在企业帐户中实施安全设置

企业所有者可以为企业帐户拥有的所有组织实施特定的安全策略。

企业帐户可用于 GitHub Enterprise Cloud 和 GitHub Enterprise Server。 更多信息请参阅“关于企业帐户”。

要求企业帐户中的组织进行双重身份验证

企业所有者可以要求企业帐户拥有的所有组织中的组织成员、帐单管理员和外部协作者使用双重身份验证来保护其个人帐户。

您必须为自己的帐户启用双重身份验证,然后才能对企业帐户拥有的所有组织都要求 2FA。 更多信息请参阅“使用双重身份验证 (2FA) 保护您的帐户”。

警告:

  • 当您需要为企业帐户进行双重身份验证时,不使用 2FA 的企业帐户拥有的所有组织中的成员、外部协作者和帐单管理员(包括自动程序帐户)将从组织中删除,并失去对其仓库的访问权限。 他们还会失去对组织私有仓库的复刻的访问权限。 如果他们在从您的组织中删除后的三个月内为其个人帐户启用双重身份验证,您可以恢复其访问权限和设置。 更多信息请参阅“恢复组织的前成员”。
  • 为其个人帐户禁用 2FA 的企业帐户拥有的任何组织中的任何组织所有者、成员、帐单管理员或外部协作者在您启用所需的双重身份验证后将自动从组织中删除。
  • 如果您是某个要求双重身份验证的企业帐户的唯一所有者,则在不为企业帐户禁用双重身份验证要求的情况下,您将无法为个人帐户禁用 2FA。

在您要求使用双重身份验证之前,我们建议通知组织成员、外部协作者和帐单管理员,并要求他们为帐户设置双重身份验证。 组织所有者可以查看成员和外部协作者是否已在每个组织的 People(人员)页面上使用 2FA。 更多信息请参阅“查看组织中的用户是否已启用 2FA”。

  1. 在 GitHub 的右上角,单击您的个人资料照片,然后单击 Your enterprises(您的企业)GitHub 上个人资料照片下拉菜单中的"Your enterprises(您的企业)"

  2. 在企业列表中,单击您想要查看的企业。 企业列表中的企业名称

  3. 在企业帐户侧边栏中,单击 Settings(设置)企业帐户侧边栏中的“设置”选项卡

  4. 在左侧边栏中,单击 Security(安全)Security tab in the enterprise account settings sidebar

  5. 在“Two-factor authentication(双重身份验证)”下,审查有关更改设置的信息。 Optionally, to view the current configuration for all organizations in the enterprise account before you change the setting, click View your organizations' current configurations. 查看企业中组织的当前策略配置的链接

  6. 在“Two-factor authentication(双重身份验证)”下,选择 Require two-factor authentication for all organizations in your business(对您企业中的所有组织要求双重身份验证),然后单击 Save(保存)要求双重身份验证的复选框

  7. 如果出现提示,请阅读有关将从企业帐户所拥有的组织中删除的成员和外部协作者的信息。 要确认更改,请输入企业帐户的名称,然后单击 Remove members & require two-factor authentication(删除成员并要求双重身份验证)确认双重实施框

  8. (可选)如果从您的企业帐户拥有的组织中删除了任何成员或外部协作者,我们建议向他们发送邀请,以恢复其以前对组织的权限和访问权限。 每个人都必须启用双重身份验证,然后才能接受您的邀请。

管理企业帐户中组织允许的 IP 地址

企业所有者可以通过为特定 IP 地址配置允许列表,来限制对企业帐户中组织拥有的资产的访问。 例如,您可以只允许从您办公室网络的 IP 地址访问。 IP 地址的允许列表将阻止 从不在允许列表中的任何 IP 地址通过 web、API、Git 进行访问。

您可以使用 CIDR 表示法批准访问单个 IP 地址或地址范围。 更多信息请参阅维基百科上的“CIDR 表示法”。

要执行 IP 允许列表,必须先将 IP 地址添加到列表,然后启用 IP 允许列表。 您必须先添加当前 IP 地址或匹配范围,然后才能启用 IP 允许列表。 启用允许列表时,您配置的 IP 地址将立即添加到企业中的组织允许列表中。 如果禁用允许列表,则地址将从组织允许列表中删除。

您可以选择将为组织中安装的 GitHub 应用程序 配置的任何 IP 地址自动添加到允许列表中。 GitHub 应用程序 的创建者可以为其应用程序配置允许列表,指定应用程序运行的 IP 地址。 通过将允许列表继承到您的列表中,您可以避免申请中的连接请求被拒绝。 更多信息请参阅“允许 GitHub 应用程序访问”。

