Bereitstellen von Benutzern und Gruppen mit SCIM mithilfe der REST-API

Über IAM für Enterprise Managed Users

Wenn Ihr Unternehmen GitHub für Enterprise Managed Userssie erstellt wird, müssen Sie ein externes Identitätsverwaltungssystem konfigurieren, um Benutzerkonten bereitzustellen und zu verwalten. Ihr Identitätsverwaltungssystem muss die folgenden Funktionen bieten:

• Single Sign-On-Authentifizierung, die einen der beiden folgenden SSO-Standards implementiert:
  • Security Assertion Markup Language (SAML) 2.0
  • OpenID Connect (OIDC), das nur unterstützt wird, wenn Sie Microsoft Entra ID (zuvor als Azure AD bezeichnet) verwenden
• Verwaltung des Benutzerlebenszyklus mit System for Cross-Domain Identity Management (SCIM)

Wenn Sie die Authentifizierung und Bereitstellung für Ihr Unternehmen konfigurieren, können Sie entweder einen Partner-IdP verwenden oder eine andere Kombination aus Identitätsverwaltungssystemen verwenden.

• Verwendung eines Partneridentitätsanbieters
• Verwenden anderer Identitätsverwaltungssysteme

Verwendung eines Partneridentitätsanbieters

Jeder IdP-Partner stellt eine „paved-path“-Anwendung bereit, die sowohl SSO als auch die Verwaltung des Benutzerlebenszyklus implementiert. Um die Konfiguration zu vereinfachen, empfiehlt es sich, GitHub eine einzelne Partner-IDP-Anwendung sowohl für die Authentifizierung als auch für die Bereitstellung zu verwenden. Weitere Informationen und eine Liste der Partner-IDPs finden Sie unter Informationen zum Enterprise Managed Users.

Weitere Informationen zum Konfigurieren der SCIM-Bereitstellung mithilfe eines Partner-IdP findest du unter Konfigurieren der SCIM-Bereitstellung für unternehmensverwaltete Benutzer.

Verwenden anderer Identitätsverwaltungssysteme

Wenn du aufgrund von Migrationsaufwand, Lizenzierungskosten oder langwierigen Prozessen in der Organisation nicht denselben Partner-IdP für die Authentifizierung und die Bereitstellung verwenden kannst, kannst du ein anderes Identitätsverwaltungssystem oder eine Kombination aus verschiedenen Systemen verwenden. Die Systeme müssen die Authentifizierung mithilfe von SAML und Benutzerlebenszyklusverwaltung mithilfe von SCIM bereitstellen und die GitHubIntegrationsrichtlinien einhalten.

GitHub unterstützt nicht ausdrücklich das Mischen von Partner-IdPs für die Authentifizierung und Bereitstellung und testet nicht alle Identitätsverwaltungssysteme. Das GitHub-Supportteam ist möglicherweise nicht in der Lage, Ihnen bei Problemen im Zusammenhang mit gemischten oder ungetesteten Systemen zu helfen. Wenn Sie Hilfe benötigen, müssen Sie die Dokumentation, das Supportteam oder andere Ressourcen des Systems konsultieren.

Voraussetzungen

• Als Sie begannen, GitHub Enterprise Cloud zu verwenden, müssen Sie sich dafür entschieden haben, ein Unternehmen mit verwalteten Benutzer*innen zu erstellen. Weitere Informationen finden Sie unter Auswählen eines Unternehmenstyps für GitHub Enterprise Cloud.

• Bevor Sie die Bereitstellung konfigurieren, müssen Sie die Authentifizierung für Ihre Benutzer konfigurieren. Diese Konfiguration erfordert die Einrichtung sowohl in Ihrem Identity-Management-System als auch in GitHub. Weitere Informationen finden Sie unter Konfigurieren der Authentifizierung für durch Enterprise verwaltete Benutzer.

