Skip to main content

为企业中的安全设置实施策略

您可以实施策略来管理企业组织中的安全设置,或允许在每个组织中设置策略。

Who can use this feature

Enterprise owners can enforce policies for security settings in an enterprise.

关于企业中安全设置的策略

您可以在 GitHub Enterprise Cloud 上实施策略以控制企业拥有的组织的安全设置。 默认情况下,组织所有者可以管理安全设置。

要求企业中的组织进行双重身份验证

企业所有者可以要求企业拥有的所有组织中的组织成员、帐单管理员和外部协作者使用双重身份验证来保护其用户帐户。

您必须为自己的帐户启用双重身份验证,然后才能对企业拥有的所有组织都要求 2FA。 有关详细信息,请参阅“使用双因素身份验证 (2FA) 保护帐户”。

警告:

  • 当您需要为企业进行双重身份验证时,不使用 2FA 的企业拥有的所有组织中的成员、外部协作者和帐单管理员(包括自动程序帐户)将从组织中删除,并失去对其仓库的访问权限。 他们还会失去对组织私有仓库的复刻的访问权限。 如果他们在从你的组织中删除后的三个月内为其帐户启用双因素身份验证,则可以恢复其访问特权和设置。 有关详细信息,请参阅“恢复组织的前成员”。
  • 为其帐户禁用 2FA 的企业拥有的任何组织中的任何组织所有者、成员、帐单管理员或外部协作者在你启用所需的双重身份验证后将自动从组织中删除。
  • 如果你是某个要求双因素身份验证的企业的唯一所有者,则在不为企业禁用双因素身份验证要求的情况下,你将无法为用户帐户禁用 2FA。

在您要求使用双重身份验证之前,我们建议通知组织成员、外部协作者和帐单管理员,并要求他们为帐户设置双重身份验证。 组织所有者可以查看成员和外部协作者是否已在每个组织的 People(人员)页面上使用 2FA。 有关详细信息,请参阅“查看组织中的用户是否启用了 2FA”。

  1. 在 GitHub.com 的右上角,单击你的个人资料照片,然后单击“你的企业”。 GitHub Enterprise Cloud 上个人资料照片下拉菜单中的“你的企业”

  2. 在企业列表中,单击您想要查看的企业。 企业列表中的企业名称

  3. 在企业帐户侧边栏中,单击 “设置”。 企业帐户侧边栏中的“设置”选项卡

  4. In the left sidebar, click Authentication security. Security tab in the enterprise account settings sidebar

  5. 在“Two-factor authentication(双重身份验证)”下,审查有关更改设置的信息。 (可选)若要在更改设置之前查看企业帐户中所有组织的当前配置,请单击 查看组织的当前配置查看企业中组织的当前策略配置的链接

  6. 在“双因素身份验证”下,选择“要求对企业中的所有组织进行双因素身份验证”,然后单击“保存” 。 要求进行双因素身份验证的复选框

  7. 如果出现提示,请阅读有关将从企业所拥有的组织中删除的成员和外部协作者的信息。 若要确认更改,请键入企业的名称,然后单击“删除成员并要求进行双因素身份验证”。 确认强制执行双因素身份验证的框

  8. (可选)如果从您的企业拥有的组织中删除了任何成员或外部协作者,我们建议向他们发送邀请,以恢复其以前对组织的权限和访问权限。 每个人都必须启用双重身份验证,然后才能接受您的邀请。

管理企业的 SSH 认证机构

您可以使用 SSH 认证机构 (CA) 来允许企业拥有的任何组织的成员使用您提供的 SSH 证书访问该组织的存储库。 您可以要求成员使用 SSH 证书访问组织资源,除非 SSH 已在仓库中禁用。 有关详细信息,请参阅“关于 SSH 证书颁发机构”。

在颁发每个客户端证书时,必须包含扩展,以指定证书用于哪个 GitHub Enterprise Cloud 用户。 有关详细信息,请参阅“关于 SSH 证书颁发机构”。

