Solucionar problemas de subscrição de equipe com grupos de provedores de identidade

Sobre o gerenciamento da subscrição de equipes com grupos de IdP

Se você tiver configurado o provisionamento do SCIM, poderá gerenciar a associação à equipe e à organização na sua empresa por meio do IdP conectando as equipes do GitHub aos grupos no IdP. Você pode ver uma lista das equipes que você sincronizou com os grupos do IdP nas configurações da sua empresa. Para saber mais, confira Gerenciando associações de equipes com grupos de provedores de identidade.

GitHub também executa uma tarefa de reconciliação uma vez por dia, que sincroniza a participação na equipe com a participação no grupo do IdP armazenada em GitHub, com base nas informações enviadas anteriormente pelo IdP via SCIM. Se esse trabalho descobrir que um usuário é membro de um grupo IdP na empresa, mas não é membro da equipe mapeada ou de sua organização, o trabalho tentará adicionar o usuário à organização e à equipe.

Se GitHub não conseguir sincronizar a associação de equipe com um grupo no seu IdP, você poderá visualizar uma mensagem de erro e resolver o problema.

Exibir erros para sincronização de equipe com um grupo de IdP

1. No canto superior à direita do GitHub Enterprise Server, clique na sua imagem do perfil e clique em Configurações da empresa.

2. Na lista de empresas, clique na empresa que você deseja visualizar.

3. Para examinar uma lista de grupos de IdP, na barra lateral esquerda, clique em Identity provider.

4. No Identity provider, clique em Groups.

5. Se a sincronização de um grupo estiver com problemas, você verá uma mensagem que diz "Alguns grupos não estão conseguindo se sincronizar com as equipes. Verifique se você tem licenças disponíveis”.

6. Na lista de grupos do IdP, clique no grupo que você gostaria de analisar.

7. Para analisar o erro de sincronização do grupo, sob o nome do grupo, clique em Equipes.

   Se uma equipe não conseguir sincronizar a subscrição com um grupo em seu IdP, você verá uma descrição do problema sob o nome da equipe e o n´mero de subscrições.

Erro: "Fora de sincronia"

Se a sincronização da subscrição da equipe com um grupo em seu IdP falhar devido a um problema diferente do licenciamento, você verá uma mensagem que diz "Fora de sincronia".

GitHub tentará resolver esse problema automaticamente durante a próxima sincronização, que ocorre pelo menos uma vez por dia. Talvez seja possível resolver o problema desvinculando a equipe afetada do grupo de IdP e vinculando-a ao mesmo grupo novamente. Para saber mais, confira Gerenciando associações de equipes com grupos de provedores de identidade.

Se o problema persistir, entre em contato Suporte do GitHub Enterprise e forneça detalhes sobre a organização, a equipe e o grupo de IdP com o qual você está enfrentando problemas.

Eventos incompletos da API SCIM

Se você vir um evento external_identity.scim_api_incomplete ou external_group.scim_api_incomplete em seu log de auditoria da empresa, uma solicitação SCIM do seu provedor de identidade foi recebida por GitHub, mas não foi concluída com êxito. Nenhuma resposta foi enviada de volta ao seu provedor de identidade, o que pode relatar a operação como com falha ou tempo limite.

Resolvendo o problema

Acione novamente o provisionamento no seu provedor de identidade para o usuário ou grupo afetado. As operações SCIM são idempotentes, portanto, o reprovisionamento não criará duplicatas.

• Entra ID: no centro de administração do Microsoft Entra, vá para Aplicativos Empresariais > seu aplicativo SCIM > Provisionamento e uso provisionamento sob demanda para o usuário ou grupo afetado ou reiniciar o provisionamento para uma sincronização completa. Para obter mais informações, consulte provisionamento sob demanda em Microsoft Entra ID na documentação do Microsoft.

•           **Okta:** envie por push novamente o grupo afetado de **Grupos de Push** ou atribua novamente o aplicativo ao usuário afetado. Para obter mais informações, consulte [Grupos de Push](https://help.okta.com/en-us/content/topics/users-groups/usgr-push-groups.htm) na documentação do Okta.
  

• Outros provedores de identidade: Consulte a documentação do provedor de identidade para saber como disparar novamente o provisionamento scim para um usuário ou grupo específico.

Verificando se a alteração foi aplicada

Se você tiver o streaming de log de auditoria configurado, poderá pesquisar nos logs transmitidos outros eventos com o mesmo valor de request_id do evento scim_api_incomplete. Para saber mais, confira Como transmitir o log de auditoria para sua empresa.

Uma única chamada à API scim de grupo pode disparar qualquer um dos seguintes eventos durante o processamento:

Evento do log de auditoria	Description
external_group.provision	O grupo foi criado
external_group.delete	O grupo foi excluído
external_group.update	Metadados de grupo foram atualizados
external_group.update_display_name	O nome de exibição foi alterado
external_group.add_member	Um membro específico foi adicionado
external_group.remove_member	Um membro específico foi removido

Para determinar quais alterações de membro foram aplicadas antes da interrupção, os eventos add_member e remove_member são os mais úteis. Eles identificam o membro específico afetado. Se você encontrar menos eventos de membros do que o solicitado, isso significa que os membros restantes não foram processados.

Causas comuns

Causas comuns de eventos incompletos

• O tempo de processamento excede o tempo limite da conexão, geralmente devido a grupos grandes.
• Ocorre uma interrupção de rede entre o provedor de identidade e GitHub.
• Um problema transitório ocorre na infraestrutura de GitHub.
• Seu ambiente de rede, como proxies corporativos, firewalls ou soluções CASB, interfere na conexão.
• As configurações de tempo limite do cliente SCIM do provedor de identidade são muito restritivas.

Se esse evento se repetir para o mesmo grupo ou usuário, entre em contato com Suporte do GitHub Enterprise com os valores de request_id dos eventos afetados.

Limites de tempo para grupos grandes

Uma única solicitação SCIM PUT ou PATCH para um grupo com um grande número de membros pode exceder o tempo limite da solicitação. Quando isso acontece, seu provedor de identidade pode relatar a operação como falha e você poderá ver um external_group.scim_api_incomplete evento no log de auditoria da empresa.

Os limites de taxa de provisionamento do SCIM descrevem um limite de 1.000 usuários por grupo por hora, mas uma única PUT solicitação ou PATCH solicitação que altera a associação a um grande grupo também pode exceder o tempo limite da solicitação antes que todos os membros sejam processados. Para saber mais, confira Provisionar usuários e grupos com SCIM usando a API REST.

Prevenção de tempos limite

• Divida grupos grandes em grupos menores. Se o seu provedor de identidade oferecer suporte a isso, divida em vários grupos menores os grupos que frequentemente atingem o tempo limite. Isso reduz o tempo de processamento por solicitação SCIM.
• Use atualizações incrementais. Sempre que possível, use PATCH solicitações para adicionar ou remover membros individuais em vez de PUT solicitações que substituam toda a lista de associações.
• Monitore eventos incompletos. Configure o streaming de log de auditoria e alertas para eventos scim_api_incomplete para que você possa acionar novamente o provisionamento prontamente.