Fehlerbehebung bei der Teammitgliedschaft mit Gruppen von Identitätsanbietern

Informationen zur Verwaltung der Teammitgliedschaft mit IdP-Gruppen

Wenn du SCIM-Bereitstellung konfiguriert hast, kannst du die Team- und Organisationsmitgliedschaft in deinem Unternehmen über den IdP verwalten, indem du Teams auf GitHub mit Gruppen auf deinem IdP verknüpfst. Sie können eine Liste der Teams überprüfen, die Sie aus den Einstellungen Ihres Unternehmens mit IdP-Gruppen synchronisiert haben. Weitere Informationen finden Sie unter Verwaltung von Teammitgliedschaften mithilfe von Identitätsanbieter-Gruppen.

GitHub führt außerdem einmal täglich einen Abgleichsprozess aus, der die Teammitgliedschaft mit den IdP-Gruppenzugehörigkeiten synchronisiert, die auf GitHub basierend auf Informationen gespeichert sind, die zuvor vom IdP über SCIM gesendet wurden. Wenn dieser Auftrag feststellt, dass Benutzerinnen Mitglieder einer IdP-Gruppe im Unternehmen, aber keine Mitglieder des zugeordneten Teams oder der zugehörigen Organisation sind, versucht der Auftrag, die betreffenden Benutzerinnen der Organisation und dem Team hinzuzufügen.

Wenn GitHub die Teammitgliedschaft nicht mit einer Gruppe auf Ihrem IdP synchronisiert werden kann, können Sie eine Fehlermeldung anzeigen und das Problem beheben.

Fehleranzeige für die Teamsynchronisierung mit einer IdP-Gruppe

1. Klicke in der oberen rechten Ecke von GitHub Enterprise Server auf dein Profilbild und dann auf Enterprise settings.

2. Klicke in der Liste der Unternehmen auf das Unternehmen, das du anzeigen möchtest.

3. Um eine Liste der Identitätsanbietergruppen zu überprüfen, klicke auf der linken Randleiste auf Identity provider.

4. Klicke unter Identity provider auf die Option Groups.

5. Wenn bei der Synchronisierung für eine Gruppe Probleme auftreten, wird eine Meldung angezeigt, die besagt: „Einige Gruppen können nicht mit Teams synchronisiert werden. Überprüfen Sie, ob Lizenzen zur Verfügung stehen.“

6. Klickn Siee in der Liste der IdP-Gruppen auf die Gruppe, die Sie überprüfen möchten.

7. Klicken Sie zum Überprüfen des Synchronisierungsfehlers für die Gruppe unter dem Namen der Gruppe auf Teams.

   Wenn ein Team die Mitgliedschaft nicht mit einer Gruppe bei Ihrem IdP synchronisieren kann, wird unter dem Namen und der Mitgliederzahl des Teams eine Beschreibung des Problems angezeigt.

Fehler: „Nicht synchron“

Wenn die Synchronisierung der Teammitgliedschaft mit einer Gruppe bei Ihrem IdP aufgrund eines anderen Problems als der Lizenzierung fehlschlägt, wird eine Meldung angezeigt, die besagt: „Nicht synchron“.

GitHub versucht, dieses Problem während der nächsten Synchronisierung automatisch zu beheben, was mindestens einmal täglich auftritt. Möglicherweise können Sie das Problem beheben, indem Sie die Verknüpfung des betroffenen Teams mit der IdP-Gruppe aufheben und es dann erneut mit derselben Gruppe verknüpfen. Weitere Informationen finden Sie unter Verwaltung von Teammitgliedschaften mithilfe von Identitätsanbieter-Gruppen.

Wenn das Problem weiterhin besteht, wenden Sie sich an GitHub Enterprise-Support und geben Sie Details zu der Organisation, dem Team und der IdP-Gruppe an, bei denen die Probleme auftreten.

Unvollständige Ereignisse der SCIM-API

Wenn in Ihrem Unternehmensüberwachungsprotokoll ein external_identity.scim_api_incomplete- oder external_group.scim_api_incomplete-Ereignis angezeigt wird, wurde eine SCIM-Anforderung von Ihrem Identitätsanbieter von GitHub empfangen, jedoch nicht erfolgreich abgeschlossen. Es wurde keine Antwort an Ihren Identitätsanbieter zurückgesendet, der den Vorgang daher möglicherweise als fehlgeschlagen oder als Zeitüberschreitung meldet.

Beheben des Problems

Lösen Sie die Bereitstellung von Ihrem Identitätsanbieter für den betroffenen Benutzer oder die betroffene Gruppe erneut aus. SCIM-Vorgänge sind idempotent, sodass bei der erneuten Bereitstellung keine Duplikate erstellt werden.