• Sie müssen eine offene SCIM-Konfiguration für Ihr Unternehmen aktivieren. Weitere Informationen finden Sie unter Konfigurieren der SCIM-Bereitstellung für unternehmensverwaltete Benutzer.

• Um Anforderungen an die REST-API-Endpunkte für SCIM zu authentifizieren, müssen Sie einen personal access token (classic) zugeordneten Setupbenutzer Ihres Unternehmens verwenden. Das Token erfordert den Geltungsbereich scim:enterprise. GitHub empfiehlt, kein Ablaufdatum für das Token zu konfigurieren. Weitere Informationen findest du unter Erste Schritte mit Enterprise Managed Users.

• Um Benutzer und Gruppen mit der REST-API von GitHub bereitzustellen, muss Ihr Identitätsverwaltungssystem den SCIM 2.0-Standard unterstützen. Weitere Informationen finden Sie hier auf den folgenden RFC auf der IETF-Website.

  • RFC 7642: Definitionen, Übersicht, Konzepte und Anforderungen
  • RFC 7643: Kernschema
  • RFC 7644: Protokoll

• Der Benutzer zeichnet für die Systeme auf, die Sie für die Authentifizierung und Bereitstellung verwenden, muss einen eindeutigen Bezeichner freigeben und die Übereinstimmungskriterien erfüllen GitHub. Weitere Informationen findest du in der Dokumentation zur REST-API unter REST-API-Endpunkte für SCIM.

Bewährte Methoden für die SCIM-Bereitstellung mit GitHubder REST-API

Wenn Sie Ihr Identitätsverwaltungssystem für die Bereitstellung von Benutzern oder Benutzergruppen GitHubkonfigurieren, empfiehlt es dringend, GitHub die folgenden Richtlinien einzuhalten.

• Stellen Sie sicher, dass Ihr Identitätsverwaltungssystem die einzige Quelle für Schreibvorgänge ist
• Senden gültiger Anforderungen an REST-API-Endpunkte
• Bereitstellen von Benutzern vor der Bereitstellung von Gruppen
• Überprüfen des Zugriffs für Gruppen auf GitHub
• Grundlegendes zu Ratelimits für GitHub
• Konfigurieren des Streamings von Überwachungsprotokollen
• Einschränken des Umfangs des SCIM-Tokens
• Verstehen Sie die Auswirkungen von Deprovisioning

Stellen Sie sicher, dass Ihr Identitätsverwaltungssystem die einzige Quelle für Schreibvorgänge ist

Um sicherzustellen, dass Ihre Umgebung über eine Single Source of Truth verfügt, sollten Sie nur programmgesteuert in die REST-API für die SCIM-Bereitstellung aus Ihrem Identitätsverwaltungssystem schreiben. GitHub empfiehlt dringend, dass nur ein System an die API sendet POST, , PUT, PATCHoder DELETE Anfordert.

Sie können jedoch Informationen von den APIs sicher mit GitHubGET Anforderungen in Skripts oder Ad-hoc-Anforderungen eines Unternehmensbesitzers abrufen.

Senden gültiger Anforderungen an REST-API-Endpunkte

GitHubDie REST-API-Endpunkte für die Bereitstellung von Benutzern mit SCIM erfordern wohlgeformte Anforderungen. Beachten Sie die folgenden Richtlinien:

• Anforderungen, die nicht den Erwartungen der API entsprechen, geben einen 400 Bad Request-Fehler zurück.
• REST-API-Endpunkte für die Bereitstellung von Benutzern mit SCIM erfordern einen User-Agent Header. GitHub anforderungen ohne diesen Header ablehnen.
• Wenn Ihr Unternehmen aktiviert GHE.comist, stellen Sie sicher, dass Sie API-Anforderungen an den Endpunkt für Ihr Unternehmen senden.api.SUBDOMAIN.ghe.com

Benutzer bereitstellen, bevor Sie Gruppen bereitstellen

SCIM-Gruppen sind effektiv für die Verwaltung des Benutzerzugriffs in großem Stil. Sie können z. B. Gruppen auf Ihrem Identitätsverwaltungssystem verwenden, um die Team- und Organisationsmitgliedschaft zu GitHubverwalten.

