Настройка SCIM-предоставления для управляемых

Вы можете управлять жизненным циклом учетных записей пользователей предприятия из поставщика удостоверений (IdP) с помощью системы управления междоменной идентификацией (SCIM).

Кто может использовать эту функцию?

Enterprise Managed Users доступен для новых корпоративных учетных записей GitHub Enterprise Cloud. См . раздел AUTOTITLE.

В этой статье

Чтобы создать, управлять и деактивировать учетные записи пользователей для участников предприятия на GitHub, ваш идентификатор idP должен реализовать SCIM для связи с GitHub. SCIM — это открытая спецификация для управления удостоверениями пользователей между системами. Различные поставщики удостоверений предоставляют различные возможности для настройки подготовки SCIM.

При использовании поставщика удостоверений партнера можно упростить настройку подготовки SCIM с помощью приложения поставщика удостоверений партнера. Если вы не используете партнёрский IDP для провизионирования, вы можете реализовать SCIM, используя вызовы GitHubREST API для SCIM. Для получения дополнительной информации см. Около Enterprise Managed Users.

Примечание.

GitHub не тестирует и не валидирует галереи идентификаторов (IDP) для использования в Government Cloud средах, включая Microsoft Entra ID Government Cloud и Okta Government Cloud. Вопросы аутентификации и предоставления SCIM, связанные с галерейными приложениями в этих средах, выходят за GitHubрамки поддержки.

Сведения об управлении жизненным циклом пользователей с помощью SCIM

С помощью SCIM вы управляете жизненным циклом учетных записей пользователей из поставщика удостоверений:

  • После настройки подготовки Enterprise Managed Usersидентификатор поставщика удостоверений использует SCIM для подготовки учетных записей пользователей и добавления учетных GitHub записей в ваше предприятие. Если вы назначаете приложению группу в идентификаторе поставщика удостоверений, ваш идентификатор будет подготавливать учетные записи для всех участников группы.
  • При обновлении сведений, связанных с удостоверением пользователя в идентификаторе поставщика удостоверений, идентификатор поставщика удостоверений обновит учетную запись пользователя.GitHub
  • Если вы отмените назначение пользователя из приложения IdP или деактивируете учетную запись пользователя в idP, ваш idP будет обмениваться данными, GitHub чтобы отменить любые сеансы и отключить учетную запись участника. Сведения об отключенной учетной записи сохраняются, и их имя пользователя изменяется на хэш исходного имени пользователя с коротким кодом, добавленным при необходимости.
  • Если вы переназначите пользователя приложению IdP или повторно активируете свою учетную запись в идентификаторе поставщика удостоверений, учетная запись пользователя будет повторно активирована, а имя пользователя будет восстановлено.

Чтобы настроить членство в команде и организации, доступ к репозиторию и разрешения, можно использовать группы для поставщика удостоверений. Дополнительные сведения см. в разделе Управление членством в группах поставщиков удостоверений.

Необходимые компоненты

Если вы настраиваете подготовку SCIM для нового предприятия, обязательно выполните все предыдущие действия в процессе начальной настройки. См . раздел AUTOTITLE.

Настройка пользовательской настройки для Enterprise Managed Users

После завершения настройки на GitHub, вы можете настроить провизию на вашем IdP. Инструкции должны отличаться в зависимости от того, используется ли приложение поставщика удостоверений партнера для проверки подлинности и подготовки.

Настройка подготовки при использовании приложения поставщика удостоверений партнера

Чтобы использовать приложение поставщика удостоверений партнера как для проверки подлинности, так и подготовки, ознакомьтесь с инструкциями партнера по настройке подготовки в ссылках в следующей таблице.

IdPМетод единого входаInstructions
Microsoft Entra ID (ранее известный как Azure AD)OIDC
Учебник: Configure GitHub Enterprise Managed User (OIDC) для автоматического пользовательского предоставления на Microsoft Learn
Идентификатор записиSAML
Tutorial: Configure GitHub Enterprise Managed User для автоматической настройки пользователей на Microsoft Learn
OktaSAML
Конфигурирование аутентификации ис помощью Okta
PingFederateSAMLПредварительные требования и 2. Настройка разделов SCIM в Настройка проверки подлинности и подготовки с помощью PingFederate

Настройка подготовки для других систем управления удостоверениями

Если вы не используете партнёрский IDP или только партнёрский IDP для SAML-аутентификации, вы можете управлять жизненным циклом учетных записей с помощью GitHubREST API конечных точек для предоставления SCIM. См . раздел AUTOTITLE.

Примечание.

Использование REST API для провизии SCIM не поддерживается с предприятиями, включёнными для OIDC.

GitHub не поддерживает сочетание поставщиков удостоверений для проверки подлинности и подготовки партнеров и не проверяет все системы управления удостоверениями. GitHubможет оказаться не в состоянии помочь вам с проблемами, связанными с смешанными или непроверенными системами. Если вам нужна помощь, необходимо обратиться к документации системы, группе поддержки или другим ресурсам.

Внимание

Сочетание Okta и Entra ID для единого входа и SCIM (в любом порядке) явно не поддерживается. API SCIM %% данных.product.github %}возвращает ошибку поставщику удостоверений при попытке подготовки при настройке этого сочетания.

  1. Войдите в качестве пользователя установки для вашей организации с помощью имени пользователя SHORTCODE_admin, заменив SHORTCODE коротким кодом вашего предприятия.

    Примечание.

    Если вам нужно сбросить пароль для пользователя установки, обратитесь к Служба поддержки GitHub через Портал поддержки GitHub. Обычный параметр сброса пароля, указав ваш адрес электронной почты, не будет работать.

  2. Перейдите к своему предприятию. Например, на странице Enterprises на GitHub.com.

  3. В верхней части страницы нажмите «Поставщик личности».

  4. В разделе "Поставщик удостоверений" щелкните конфигурацию единого входа.

  5. В разделе "Открыть конфигурацию SCIM" выберите "Включить открытую конфигурацию SCIM".

  6. Управляйте жизненным циклом пользователей, выполняя вызовы конечных точек REST API для подготовки SCIM. См . раздел AUTOTITLE.

Назначаю пользователей и группы

После настройки проверки подлинности и подготовки вы сможете подготовить новых пользователей на GitHub путем назначения пользователям или группам GitHub Enterprise Managed User приложения.

При назначении пользователей можно использовать атрибут "Роли" в приложении в idP, чтобы задать роль пользователя в организации. Дополнительные сведения о ролях, доступных для назначения, см. в разделе Возможности ролей на предприятии.

Идентификатор записи не поддерживает подготовку вложенных групп. Для получения дополнительной информации см. How Application Provisioning Works in Microsoft Entra ID на Microsoft Learn.