Informationen zu Enterprise Managed Users

Informationen zu Enterprise Managed Users

Mit Enterprise Managed Users kannst du die Benutzerkonten der Unternehmensmitglieder über deinen Identitätsanbieter (Identity Provider, IdP) steuern. Benutzer, die der Anwendung GitHub Enterprise Managed User auf dem IdP zugewiesen sind, werden als neue Benutzerkonten auf GitHub bereitgestellt und deinem Unternehmen hinzugefügt. Du steuerst Benutzernamen, Profildaten, Teammitgliedschaft und Repositoryzugriff für die Benutzerkonten über den IdP.

Auf deinem IdP kannst du jedem verwaltetes Benutzerkonto die Rolle des Benutzers, des Unternehmensbesitzers oder des Abrechnungs-Managers zuweisen. Verwaltete Benutzerkonten können Organisationen innerhalb deines Unternehmens besitzen und andere verwaltete Benutzerkonten den Organisationen und Teams innerhalb des Unternehmens hinzufügen. Weitere Informationen findest du unter Rollen in einem Unternehmen und unter Informationen zu Organisationen.

Wenn dein Unternehmen OIDC SSO nutzt, verwendet GitHub automatisch die IP-Bedingungen der Richtlinie für bedingten Zugriff (Conditional Access Policy, CAP) deines IdP, um Benutzerinteraktionen mit GitHub zu überprüfen, wenn Mitglieder IP-Adressen ändern oder wenn ein personal access token bzw. ein SSH-Schlüssel verwendet wird. Weitere Informationen findest du unter Informationen zur Unterstützung der IdP-Richtlinie für bedingten Zugriff.

Du kannst für verwaltete Benutzerkonten Zugriff gewähren und die Möglichkeit bieten, Beiträge zu Repositorys innerhalb deines Unternehmens zu leisten, doch verwaltete Benutzerkonten sind nicht dazu in der Lage, öffentliche Inhalte zu erstellen oder mit anderen Benutzer*innen, Organisationen und Unternehmen im übrigen Bereich von GitHub zusammenzuarbeiten. Weitere Informationen findest du unter Möglichkeiten und Einschränkungen von verwaltete Benutzerkonten.

Die Benutzernamen der verwaltete Benutzerkonten deines Unternehmens und ihre Profilinformationen, z. B. Anzeigenamen und E-Mail-Adressen, werden durch deinen IdP festgelegt und können von den Benutzer*innen selbst nicht geändert werden. Weitere Informationen findest du unter Benutzernamen und Profilinformationen.

Unternehmensbesitzer*innen können alle Aktionen der verwaltete Benutzerkonten auf GitHub überprüfen. Weitere Informationen findest du unter Überwachungsprotokollereignisse für dein Unternehmen.

Zum Verwenden von Enterprise Managed Users benötigst du einen separaten Unternehmenskontotyp mit Aktivierung von Enterprise Managed Users. Weitere Informationen zum Erstellen dieses Kontos findest du unter Erste Schritte mit Enterprise Managed Users.

Informationen zum Verwalten der Organisationsmitgliedschaft

Organisationsmitgliedschaften können manuell verwaltet oder automatisch mithilfe von IdP-Gruppen aktualisiert werden. Um Organisationsmitgliedschaften über deinen IdP zu verwalten, müssen die Mitglieder einer IdP-Gruppe hinzugefügt werden, und die Gruppe muss mit einem Team innerhalb der Organisation verbunden sein. Weitere Informationen zum automatischen Verwalten von Organisation und Teammitgliedschaft findest du unter Verwalten von Teammitgliedschaften mit Identitätsanbietergruppen.

Die Art, wie Mitglieder zu einer Organisation hinzugefügt werden, die deinem Unternehmen gehört – entweder über IdP-Gruppen oder manuell – bestimmt, wie sie aus einer Organisation entfernt werden müssen.

• Wenn ein Mitglied einer Organisation manuell hinzugefügt wurde, musst du es manuell entfernen. Wenn du seine Zuweisung zur GitHub Enterprise Managed User-Anwendung auf deinem IdP aufhebst, wird das Mitglied gesperrt, jedoch nicht aus der Organisation entfernt.
• Wenn Benutzer*innen Mitglieder einer Organisation wurden, da sie zu IdP-Gruppen hinzugefügt wurden, die einem oder mehreren Teams in der Organisation zugeordnet sind, werden sie, wenn sie aus allen zugeordneten IDP-Gruppen entfernt werden, die der Organisation zugeordnet sind, auch aus der Organisation entfernt.