Um die Teammitgliedschaft mit Gruppen in Ihrem Identitätsverwaltungssystem zu verwalten, müssen Sie die folgenden Schritte ausführen:

1. Bereitstellen von Benutzerkonten auf GitHub.
2. Bereitstellen einer Gruppe auf GitHub.
3. Aktualisieren Sie die Mitgliedschaft der Gruppe im Identitätsverwaltungssystem.
4. Erstellen Sie ein Team, GitHub das der Gruppe auf Ihrem Identitätsverwaltungssystem zugeordnet ist.

Überprüfen des Zugriffs für Gruppen auf GitHub

Wenn Sie den Zugriff mithilfe von Gruppen auf IhremIdentitätsverwaltungssystem verwalten, können Sie überprüfen, ob Benutzer den gewünschten Zugriff erhalten. Sie können die REST-API verwenden, um die Gruppenmitgliedschaften Ihres Systems mit GitHubdem Verständnis dieser Gruppen zu vergleichen. Weitere Informationen findest du in der Dokumentation zur REST-API unter REST-API-Endpunkte für externe Gruppen und REST-API-Endpunkte für Teams.

Grundlegendes zu Ratelimits für GitHub

Um die Verfügbarkeit und Zuverlässigkeit der Plattform zu gewährleisten, GitHub werden Tariflimits implementiert.

Ohne Preislimits zu berücksichtigen, werden große Unternehmen Enterprise Managed Users , die zum ersten Mal eingebunden werden, die Grenzwerte wahrscheinlich überschreiten. Weise der SCIM-Integration bei deinem Identitätsanbieter maximal 1.000 Benutzerkonten pro Stunde zu, um eine Überschreitung der Ratenbegrenzung für GitHub zu vermeiden. Wenn du Gruppen verwendest, um der Identitätsanbieteranwendung Benutzerinnen hinzuzufügen, füge den einzelnen Gruppen jeweils maximal 1,000 Benutzerinnen pro Stunde hinzu. Bei Überschreitung dieser Schwellenwerte tritt bei der Benutzerbereitstellung möglicherweise ein Ratenlimitfehler auf, und die Bereitstellung ist nicht erfolgreich. Du kannst deine IdP-Protokolle überprüfen, um zu bestätigen, ob versuchte SCIM-Bereitstellungen oder Pushvorgänge aufgrund eines Fehlers bei der Ratenbegrenzung fehlgeschlagen sind. Die Antwort auf einen fehlgeschlagenen Bereitstellungsversuch hängt vom IdP ab.

Weitere Informationen finden Sie unter Ratenbegrenzungen für die REST-API.

Konfigurieren des Streamings von Überwachungsprotokollen

Das Überwachungsprotokoll für Ihr Unternehmen zeigt Details zu Aktivitäten in Ihrem Unternehmen an. Sie können das Überwachungsprotokoll verwenden, um Ihre Konfiguration von SCIM zu unterstützen. Weitere Informationen finden Sie unter Überwachungsprotokoll für ein Unternehmen.

Aufgrund des Umfangs der Ereignisse in diesem Protokoll GitHub werden die Daten 180 Tage lang aufbewahrt. Um sicherzustellen, dass Keine Überwachungsprotokolldaten verloren gehen und eine genauere Aktivität im Überwachungsprotokoll angezeigt werden soll, empfiehlt die GitHub Konfiguration des Überwachungsprotokollstreamings. Wenn Sie das Überwachungsprotokoll streamen, können Sie optional Ereignisse für API-Anforderungen streamen, einschließlich Anforderungen an REST-API-Endpunkte für die SCIM-Bereitstellung. Weitere Informationen finden Sie unter Streaming des Überwachungsprotokolls für Ihre Organisation.

