認証設定を構成する

プリセットの使用

事前設定されたモジュールのセットをロードするには、プリセットを読み込むボタンを使用し、必要なオプションを選択して、変更を適用します。次のプリセットを使用できます。

• デフォルト ( 組み込み認証 — トークンベースおよび基本 HTTP)

• LDAP

• アクティブディレクトリ (NTLM およびトークンベースの LDAP)

• Microsoft Windows ドメイン (NTLM、トークンベースおよび基本 HTTP)

複数の認証モジュールの有効化

TeamCity を使用すると、複数の認証モジュールを同時に有効にできます。

ユーザーがサインインしようとすると、モジュールが 1 つずつ試行されます。それらの 1 つがユーザーを認証すると、ログインは成功します。それらすべてが失敗した場合、ユーザーは TeamCity にサインインできなくなります。

内部認証と外部認証を組み合わせて使用することができます。推奨されるアプローチは、最初に内部従業員用に LDAP の統合を構成してから、外部ユーザー用にビルトイン認証を追加することです。TeamCity 2020.2 以降、OAuth サービスを介した認証を有効にすることもできます。

モジュールを追加するには:

1. モジュールの追加をクリックし、ドロップダウンメニューからモジュールを選択します。

2. モジュールの追加ダイアログのチェックボックスを選択して、モジュールで使用可能なプロパティを使用します。

3. 変更を適用および保存をクリックします。

一般的な認証設定

一般設定ブロックでは、次のことができます。

• サーバーでゲストログインを有効にし、ゲストユーザー名を変更します。このオプションを有効にする前に、セキュリティに関する注意事項を参照してください。

• ログインフォームの表示をカスタマイズします。紹介テキストを入力し、デフォルトのユーザー名 / パスワードフィールドを非表示にします（サードパーティサービスによる認証が必要な場合に便利です）。

• プロジェクトごとの承認モードを有効にします。

• 二要素認証を有効にします。

• すべての TeamCity ユーザーに対してメール検証を強制します。

• 現在サインインしているすべてのユーザーをログアウトし、すべてのパーソナルアクセストークンを削除します。

特別なユーザーアカウント

デフォルトでは、TeamCity は最大権限を持つスーパーユーザーアカウントと最小権限を持つゲストユーザーアカウントを持っています。これらのアカウントは、特定の人物に関連するものではなく、特別な使用例を目的としているため、変更ページやプロファイル情報などの個人設定はありません。

組み込み認証

デフォルトでは、TeamCity は組み込みの認証を使用し、ユーザーとそのパスワードを単独で維持します。

初めて TeamCity にサインインするとき、ユーザーは TeamCity のユーザー名とパスワードを作成するように求められます。これらは TeamCity に保存され、認証に使用されます。TeamCity をインストールしてサインインした場合、組み込み認証が有効になり、すべてのユーザーデータが TeamCity に保存されていることを意味します。

最初は、ユーザーデータベースは空です。新しいユーザーは、TeamCity 管理者によって追加されるか、認証モジュール設定で対応するオプションが有効になっている場合はユーザーが自分で登録します。新しく作成されたすべてのユーザーはすべてのユーザーグループに属し、このグループに割り当てられたすべてのロールを持ちます。新しく登録されたユーザーに特定のロールが必要な場合は、これらのロールをすべてのユーザーグループ経由で付与する必要があります。

デフォルトでは、ユーザーは自分のプロファイルページで自分のパスワードを変更できます。

トークンベース認証

トークンベースの認証モジュールを使用すると、ユーザーは自分で作成および無効化できるアクセストークンを使用して認証できます。この認証モジュールはデフォルトで有効になっています。

Windows ドメイン認証

ユーザーが Windows ドメイン名とパスワードを使用してサインインできるようにします。TeamCity は、これらの資格情報をチェックします。サーバーは、ユーザーがサインインに使用するドメインを認識している必要があります。ユーザー名でサポートされている構文は、DOMAIN\user.name または <username>@<domain> です。

ログインフォームを使用してサインインするだけでなく、NTLM HTTP 認証シングルサインオンを有効にすることもできます。
「Microsoft Windows ドメイン」プリセットを選択した場合、Windows ドメイン経由のログインに加えて、基本 HTTP および NTLM 認証モジュールがデフォルトで有効になります。