• Entra ID: Wechseln Sie im Microsoft Entra Admin Center zu Unternehmensanwendungen > Ihre SCIM-App > Bereitstellung und Verwendung der Bereitstellung bei Bedarf für den betroffenen Benutzer oder die betroffene Gruppe oder Neustartbereitstellung für eine vollständige Synchronisierung. Weitere Informationen finden Sie unter On-Demand-Bereitstellung in Microsoft Entra ID in der Microsoft Dokumentation.
• Okta: Verschieben Sie die betroffene Gruppe erneut aus Pushgruppen, oder weisen Sie die App dem betroffenen Benutzer erneut zu. Weitere Informationen finden Sie unter Push-Gruppen in der Okta-Dokumentation.
• Andere Identitätsanbieter: In der Dokumentation Ihres Identitätsanbieters erfahren Sie, wie Sie die SCIM-Bereitstellung für einen bestimmten Benutzer oder eine bestimmte Gruppe erneut auslösen.

Überprüfen, ob die Änderung angewendet wurde

Wenn Sie das Streaming von Überwachungsprotokollen konfiguriert haben, können Sie Ihre gestreamten Protokolle nach anderen Ereignissen mit demselben request_id Wert aus dem scim_api_incomplete Ereignis durchsuchen. Weitere Informationen finden Sie unter Streaming des Überwachungsprotokolls für Ihre Organisation.

Ein einzelner GRUPPEN-SCIM-API-Aufruf kann während der Verarbeitung jedes der folgenden Ereignisse auslösen:

Auditprotokollereignis	Description
external_group.provision	Gruppe wurde erstellt
external_group.delete	Gruppe wurde gelöscht
external_group.update	Gruppenmetadaten wurden aktualisiert.
external_group.update_display_name	Der Anzeigename wurde geändert.
external_group.add_member	Ein bestimmtes Mitglied wurde hinzugefügt.
external_group.remove_member	Ein bestimmtes Mitglied wurde entfernt.

Um zu ermitteln, welche Änderungen an Mitgliedern vor der Unterbrechung angewendet wurden, sind die Ereignisse add_member und remove_member am hilfreichsten. Sie identifizieren das betroffene Mitglied. Wenn Sie weniger Mitgliederereignisse finden, als in der Anforderung vorgesehen, wurden die verbleibenden Mitglieder nicht verarbeitet.

Häufige Ursachen

Häufige Ursachen unvollständiger Ereignisse

• Die Verarbeitungszeit überschreitet das Verbindungstimeout, häufig aufgrund großer Gruppen.
• Zwischen dem Identitätsanbieter und GitHub tritt eine Netzwerkunterbrechung auf.
• Ein vorübergehendes Problem tritt in GitHubder Infrastruktur auf.
• Ihre Netzwerkumgebung, z. B. Unternehmensproxys, Firewalls oder CASB-Lösungen, beeinträchtigt die Verbindung.
• Die Timeout-Einstellungen des SCIM-Clients des Identitätsanbieters sind zu restriktiv.

Wenn dieses Ereignis bei derselben Gruppe oder demselben Benutzer erneut auftritt, wenden Sie sich an GitHub Enterprise-Support und geben Sie die request_id-Werte der betroffenen Ereignisse an.

Timeouts für große Gruppen

Eine einzelne SCIM-PUT oder PATCH-Anforderung für eine Gruppe mit einer großen Anzahl von Mitgliedern kann die Zeitüberschreitung der Anforderung verursachen. Wenn dies geschieht, meldet Ihr Identitätsanbieter den Vorgang möglicherweise als fehlgeschlagen, und möglicherweise wird in Ihrem Unternehmensüberwachungsprotokoll ein external_group.scim_api_incomplete-Ereignis angezeigt.

Die SCIM-Bereitstellungsratengrenzwerte beschreiben einen Grenzwert von 1.000 Benutzern pro Gruppe pro Stunde, aber eine einzelne PUT- oder PATCH-Anforderung, dass die Mitgliedschaft für eine große Gruppe geändert wird, kann auch das Anforderungstimeout überschreiten, bevor alle Mitglieder verarbeitet werden. Weitere Informationen finden Sie unter Bereitstellen von Benutzern und Gruppen mit SCIM mithilfe der REST-API.

Verhindern von Timeouts

• Unterteilen Sie große Gruppen in kleinere Gruppen. Wenn Ihr Identitätsanbieter dies unterstützt, erwägen Sie, Gruppen, bei denen es häufig zu Zeitüberschreitungen kommt, in mehrere kleinere Gruppen aufzuteilen. Dadurch wird die Verarbeitungszeit pro SCIM-Anforderung reduziert.
• Verwenden Sie inkrementelle Updates. Verwenden Sie PATCH nach Möglichkeit Anforderungen zum Hinzufügen oder Entfernen einzelner Mitglieder anstelle PUT von Anforderungen, die die gesamte Mitgliedschaftsliste ersetzen.
• Überwachen auf unvollständige Ereignisse. Richten Sie das Streaming von Überwachungsprotokollen ein und konfigurieren Sie Warnungen bei scim_api_incomplete-Ereignissen, damit Sie die Provisionierung umgehend erneut anstoßen können.