Einschränken des Umfangs des SCIM-Tokens

Um einen besseren Sicherheitsstatus zu erzielen, empfehlen wir, nur einen personal access token (classic)scim:enterprise Bereich zu verwenden, um den Zugriff des Tokens auf die REST-API-Endpunkte zu beschränken, die für SCIM-Aufrufe erforderlich sind.

Wenn Sie derzeit ein Token mit dem Bereich admin:enterprise verwenden, beachten Sie, dass dieses Token Zugriff auf alle Aktionen im Unternehmen gewährt. Sie können Ihr Token gegen ein neues Token mit nur dem scim:enterprise Bereich austauschen, ohne dass es zu Störungen kommt.

Auswirkungen der Deprovisionierung verstehen

Um den Zugriff eines Benutzers zu GitHubentfernen, können Sie entweder eine "soft deprovision" oder eine "hard deprovision"-Anforderung an Ihren SCIM-Anbieter senden. Die harte Bereitstellung ist eine unwiderrufliche Aktion, die das Konto eines Benutzers GitHub dauerhaft aussetzt.

Bevor du eine API-Integration implementierst, stelle sicher, dass du die Deaktivierungstypen und deren Auswirkungen verstehst. Um mehr über die verschiedenen Arten der Deprovisionierung, ihre Auswirkungen und die von ihnen generierten Überwachungsereignisse zu erfahren, lesen Sie Deaktivieren und Reaktivieren von Benutzern mit SCIM.

Bereitstellen von Benutzern mithilfe der REST-API

Um Benutzer bereitzustellen, aufzulisten oder zu verwalten, stellen Sie Anforderungen an die folgenden REST-API-Endpunkte. Sie können die zugehörigen API-Endpunkte in der REST-API-Dokumentation lesen und Codebeispiele anzeigen und Überwachungsprotokollereignisse überprüfen, die jeder Anforderung zugeordnet sind.

Bevor sich eine Person mit einer Identität in Ihrem Identitätsverwaltungssystem bei Ihrem Unternehmen anmelden kann, müssen Sie den entsprechenden Benutzer erstellen. Für Ihr Unternehmen ist keine verfügbare Lizenz erforderlich, um ein neues Benutzerkonto bereitzustellen.

• Eine Übersicht über die unterstützten Attribute für Benutzer findest du in der Dokumentation zur REST-API unter SCIM.
• Sie können bereitgestellte Benutzer auf der GitHub Benutzeroberfläche anzeigen. Weitere Informationen finden Sie unter Anzeigen von Personen in deinem Unternehmen.