LDAP 認証

専用ページをご参照ください。

基本 HTTP 認証

基本 HTTP 認証の詳細については、HTTP によるサーバーへのアクセスを参照してください。

NTLM HTTP 認証

専用ページをご参照ください。

Bitbucket クラウド

ユーザーは、Bitbucket クラウドアカウントを使用して TeamCity にサインインできます。

このモジュールを有効にする前に、ルートプロジェクトの設定で Bitbucket クラウド接続を構成し、Bitbucket で専用アプリケーションを構成する必要があります。

サインインするには、ログインフォームの上にある Bitbucket アイコンをクリックし、リダイレクト後に TeamCity アプリケーションを承認します。Bitbucket のメールアドレスを持つユーザーが登録されており、このメールアドレスが TeamCity と Bitbucket の両方で確認されている場合、この Bitbucket アカウントはそれぞれの TeamCity ユーザーにマッピングされ、サインインできます。それ以外の場合、最初のログイン時に新しいユーザーの作成を許可するオプションが無効になっていない限り、TeamCity は新しいユーザープロファイルを作成します。既存の TeamCity ユーザーを Bitbucket クラウドプロファイルにマッピングすることもできます。

GitHub

ユーザーは、GitHub.com および GitHub Enterprise アカウントを使用して TeamCity にサインインできます。TeamCity は、このタスク用に 3 つの独立したモジュールを提供します。

• GitHub.com モジュールでは、ルートプロジェクトの OAuth GitHub.com 接続を作成する必要があります。

• GitHub エンタープライズモジュールでは、ルートプロジェクトの OAuth GitHub エンタープライズ接続を作成する必要があります。

• GitHub アプリモジュールでは、ルートプロジェクトの GitHub アプリを作成する必要があります。この接続タイプは、GitHub.com と GitHub Enterprise の両方のユーザーが利用できます。

サインインするには、ユーザーはユーザー名フィールドの上にある GitHub アイコンをクリックする必要があります。この GitHub メールを持つユーザーがすでに登録されており、そのメールが TeamCity と GitHub の両方で検証されている場合、ユーザーの GitHub アカウントはそれぞれの TeamCity ユーザーにマッピングされ、このユーザーはサインインします。

それ以外の場合、TeamCity は新しいユーザープロファイルを作成します。対応する認証モジュール設定でこの動作を無効にすることができます。この場合、すでに登録されているユーザーのみがサインインできます。既存の TeamCity ユーザーを GitHub.com プロファイルにマッピングすることもできます。

3 つのモジュールはすべて同じ設定になっています。

GitLab.com

バージョン 2020.2 以降、ユーザーは GitLab.com アカウントで TeamCity にサインインできます。

このモジュールを有効にする前に、ルートプロジェクトの設定で GitLab.com 接続を構成し、GitLab で専用アプリケーションを構成する必要があります。

サインインするには、ログインフォームの上にある GitLab アイコンをクリックし、リダイレクト後に TeamCity アプリケーションを承認します。GitLab のメールアドレスを持つユーザーが登録されており、このメールアドレスが TeamCity と GitLab の両方で検証されている場合、この GitLab アカウントはそれぞれの TeamCity ユーザーにマッピングされ、サインインできます。それ以外の場合、最初のログイン時に新しいユーザーの作成を許可するオプションが無効になっていない限り、TeamCity は新しいユーザープロファイルを作成します。既存の TeamCity ユーザーを GitLab.com プロファイルにマッピングすることもできます。

GitLab CE/EE

ユーザーは GitLab CE/EE アカウントで TeamCity にサインインできます。

このモジュールを有効にする前に、ルートプロジェクトの設定で GitLab CE/EE 接続を構成し、GitLab で専用アプリケーションを構成する必要があります。

サインインするには、ログインフォームの上にある GitLab アイコンをクリックし、リダイレクト後に TeamCity アプリケーションを承認します。GitLab のメールアドレスを持つユーザーが登録されており、このメールアドレスが TeamCity と GitLab の両方で検証されている場合、この GitLab アカウントはそれぞれの TeamCity ユーザーにマッピングされ、サインインできます。それ以外の場合、最初のログイン時に新しいユーザーの作成を許可するオプションが無効になっていない限り、TeamCity は新しいユーザープロファイルを作成します。既存の TeamCity ユーザーを GitLab CE/EE プロファイルにマッピングすることもできます。

