管理组织的团队同步

关于团队同步

您可以在 IdP 与 GitHub Enterprise Cloud 之间启用团队同步，以允许组织所有者和团队维护员将组织中的团队与 IdP 组连接起来。

当您将 GitHub 团队与 IdP 组同步时，IdP 组的变更将自动反映在 GitHub Enterprise Cloud 上，从而减少对手动更新和自定义脚本的需求。 您可以使用 IdP 与团队同步来管理一系列管理任务，如新成员登记、为组织内的调动授予新权限及删除成员对组织的访问权限。

您可以将团队同步与受支持的 IdP 一起使用。

• Azure AD
• Okta

启用团队同步后，团队维护员和组织所有者可在 GitHub 上或通过 API 将团队连接至 IdP 组。 更多信息请参阅“同步团队与身份提供程序组”和“团队同步”。

您还可以为企业帐户拥有的组织启用团队同步。 更多信息请参阅“管理企业中组织的团队同步”。

If your organization is owned by an enterprise account, enabling team synchronization or SCIM provisioning for the enterprise account will override your organization-level team synchronization settings. For more information, see "Managing team synchronization for organizations in your enterprise account" and "Configuring SCIM provisioning for Enterprise Managed Users."

使用限制

There are usage limits for the team synchonization feature. Exceeding these limits will lead to a degredation in performance and may cause synchronization failures.

• Maximum number of members in a GitHub team: 5,000
• Maximum number of members in a GitHub organization: 10,000
• Maximum number of teams in a GitHub organization: 1,500

启用团队同步

启用团队同步的步骤取决于要使用的 IdP。 有些启用团队同步的基本要求适用于每个 IdP。 每个 IdP 都有额外的基本要求。

基本要求

要对任何 IdP 启用团队同步，必须获得对 IdP 的管理访问权限，或与 IdP 管理员合作配置 IdP 集成和组。 配置 IdP 集成和组的人员必须拥有其中一项必要权限。

IdP	所需权限
Azure AD	全局管理员 特权角色管理员
Okta	具有只读管理员权限的服务用户

您必须为您的组织和支持的 IdP 启用 SAML 单点登录。 更多信息请参阅“对组织实施 SAML 单点登录”。

You must have a linked SAML identity. To create a linked identity, you must authenticate to your organization using SAML SSO and the supported IdP at least once. 更多信息请参阅“使用 SAML 单点登录进行身份验证”。

Your SAML settings must contain a valid IdP URL for the Issuer field.

为 Azure AD 启用团队同步

要为 Azure AD 启用团队同步，Azure AD 安装需要以下权限：

• 读取所有用户的完整个人资料
• 登录和读取用户个人资料
• 读取目录数据

1. In the top right corner of GitHub.com, click your profile photo, then click Your organizations.

2. 在组织旁边，单击 Settings（设置）。

3. 在左边栏中，单击 Organization security（组织安全）。

   

4. Confirm that SAML SSO is enabled for your organization. 更多信息请参阅“管理组织的 SAML 单点登录”。

5. 在“Team synchronization（团队同步）”下，单击 Enable for Azure AD（为 Azure AD 启用）。

6. 确认团队同步。

   • 如果您有 IdP 访问权限，则单击 Enable team synchronization（启用团队同步）。 您将被重定向到身份提供程序的 SAML SSO 页面，并要求选择您的帐户和查看请求的权限。
   • 如果您没有 IdP 访问权限，请复制 IdP 重定向链接并将其与您的 IdP 管理员共享以继续启用团队同步。

7. 查看要与组织连接的身份提供程序租户信息，然后单击 Approve（批准）。

为 Okta 启用团队同步

Okta team synchronization requires that SAML and SCIM with Okta have already been set up for your organization.

To avoid potential team synchronization errors with Okta, we recommend that you confirm that SCIM linked identities are correctly set up for all organization members who are members of your chosen Okta groups, before enabling team synchronization on GitHub.

If an organization member does not have a linked SCIM identity, then team synchronization will not work as expected and the user may not be added or removed from teams as expected. If any of these users are missing a SCIM linked identity, you will need to reprovision them.

For help on provisioning users that have missing a missing SCIM linked identity, see "Troubleshooting identity and access management."

Before you enable team synchronization for Okta, you or your IdP administrator must:

• Configure the SAML, SSO, and SCIM integration for your organization using Okta. 更多信息请参阅“使用 Okta 配置 SAML 单点登录和 SCIM”。
• 提供 Okta 实例的租户 URL。
• 为安装为服务用户的 Okta 生成具有只读管理员权限的有效 SSWS 令牌。 更多信息请参阅 Okta 文档中的创建令牌和服务用户。

1. In the top right corner of GitHub.com, click your profile photo, then click Your organizations.

2. 在组织旁边，单击 Settings（设置）。

3. 在左边栏中，单击 Organization security（组织安全）。

   

4. Confirm that SAML SSO is enabled for your organization. 更多信息请参阅“管理组织的 SAML 单点登录”。

5. We recommend you confirm that your users have SAML enabled and have a linked SCIM identity to avoid potential provisioning errors. For help auditing your users, see "Auditing users for missing SCIM metadata." For help resolving unlinked SCIM identities, see "Troubleshooting identity and access management."

6. Consider enforcing SAML in your organization to ensure that organization members link their SAML and SCIM identities. 更多信息请参阅“对组织实施 SAML 单点登录”。

7. 在“Team synchronization（团队同步）”下，单击 Enable for Okta（为 Okta 启用）。

8. 在组织名称下，输入有效的 SSWS 令牌和 Okta 实例的 URL。

9. 查看要与组织连接的身份提供程序租户信息，然后单击 Create（创建）。

禁用团队同步

1. In the top right corner of GitHub.com, click your profile photo, then click Your organizations.

2. 在组织旁边，单击 Settings（设置）。

3. 在左边栏中，单击 Organization security（组织安全）。

   

4. 在“Team synchronization（团队同步）”下，单击 Disable team synchronization（禁用团队同步）。