Aktion	Methode	Endpunkt und weitere Informationen	Ereignisse im Überwachungsprotokoll
Listet alle bereitgestellten Benutzer für Ihr Unternehmen auf, einschließlich aller Benutzer, die soft-deprovisioniert sind, indem active auf false gesetzt wird.	GET	/scim/v2/enterprises/{enterprise}/Users	N/V
Erstellen Sie einen Benutzer. Die Antwort der API enthält ein id-Feld zur eindeutigen Identifizierung des Benutzers.	POST	/scim/v2/enterprises/{enterprise}/Users	external_identity.provision user.create Wenn die Anforderung die enterprise_owner Rolle hinzufügt, business.add_admin Wenn die Anforderung die billing_manager Rolle hinzufügt, business.add_billing_manager Wenn die Anforderung erfolgreich ist, external_identity.scim_api_success Wenn die Anforderung fehlschlägt, external_identity.scim_api_failure
Rufen Sie einen vorhandenen Benutzer in Ihrem Unternehmen mithilfe des Felds id aus der Anforderung POST ab, die Sie zum Erstellen des Benutzers gesendet haben.	GET	/scim/v2/enterprises/{enterprise}/Users/{scim_user_id}	N/V
Aktualisieren Sie alle Attribute eines vorhandenen Benutzers mithilfe des Felds id aus der Anforderung POST, die Sie zum Erstellen des Benutzers gesendet haben. Aktualisieren von active auf false, um die Bereitstellung des Benutzers vorläufig aufzuheben oder auf true, um den Benutzer erneut zu aktivieren. Weitere Informationen findest du unter Soft-Deprovisioning von Benutzern mit der REST API und Reprovisioning von Benutzern mit der REST API.	PUT	/scim/v2/enterprises/{enterprise}/Users/{scim_user_id}	external_identity.update, es sei denn, Soft-Deprovisioning oder erneute Bereitstellung Wenn die Anforderung die enterprise_owner Rolle hinzufügt, business.add_admin Wenn die Anforderung billing_manager hinzufügt, business.add_billing_manager Wenn die Anforderung die enterprise_owner Rolle entfernt, business.remove_admin Wenn die Anforderung die billing_manager Rolle entfernt, business.remove_billing_manager Wenn die Anforderung erfolgreich ist, external_identity.scim_api_success Wenn die Anforderung fehlschlägt, external_identity.scim_api_failure
Aktualisieren Sie ein einzelnes Attribut für einen vorhandenen Benutzer mithilfe des Felds id aus der Anforderung POST, die Sie zum Erstellen des Benutzers gesendet haben. Aktualisieren von active auf false, um die Bereitstellung des Benutzers vorläufig aufzuheben oder auf true, um den Benutzer erneut zu aktivieren. Weitere Informationen findest du unter Soft-Deprovisioning von Benutzern mit der REST API und Reprovisioning von Benutzern mit der REST API.	PATCH	/scim/v2/enterprises/{enterprise}/Users/{scim_user_id}	external_identity.update, es sei denn, Soft-Deprovisioning oder erneute Bereitstellung Wenn die Anforderung die enterprise_owner Rolle hinzufügt, business.add_admin Wenn die Anforderung billing_manager hinzufügt, business.add_billing_manager Wenn die Anforderung die enterprise_owner Rolle entfernt, business.remove_admin Wenn die Anforderung die billing_manager Rolle entfernt, business.remove_billing_manager Wenn die Anforderung erfolgreich ist, external_identity.scim_api_success Wenn die Anforderung fehlschlägt, external_identity.scim_api_failure
Um einen vorhandenen Benutzer dauerhaft zu sperren, kannst du den Benutzer endgültig aus der Provisionierung entfernen. Nach der endgültigen Entprovisionierung können Sie den Benutzer nicht reaktivieren und Sie müssen den Benutzer als neuen Benutzer einrichten. Weitere Informationen finden Sie unter Hard-Deprovisionierung von Benutzern mit der REST-API.	DELETE	/scim/v2/enterprises/{enterprise}/Users/{scim_user_id}	external_identity.deprovision user.remove_email Wenn die Anforderung erfolgreich ist, external_identity.scim_api_success Wenn die Anforderung fehlschlägt, external_identity.scim_api_failure

Soft-Deprovisioning von Benutzern mit der REST API

Um zu verhindern, dass sich ein Benutzer für den Zugriff auf Ihr Unternehmen anmeldet, können Sie die Bereitstellung des Benutzers vorläufig aufheben, indem Sie eine PUT- oder PATCH-Aufforderung zur Aktualisierung des active-Felds eines Benutzers auf false auf /scim/v2/enterprises/{enterprise}/Users/{scim_user_id} schicken. Wenn Sie einen Benutzer vorläufig aufheben, GitHub verschleiert er die Datensätze login und email Felder des Benutzers, und der Benutzer wird angehalten.

Reaktivieren von Benutzern mit der REST-API

Um es einem Benutzer mit vorläufig aufgehobener Bereitstellung zu ermöglichen, sich für den Zugriff auf Ihr Unternehmen anzumelden, entsperren Sie den Benutzer, indem Sie eine PUT- oder PATCH-Anforderung an /scim/v2/enterprises/{enterprise}/Users/{scim_user_id} senden, die das Feld active des Benutzers auf true aktualisiert.