您还可以为单个组织配置允许的 IP 地址。 更多信息请参阅“管理组织允许的 IP 地址”。

添加允许的 IP 地址

  1. 在 GitHub 的右上角,单击您的个人资料照片,然后单击 Your enterprises(您的企业)GitHub 上个人资料照片下拉菜单中的"Your enterprises(您的企业)"

  2. 在企业列表中,单击您想要查看的企业。 企业列表中的企业名称

  3. 在企业帐户侧边栏中,单击 Settings(设置)企业帐户侧边栏中的“设置”选项卡

  4. 在左侧边栏中,单击 Security(安全)Security tab in the enterprise account settings sidebar

  5. 在“IP 允许列表”部分的底部,输入 IP 地址或 CIDR 表示法中的地址范围。 添加 IP 地址的关键字段

  6. (可选)输入允许的 IP 地址或范围的说明。 添加 IP 地址名称的关键字段

  7. 单击 Add(添加)添加允许的 ip 地址按钮

允许 GitHub 应用程序 访问

如果您使用允许列表,还可以选择将为企业中安装的 GitHub 应用程序 配置的任何 IP 地址自动添加到允许列表中。

如果您在允许列表设置中选择 Enable IP allow list configuration for installed GitHub Apps(为安装的 GitHub 应用程序启用 IP 允许列表配置),则已安装的 GitHub 应用程序 中的 IP 地址将添加到允许列表。 不管您的允许列表目前是否启用,都会发生这种情况。 如果您安装 GitHub 应用程序,然后该应用程序的创建者更改其允许列表中的地址,则允许列表会自动更新这些更改。

您可以通过查看描述字段来识别从 GitHub 应用程序 自动添加的 IP 地址。 这些 IP 地址的描述是:“由 NAME GitHub App管理”。 与手动添加的地址不同,您无法编辑、删除或禁用从 GitHub 应用程序 自动添加的 IP 地址。

注意:GitHub 应用程序 IP 允许列表中的地址只影响 GitHub 应用程序 安装提出的请求。 将 GitHub 应用程序 的 IP 地址自动添加到组织的允许列表中不允许访问从该 IP 地址连接的 GitHub 用户。

有关如何为您创建的 GitHub 应用程序 创建允许列表的更多信息,请参阅“管理 GitHub 应用程序允许的 IP 地址”。

为 GitHub 应用程序 启用自动添加 IP 地址:

  1. 在 GitHub 的右上角,单击您的个人资料照片,然后单击 Your enterprises(您的企业)GitHub 上个人资料照片下拉菜单中的"Your enterprises(您的企业)"

  2. 在企业列表中,单击您想要查看的企业。 企业列表中的企业名称

  3. 在企业帐户侧边栏中,单击 Settings(设置)企业帐户侧边栏中的“设置”选项卡

  4. 在左侧边栏中,单击 Security(安全)Security tab in the enterprise account settings sidebar

  5. 在“IP allow list(IP允许列表)”下,选择 Enable IP allow list configuration for installed GitHub Apps(启用已安装 GitHub 应用程序的 IP 允许列表配置)允许 GitHub 应用程序 IP 地址的复选框

  6. 单击 Save(保存)

启用允许的 IP 地址

  1. 在 GitHub 的右上角,单击您的个人资料照片,然后单击 Your enterprises(您的企业)GitHub 上个人资料照片下拉菜单中的"Your enterprises(您的企业)"

  2. 在企业列表中,单击您想要查看的企业。 企业列表中的企业名称

  3. 在企业帐户侧边栏中,单击 Settings(设置)企业帐户侧边栏中的“设置”选项卡

  4. 在左侧边栏中,单击 Security(安全)Security tab in the enterprise account settings sidebar

  5. 在“IP allow list(IP 允许列表)”下,选择 Enable IP allow list(启用 IP 允许列表)允许 IP 地址的复选框

  6. 单击 Save(保存)

编辑允许的 IP 地址

  1. 在 GitHub 的右上角,单击您的个人资料照片,然后单击 Your enterprises(您的企业)GitHub 上个人资料照片下拉菜单中的"Your enterprises(您的企业)"