Um zu ermitteln, wie ein Mitglied einer Organisation hinzugefügt wurde, kannst du die Mitgliederliste nach Typ filtern. Weitere Informationen findest du unter Anzeigen von Personen in deinem Unternehmen.

Unterstützung für Identitätsanbieter

Identitätsanbieter	SAML	OIDC
Azure Active Directory
Okta

Möglichkeiten und Einschränkungen von verwaltete Benutzerkonten

Verwaltete Benutzerkonten können nur zu privaten und internen Repositorys innerhalb ihres Unternehmens und privaten Repositorys im Besitz ihres Benutzerkontos beitragen. Verwaltete Benutzerkonten haben schreibgeschützten Zugriff auf die breitere GitHub-Community. Diese Sichtbarkeits- und Zugriffsbeschränkungen für Benutzer und Inhalte gelten für alle Anforderungen, einschließlich API-Anforderungen.

• Verwaltete Benutzerkonten authentifizieren sich nur mit deinem Identitätsanbieter und haben keine auf GitHub gespeicherten Kennwort- oder Zwei-Faktor-Authentifizierungsmethoden. Daher wird ihnen die sudo-Eingabeaufforderung beim Ausführen vertraulicher Aktionen nicht angezeigt. Weitere Informationen findest du unter Sudo-Modus.
• Verwaltete Benutzerkonten können weder zu Organisationen oder Repositorys außerhalb des Unternehmens eingeladen werden noch können die verwaltete Benutzerkonten zu anderen Unternehmen eingeladen werden.
• Verwaltete Benutzerkonten und die Inhalte, die sie erstellen, sind nur für andere Mitglieder des Unternehmens sichtbar.
• Andere GitHub-Benutzer*innen können keine verwaltetes Benutzerkonto sehen, erwähnen oder zur Zusammenarbeit einladen.
• Verwaltete Benutzerkonten können alle öffentlichen Repositorys auf GitHub.com anzeigen, jedoch nicht auf folgende Weise mit Repositorys außerhalb des Unternehmens interagieren:
  • Code an das Repository pushen
  • Issues oder Pull Requests im Repository erstellen
  • Diskussionen im Repository eröffnen oder kommentieren
  • In Issues oder Pull Requests kommentieren oder auf Kommentare reagieren
  • Repositorys beobachten, forken oder mit Stern versehen
• Verwaltete Benutzerkonten können keine Gists erstellen und kommentieren.
• Verwaltete Benutzerkonten können Benutzer*innen außerhalb des Unternehmens nicht folgen.
• Verwaltete Benutzerkonten können keine Starterworkflows für GitHub Actions erstellen.
• Verwaltete Benutzerkonten können GitHub Apps nicht auf ihren Benutzerkonten installieren. Verwaltete Benutzerkonten kann eine GitHub App in einer Organisation installieren, wenn die App keine Organisationsberechtigungen anfordert und wenn der verwaltetes Benutzerkonto über Administratorzugriff auf die Repositorys verfügt, für die der App Zugriff gewährt werden soll.
• Du kannst auswählen, ob verwaltete Benutzerkonten Repositorys im Besitz ihrer Benutzerkonten erstellen können. Weitere Informationen findest du unter Erzwingen von Repositoryverwaltungsrichtlinien in einem Unternehmen.
• Wenn du verwaltete Benutzerkonten erlaubst, Repositorys im Besitz ihrer Benutzerkonten zu erstellen, können sie nur private Repositorys besitzen und nur andere Unternehmensmitglieder einladen, an ihren Benutzerrepositorys mitzuarbeiten.
• Verwaltete Benutzerkonten können keine Repositorys von außerhalb des Unternehmens forken. Gemäß der Unternehmensrichtlinie können Verwaltete Benutzerkonten private oder interne Repositorys, die sich im Besitz von Organisationen im Unternehmen befinden, in ihren Benutzerkonto-Namespace oder in andere Organisationen im Besitz des Unternehmens forken.
• Je nach Sichtbarkeitseinstellungen für Organisations- und Unternehmensrepositorys können nur private und interne Repositorys in Organisationen im Besitz eines Unternehmen mit verwalteten Benutzer*innen erstellt werden.
• Externe Projektmitarbeiter werden von Enterprise Managed Users nicht unterstützt.
• Verwaltete Benutzerkonten können GitHub Pages nur eingeschränkt verwenden. Weitere Informationen findest du unter Informationen zu GitHub Pages.
• Verwaltete Benutzerkonten können nur Codespaces erstellen und verwenden, die sich im Besitz ihrer Organisation oder ihres Unternehmens befinden und von diesen bezahlt werden. Daher gilt für verwaltete Benutzerkonten Folgendes:
  • Sie können Codespaces für Repositorys im Besitz ihrer Organisation oder Forks dieser Repositorys erstellen, sofern die Organisation die Abrechnung für GitHub Codespaces aktiviert hat. Weitere Informationen findest du unter Aktivieren von GitHub Codespaces für deine Organisation.
  • Mit Ausnahme von Forks von Repositorys, die ihrer Organisation gehören, können sie keine Codespaces für ihre persönlichen Repositorys erstellen. Auch für alle anderen Repositorys außerhalb ihrer Organisation oder über öffentliche GitHub-Vorlagen für GitHub Codespaces ist dies nicht möglich.