Endgültiges Deprovisioning von Benutzern mit der REST-API

Sie können den Benutzer hart-deprovisionieren, indem Sie eine DELETE Anfrage an /scim/v2/enterprises/{enterprise}/Users/{scim_user_id} senden. Ihr Unternehmen behält alle vom Benutzer erstellten Ressourcen und Kommentare bei.

Bereitstellen von Gruppen mit der REST-API

Um den Zugriff auf Repositorys in Ihrem Unternehmen zu steuern, können Sie Gruppen in Ihrem Identitätsverwaltungssystem benutzen, um Organisations- und Teammitgliedschaften für Benutzer in Ihrem Unternehmen zu verwalten. Sie können die zugehörigen API-Endpunkte in der REST-API-Dokumentation lesen und Codebeispiele anzeigen und Überwachungsprotokollereignisse überprüfen, die jeder Anforderung zugeordnet sind.

Obwohl Ihr Unternehmen keine verfügbare Lizenz zum Bereitstellen eines neuen Benutzerkontos erfordert, müssen Sie über verfügbare Lizenzen für diese Benutzer verfügen, wenn Sie eine Gruppe bereitstellen, die das Hinzufügen von Benutzern zu einer Organisation führt. Wenn Ihr Unternehmen nur verwendet Visual Studio-Abonnements mit GitHub Enterprise, muss der zugeordnete Benutzer einem Abonnent zugewiesen werden. Weitere Informationen finden Sie unter Informationen zu Visual Studio Abonnements mit GitHub Enterprise.

• Eine Übersicht über die unterstützten Attribute für Gruppen findest du in der Dokumentation zur REST-API unter SCIM.
• Eine Übersicht über Überwachungsprotokollereignisse im Zusammenhang mit Gruppen findest du unter Prüfprotokollereignisse für Ihr Unternehmen.
• Sie können bereitgestellte Gruppen auf der GitHub Benutzeroberfläche anzeigen. Weitere Informationen finden Sie unter Verwaltung von Teammitgliedschaften mithilfe von Identitätsanbieter-Gruppen.