Google

バージョン 2022.10 以降、ユーザーは Google アカウントで TeamCity にサインインできます。

このモジュールを有効にする前に、ルートプロジェクトの設定で Google 接続を構成する必要があります。

サインインするには、ログインフォームの上にある Google アイコンをクリックし、リダイレクト後に TeamCity アプリケーションを承認します。Google メールを持つユーザーが登録されており、このメールが TeamCity で検証されると、この Google アカウントがそれぞれの TeamCity ユーザーにマッピングされ、サインインできます。それ以外の場合は、最初のログイン時に新しいユーザーの作成を許可するオプションが無効になっていない限り、TeamCity によって新しいユーザープロファイルが作成されます。既存の TeamCity ユーザーを Google プロファイルにマッピングすることもできます。

JetBrains Space

このモジュールを有効にする前に、ここで説明されているように、JetBrains Space で専用のアプリケーションを作成し、ルートプロジェクトの設定でそのアプリケーションへの接続を構成する必要があります。

接続が構成されたら、管理 | 認証に移動して次のことを行います。

1. モジュールの追加をクリックし、JetBrains Space タイプを選択します。

2. 最初のログイン時に新しいユーザーの作成を許可するかどうかを選択します。これは、公開されている TeamCity サーバーを使用していて、そのサーバーへのアクセスを制限したい場合に役立ちます。

3. ユーザーがログイン時に追加の 2FA 検証に合格するようにするには (Space へのログイン時に合格した場合でも)、二要素認証をスキップする設定のチェックを外します。詳細: 過剰な認証リクエストの削減。

4. モジュールを保存します。

サインインするには、TeamCity ログインフォームの上にある JetBrains Space アイコンをクリックし、リダイレクト後に TeamCity アプリケーションを承認します。

Azure DevOps サービス

このモジュールを有効にする前に、ルートプロジェクトの設定で Azure DevOps Services インスタンスへの専用接続を作成する必要があります。

サインインするには、TeamCity ログインフォームの上にある Azure DevOps アイコンをクリックし、リダイレクト後、TeamCity アプリケーションを承認します。

HTTP SAML 2.0

このモジュールは、SAML 2.0(英語) を介した TeamCity でのシングルサインオン認証を有効にします。Okta(英語)、OneLogin(英語)、AWS SSO(英語)、AD FS、その他の SSO プロバイダーをサポートすることが確認されています。

モジュールを有効にするには、管理 | 認証で:

1. モジュールの追加をクリックし、HTTP-SAML.v2 タイプを選択します。

2. 設定を保存して、管理 | SAML 設定に移動します。

3. サービスプロバイダーの構成セクションのシングルサインオン URL (受取人) 値をコピーします。これは、以下で説明するように、SSO アプリケーションの設定に入力する必要があります。

TeamCity で SAML 設定を行う前に、SSO プロバイダ側で専用のアプリケーションを作成する必要があります。Okta の場合の簡単な手順例を以下に示します。

1. Okta ダッシュボードで、アプリケーションを開きます。

2. アプリ統合を作成するをクリックし、SAML 2.0 タイプを選択します。

3. アプリに名前を付け、SAML を構成するタブで、上記の手順の手順 3 でコピーした TeamCity サーバーのシングルサインオン URL を入力します。

4. アプリを保存します。

5. アプリの設定の代入タブで、割り当てをクリックし、TeamCity サーバーへのアクセスを許可する Okta グループのすべてのユーザーを選択します。

6. 一般タブで、セットアップ手順を表示をクリックします。TeamCity にコピーする必要のある構成値が表示されます。

Okta の詳細な使い方はプラグインのリポジトリ(英語)にあります。他の SSO プロバイダーの設定は異なる場合がありますが、主要なアクションは同じです。

• アプリの設定に TeamCity シングルサインオン URL を入力します。

• 必要なすべての SSO ユーザープロファイルがアプリに関連付けられていることを確認します。

• アプリの SSOURL、発行者 URL、証明書の値をコピーします。

アプリが作成されたら、TeamCity で SAML 設定の構成に進みます。