添加 SSH 认证中心

如果您的企业需要 SSH 证书,企业成员应使用特殊的 URL 通过 SSH 进行 Git 操作。 有关详细信息,请参阅“关于 SSH 证书颁发机构”。

  1. 在 GitHub.com 的右上角,单击你的个人资料照片,然后单击“你的企业”。 GitHub Enterprise Cloud 上个人资料照片下拉菜单中的“你的企业”

  2. 在企业列表中,单击您想要查看的企业。 企业列表中的企业名称

  3. 在企业帐户侧边栏中,单击 “设置”。 企业帐户侧边栏中的“设置”选项卡

  4. In the left sidebar, click Authentication security. Security tab in the enterprise account settings sidebar 1. 在“SSH 证书颁发机构”右侧,单击“新建 CA”。 “新建 CA”按钮

  5. 在“Key(密钥)”下,粘贴您的公共 SSH 密钥。 用于添加 CA 的密钥字段

  6. 单击“添加 CA”。 1. (可选)若要要求成员使用 SSH 证书,请选择“需要 SSH 证书”,然后单击“保存” 。 “需要 SSH 证书”复选框和“保存”按钮

    注意:需要 SSH 证书时,该要求不适用于获得授权的第三方集成或 GitHub 功能,例如 GitHub Actions 和 Codespaces,它们是 GitHub 生态系统中的受信任环境。

删除 SSH 认证中心

对 CA 的删除无法撤销。 如果以后要使用同一 CA,您需要重新上传该 CA。

  1. 在 GitHub.com 的右上角,单击你的个人资料照片,然后单击“你的企业”。 GitHub Enterprise Cloud 上个人资料照片下拉菜单中的“你的企业”

  2. 在企业列表中,单击您想要查看的企业。 企业列表中的企业名称

  3. 在企业帐户侧边栏中,单击 “设置”。 企业帐户侧边栏中的“设置”选项卡

  4. In the left sidebar, click Authentication security. Security tab in the enterprise account settings sidebar 1. 在“SSH 证书颁发机构”下,在要删除的 CA 右侧,单击“删除”。 “删除”按钮

  5. 阅读警告,然后单击“我了解,请删除此 CA”。 删除确认按钮

管理未经身份验证的用户的 SSO

注意:自动重定向用户以登录目前处于 Enterprise Managed Users 的 beta 版本,并可能会发生更改。

如果你的企业使用 Enterprise Managed Users,你可以选择未经身份验证的用户在尝试访问企业资源时看到的内容。 有关 Enterprise Managed Users 的详细信息,请参阅“关于 Enterprise Managed Users”。

默认情况下,为了隐藏专用资源的存在,当未经身份验证的用户尝试访问你的企业时,GitHub 将显示 404 错误。

为防止你的开发人员混淆,你可以更改此行为,以便用户通过标识提供者 (IdP) 自动重定向到单一登录 (SSO)。 启用自动重定向后,访问企业任何资源的 URL 的任何人都可以看到该资源是否存在。 但是,只有在他们使用你的 IdP 进行身份验证后具有适当的访问权限时,他们才能看到资源。

注意:如果用户在尝试访问企业的任何资源时登录到其个人帐户,他们将被自动注销并重定向到 SSO 以登录到其 managed user account。 有关详细信息,请参阅“管理多个帐户”。

  1. 在 GitHub.com 的右上角,单击你的个人资料照片,然后单击“你的企业”。 GitHub Enterprise Cloud 上个人资料照片下拉菜单中的“你的企业”

  2. 在企业列表中,单击您想要查看的企业。 企业列表中的企业名称

  3. 在企业帐户侧边栏中,单击 “设置”。 企业帐户侧边栏中的“设置”选项卡

  4. In the left sidebar, click Authentication security. Security tab in the enterprise account settings sidebar

  5. 在“单一登录设置”下,选择或取消选择“自动重定向用户以登录”。

    用于自动重定向用户以进行登录的复选框

延伸阅读