Aktion	Methode	Endpunkt und weitere Informationen	Verwandte Ereignisse im Überwachungsprotokoll
Listet alle Gruppen auf, die für Ihr Unternehmen definiert sind.	GET	/scim/v2/enterprises/{enterprise}/Groups	N/V
Um eine neue IdP-Gruppe für Ihr Unternehmen zu definieren, erstellen Sie die Gruppe. Die Antwort der API enthält ein id-Feld zur eindeutigen Identifizierung der Gruppe.	POST	/scim/v2/enterprises/{enterprise}/Groups	external_group.provision external_group.update_display_name Wenn die Anforderung eine Liste der Benutzer enthält, external_group.add_member Wenn die Anforderung erfolgreich ist, external_group.scim_api_success Wenn die Anforderung fehlschlägt, external_group.scim_api_failure
Rufen Sie eine vorhandene Gruppe für Ihr Unternehmen mithilfe der id von der POST-Anforderung ab, die Sie zum Erstellen der Gruppe gesendet haben.	GET	/scim/v2/enterprises/{enterprise}/Groups/{scim_group_id}	N/V
Aktualisieren aller Attribute für eine vorhandene Gruppe.	PUT	/scim/v2/enterprises/{enterprise}/Groups/{scim_group_id}	external_group.update Wenn die Anforderung den Namen der Gruppe aktualisiert, external_group.update_display_name Wenn die Anforderung der Gruppe einen Benutzer hinzufügt, external_group.add_member Wenn die Anforderung einen Benutzer aus der Gruppe entfernt, external_group.remove_member Wenn die Anforderung erfolgreich ist, external_group.scim_api_success Wenn die Anforderung fehlschlägt, external_group.scim_api_failure Zusätzliche Ereignisse können im Überwachungsprotokoll angezeigt werden, je nachdem, ob der Benutzer bereits Mitglied der Organisation mit dem Team ist, das Sie mit der IdP-Gruppe verknüpft haben. Weitere Informationen findest du unter Zusätzliche Überwachungsprotokollereignisse für Änderungen an IdP-Gruppen.
Aktualisieren eines einzelnen Attributs für eine vorhandene Gruppe.	PATCH	/scim/v2/enterprises/{enterprise}/Groups/{scim_group_id}	external_group.update Wenn die Anforderung den Namen der Gruppe aktualisiert, external_group.update_display_name Wenn die Anforderung der Gruppe einen Benutzer hinzufügt, external_group.add_member Wenn die Anforderung einen Benutzer aus der Gruppe entfernt, external_group.remove_member Wenn die Anforderung erfolgreich ist, external_group.scim_api_success Wenn die Anforderung fehlschlägt, external_group.scim_api_failure Zusätzliche Ereignisse können im Überwachungsprotokoll angezeigt werden, je nachdem, ob der Benutzer bereits Mitglied der Organisation mit dem Team ist, das Sie mit der IdP-Gruppe verknüpft haben. Weitere Informationen findest du unter Zusätzliche Überwachungsprotokollereignisse für Änderungen an IdP-Gruppen.
Vollständiges Löschen einer vorhandene Gruppe.	DELETE	/scim/v2/enterprises/{enterprise}/Groups/{scim_group_id}	external_group.delete Wenn die Anforderung eine Gruppe löscht, die mit einem Team in einer Organisation verknüpft ist, in der der Benutzer keine andere Teammitgliedschaft hat, org.remove_member Wenn die Anforderung eine Gruppe löscht, die mit einem Team in einer Organisation verknüpft ist, in der der Benutzer über eine andere Teammitgliedschaft verfügt, team.remove_member Wenn die Anforderung erfolgreich ist, external_group.scim_api_success Wenn die Anforderung fehlschlägt, external_group.scim_api_failure

Zusätzliche Überwachungsprotokollereignisse für Änderungen an IdP-Gruppen

Wenn Sie die Mitglieder einer vorhandenen Gruppe mit einer oder PATCH einer PUT Anforderung aktualisieren/scim/v2/enterprises/{enterprise}/Groups/{scim_group_id}, GitHub kann der Organisation der Benutzer hinzugefügt oder der Benutzer aus der Organisation entfernt werden, abhängig von der aktuellen Organisationsmitgliedschaft des Benutzers. Wenn der Benutzer bereits Mitglied mindestens eines Teams in der Organisation ist, ist der Benutzer Mitglied der Organisation. Wenn der Benutzer kein Mitglied eines Teams in der Organisation ist, ist der Benutzer möglicherweise auch noch kein Mitglied der Organisation.

Wenn Ihre Anforderung eine Gruppe aktualisiert, die mit einem Team in einer Organisation verknüpft ist, in der ein Benutzer nicht bereits Mitglied ist, werden zusätzlich zu external_group.update die folgenden Ereignissen im Überwachungsprotokoll angezeigt:

• org.add_member
• Wenn die Anforderung einen Benutzer zu einer Gruppe hinzufügt, die mit einem Team in einer Organisation verknüpft ist, in der der Benutzer noch kein Mitglied ist, org.add_member
• Wenn die Anforderung den Benutzer zu einer Gruppe hinzufügt, die mit einem Team in einer Organisation verknüpft ist, team.add_member

Wenn Ihre Anforderung eine Gruppe aktualisiert, die mit einem Team in einer Organisation verknüpft ist, in der ein Benutzer bereits Mitglied ist, werden zusätzlich zu external_group.update die folgenden Ereignissen im Überwachungsprotokoll angezeigt:

• Wenn die Anforderung den Benutzer aus einer Gruppe entfernt, die mit einem Team in einer Organisation verknüpft ist, und das Team nicht das letzte Team in der Organisation ist, in dem der Benutzer Mitglied ist, team.remove_member
• Wenn die Anforderung einen Benutzer aus einer Gruppe entfernt, die mit dem letzten Team in einer Organisation verknüpft ist, in der der Benutzer bereits Mitglied ist, org.remove_member