  2. 在企业列表中,单击您想要查看的企业。 企业列表中的企业名称

  3. 在企业帐户侧边栏中,单击 Settings(设置)企业帐户侧边栏中的“设置”选项卡

  4. 在左侧边栏中,单击 Security(安全)Security tab in the enterprise account settings sidebar

  5. 在“ "IP allow list(IP 允许列表)”下您要编辑的条目右侧,单击 Edit(编辑)编辑允许的 IP 地址按钮

  6. 以 CIDR 表示法输入 IP 地址或地址范围。 添加 IP 地址的关键字段

  7. 输入允许的 IP 地址或范围的说明。 添加 IP 地址名称的关键字段

  8. 单击 Update(更新)

删除允许的 IP 地址

  1. 在 GitHub 的右上角,单击您的个人资料照片,然后单击 Your enterprises(您的企业)GitHub 上个人资料照片下拉菜单中的"Your enterprises(您的企业)"

  2. 在企业列表中,单击您想要查看的企业。 企业列表中的企业名称

  3. 在企业帐户侧边栏中,单击 Settings(设置)企业帐户侧边栏中的“设置”选项卡

  4. 在左侧边栏中,单击 Security(安全)Security tab in the enterprise account settings sidebar

  5. 在“ "IP allow list(IP 允许列表)”下您要删除的条目右侧,单击 Delete(删除)删除允许的 IP 地址按钮

  6. 要永久删除该条目,请单击 Yes, delete this IP allow list entry(是,删除此 IP 允许列表条目)永久删除 IP 允许列表条目按钮

对 GitHub Actions 使用 IP 允许列表

警告:如果您使用 IP 允许列表,并且还希望使用 GitHub Actions,则必须使用自托管运行器。 更多信息请参阅“托管您自己的运行器”。

要允许您的自行托管运行器与

GitHub 通信,请将自托管运行器的 IP 地址或 IP 地址范围添加到 IP 允许列表。 更多信息请参阅“添加允许的 IP 地址”。

管理企业帐户的 SSH 认证中心

企业所有者可以添加和删除企业帐户的 SSH 认证中心 (CA)。

将 SSH CA 添加到企业帐户后,您可以允许企业帐户拥有的任何组织的成员使用您提供的 SSH 证书,访问该组织的仓库。 您可以要求成员使用 SSH 证书访问组织资源,除非 SSH 已在仓库中禁用。 更多信息请参阅“关于 SSH 认证中心”。

添加 SSH 认证中心

在颁发每个客户端证书时,必须包含扩展,以指定证书用于哪个 GitHub 用户。 更多信息请参阅“关于 SSH 认证中心”。

  1. 在 GitHub 的右上角,单击您的个人资料照片,然后单击 Your enterprises(您的企业)GitHub 上个人资料照片下拉菜单中的"Your enterprises(您的企业)"

  2. 在企业列表中,单击您想要查看的企业。 企业列表中的企业名称

  3. 在企业帐户侧边栏中,单击 Settings(设置)企业帐户侧边栏中的“设置”选项卡

  4. 在左侧边栏中,单击 Security(安全)Security tab in the enterprise account settings sidebar

  5. 在“SSH Certificate Authorities(SSH 认证中心)”右侧,单击 New CA(新 CA)新 CA 按钮

  6. 在“Key(密钥)”下,粘贴您的公共 SSH 密钥。 用于添加 CA 的密钥字段

  7. 单击 Add CA(添加 CA)

  8. (可选)若要求会员使用 SSH 证书,请选择 Require SSH Certificates(需要 SSH 证书),然后单击 Save(保存)“需要 SSH 证书”复选框和保存按钮

删除 SSH 认证中心

对 CA 的删除无法撤销。 如果以后要使用同一 CA,您需要重新上传该 CA。

  1. 在 GitHub 的右上角,单击您的个人资料照片,然后单击 Your enterprises(您的企业)GitHub 上个人资料照片下拉菜单中的"Your enterprises(您的企业)"

  2. 在企业列表中,单击您想要查看的企业。 企业列表中的企业名称

  3. 在企业帐户侧边栏中,单击 Settings(设置)企业帐户侧边栏中的“设置”选项卡

  4. 在左侧边栏中,单击 Security(安全)Security tab in the enterprise account settings sidebar

  5. 在“SSH Certificate Authorities(SSH 认证中心)”下您想要删除的 CA 权限右边,单击 Delete(删除)删除按钮

  6. 阅读警告,然后单击 I understand, please delete this CA(我了解,请删除此 CA)删除确认按钮

延伸阅读

此文档对您有帮助吗?

隐私政策

帮助我们创建出色的文档!

所有 GitHub 文档都是开源的。看到错误或不清楚的内容了吗?提交拉取请求。

做出贡献

或, 了解如何参与。