択します。
-
AuthorizationフィールドにSCIMの認証トークンをコピーして貼り付けます。
-
Test Connector Configurationをクリックして、すべてが正しく機能しているかテストします。
-
Test Connector Configurationウィンドウを閉じて、Saveをクリックします。
-
BitriseアプリのProvisioningタブをクリックし、Provisioning to Appセクションの隣にあるEditをクリックします。
-
有効にするプロビジョニングオプションを選択し、Saveをクリックします。
パスワードを同期Sync Password設定は無効のままにしておくことをお勧めします。
以上です!これで、OktaでSCIMプロビジョニングを使用して、Bitriseへのユーザーアクセスを管理できるようになりました。
SCIMを使用してOktaグループをBitriseにプッシュするClick to copy link
SCIMプロビジョニングを使用して、OktaからBitriseへpush groupsできます。グループをプッシュすると、Oktaグループが既存のBitriseグループにリンクされるか、Bitrise Workspace に新しいグループが作成されます。
いずれの場合も、グループをプッシュすることで、OktaグループとBitriseグループの間で同期を設定できます。
-
Oktaにログインし、Adminをクリックします。
-
左側のメニューから、Applicationsセクションの下にあるApplicationsを選択します。
-
Bitriseアプリを選択します。
-
Push Groupsタブをクリックします。
-
Push Groupsをクリックし、フィルタリング方法を選択します。
-
プッシュしたいグループを見つけます。
-
新しいグループを作成してBitrise Workspaceにまったく新しいグループを作成するか、Oktaグループを既存のBitriseグループにリンクする必要があります。
Match result & push actionの下にあるドロップダウンメニューを使って、これらの方法から選択できます。
グループのリンクOktaグループを既存のBitriseグループにリンクすることにした場合は、以下の点に注意してください:
- OktaとBitriseのグループ名が異なる場合、Bitriseグループの名前はOktaグループの名前と一致するように自動的に変更されます。
- 既存のBitriseグループにリンクされたグループを手動でプッシュする場合、Bitriseのみで追加されOktaグループに含まれていなかったメンバーがいると、Oktaが信頼できる唯一の情報源となるため、そのメンバーは削除されます。
-
Saveをクリックします。
Push StatusがActiveに変わると、OktaとBitriseの間の同期が完了した状態になります。数秒後には、Bitrise Workspace側でもグループが更新されるはずです。
OktaとBitriseの間でグループとユーザーを同期するClick to copy link
OktaグループをBitriseにプッシュした後、OktaとBitriseの間でグループとユーザーを同期できます。そのためには、Oktaでアプリ統合の割り当てを管理する必要があります:
-
Oktaにログインし、Adminをクリックします。
-
左側のメニューから、Applicationsセクションの下にあるApplicationsを選択します。
-
Bitriseアプリを選択します。
-
Provisioningタブで、Create UsersとDeactivate Usersのオプションが有効になっていることを確認します。
ユーザーのデプロビジョニングSCIMでユーザーをデプロビジョニングすると、そのユーザーはBitriseから自動的にログオフされ、PATが無効になります。
-
Assignmentsタブに移動します。
-
Assignをクリックし、個々のユーザーを同期する場合はAssign to Peopleを、グループを同期する場合はAssign to Groupsを選択します。
-
同期したいユーザーまたはグループを選択し、Doneをクリックします。
ドメイン検証検証済みドメインを持たない新規ユーザーには、Workspaceへの参加を招待するメールが送信されます。
会社のドメインを検証しない限り、既存のユーザーにも検証メールが送信されます。SCIMを設定する。
-
グループとユーザーを同期した後、Push Groupsタブで同期が完了したかどうかを確認できます。
Push Status列のドロップダウンメニューをクリックし、Push nowを選択することで、更新を手動でプッシュすることもできます。
"Push now" はBitriseグループを上書きしますOktaグループに含まれていないユーザーは、リンクされたBitriseグループから自動的に削除されます。