Migrieren zu einem neuen SCIM-Anbieter

Nachdem Sie die SCIM-Bereitstellung für Ihr Unternehmen konfiguriert haben, müssen Sie möglicherweise zu einem neuen SCIM-Anbieter migrieren. Weitere Informationen finden Sie unter Migrieren deines Unternehmens zu einem neuen Identitätsanbieter oder Mandanten.

Problembehandlung bei der SCIM-Bereitstellung

• Wenn Ihre Anforderungen an die REST-API zeitlich begrenzt sind, finden Sie weitere Informationen unter "Grundlegendes zu Ratelimits für GitHub" .

• Alle SCIM-Anforderungen, die GitHub mit Ausnahme erfolgreicher HTTP-Anforderungen GET empfangen werden, generieren ein Überwachungsprotokollereignis . Diese Protokolle enthalten nützliche Informationen über das Anforderungsergebnis, Nutzdateninformationen und alle Fehler. Diese Protokolle können verwendet werden, um zu ermitteln, ob GitHub eine SCIM-Anforderung empfangen wurde, und api-Fehler zu beheben.

  • Um festzustellen, ob ein Benutzer bereitgestellt wurde, kannst du die folgende Überwachungsprotokollabfrage verwenden: action:external_identity.provision user:USERNAME_SHORTCODE
  • Wenn du einen Benutzer, der die oben genannte Abfrage verwendet, nicht findest, kannst du nach action:external_identity.scim_api_failure-Ereignissen am Datum suchen, an dem du die Anforderung erhalten haben solltest.

• Wenn eine SCIM-Anforderung fehlschlägt und Sie die Ursache nicht ermitteln können, überprüfen Sie den Status Ihres Identitätsverwaltungssystems, um sicherzustellen, dass Dienste verfügbar waren. Überprüfen Sie GitHubaußerdem die Statusseite. Weitere Informationen finden Sie unter Informationen zum GitHub Support.

• Wenn bei einer Anforderung zum Bereitstellen eines Benutzers ein 400-Fehler auftritt und die Fehlermeldung im Protokoll deines Identitätsverwaltungssystems auf Probleme mit dem Kontobesitz oder der Benutzernamenformatierung hinweist, findest du weitere Informationen unter Überlegungen zum Benutzernamen für die externe Authentifizierung.

• Nach erfolgreicher Authentifizierung verknüpft der Benutzer, GitHub der sich mit einer von SCIM bereitgestellten Identität authentifiziert hat. Die eindeutigen Bezeichner für Authentifizierung und Bereitstellung müssen übereinstimmen. Weitere Informationen finden Sie unter REST-API-Endpunkte für SCIM. Sie können diese Zuordnung auch auf GitHub. Siehe Anzeigen und Verwalten des SAML-Zugriffs von Benutzer*innen auf dein Unternehmen.

• Wenn Sie den Zugriff mithilfe von Gruppen auf Ihrem Identitätsverwaltungssystem verwalten, können Sie probleme mit der REST-API oder Webbenutzeroberfläche für GitHub.

  • Sie können die REST-API verwenden, um die Gruppenmitgliedschaften Ihres Identitätsverwaltungssystems mit GitHubdem Verständnis dieser Gruppen zu vergleichen. Weitere Informationen findest du unter REST-API-Endpunkte für externe Gruppen und REST-API-Endpunkte für Teams.
  • Weitere Informationen zur Problembehandlung mithilfe der Web-Benutzeroberfläche findest du unter Fehlerbehebung bei der Teammitgliedschaft mit Gruppen von Identitätsanbietern.

Weitere Problembehandlungsvorschläge findest du unter Problembehandlung bei der Identitäts- und Zugriffsverwaltung deines Unternehmens.