Erste Schritte mit Enterprise Managed Users

Ehe deine Entwickler GitHub Enterprise Cloud mit Enterprise Managed Users verwenden können, musst du eine Reihe von Konfigurationsschritten durchführen.

1. Zum Verwenden von Enterprise Managed Users benötigst du einen separaten Unternehmenskontotyp mit Aktivierung von Enterprise Managed Users. Zum Ausprobieren von Enterprise Managed Users oder zum Besprechen von Optionen zum Migrieren deines vorhandenen Unternehmens kannst du dich an das GitHub-Vertriebsteam wenden.

   Dein Ansprechpartner im GitHub-Vertriebsteam arbeitet mit dir zusammen, um dein neues Unternehmen mit verwalteten Benutzer*innen zu erstellen. Du musst die E-Mail-Adresse für den Benutzer bereitstellen, der dein Unternehmen einrichtet, und einen kurzen Code, der als Suffix für die Benutzernamen deiner Unternehmensmitglieder verwendet wird. Der kurze Code muss für Ihr Unternehmen eindeutig sein. Es muss sich um eine alphanumerische Zeichenfolge mit drei bis acht Zeichen handeln, die keine Sonderzeichen enthält. Weitere Informationen findest du unter Benutzernamen und Profilinformationen.

2. Nachdem das Unternehmen erstellt ist, erhältst du eine E-Mail von GitHub, in der du gebeten wirst, ein Kennwort für den Setupbenutzer deines Unternehmens auszuwählen, der als erster Besitzer des Unternehmens geführt wird. Verwende den Inkognito-Modus oder ein privates Browserfenster beim Festlegen des Kennworts. Der Setupbenutzer wird nur zum Konfigurieren der SSO- und SCIM-Bereitstellungsintegration für das Unternehmen verwendet. Der Setupbenutzer hat keinen Zugriff mehr auf die Verwaltung des Unternehmenskontos, nachdem SSO erfolgreich aktiviert wurde. Der Benutzername des Setupbenutzers ist der kurze Code deines Unternehmens mit dem Suffix _admin.

   Wenn du das Kennwort für deinen Setupbenutzer zurücksetzen musst, wende dich über das GitHub-Supportportal an den GitHub-Support.

3. Nachdem du dich als Setupbenutzer angemeldet hast, empfehlen wir die Aktivierung der zweistufigen Authentifizierung. Weitere Informationen findest du unter Zwei-Faktor-Authentifizierung konfigurieren.

4. Konfiguriere zunächst , wie sich deine Mitglieder authentifizieren sollen. Wenn du Azure Active Directory als Identitätsanbieter verwendest, kannst du zwischen OpenID Connect (OIDC) und Security Assertion Markup Language (SAML) wählen. OIDC wird empfohlen, da es auch Unterstützung für Richtlinien für bedingten Zugriff (Conditional Access Policies, CAP) umfasst. Wenn du mehrere Unternehmen mit verwaltete Benutzerkonten benötigst, die über einen Mandanten bereitgestellt werden, musst du SAML für jedes Unternehmen nach dem ersten verwenden. Wenn du Okta als Identitätsanbieter verwendest, kannst du SAML für die Authentifizierung deiner Mitglieder nutzen.

   Lies zunächst den Leitfaden für deine gewählte Authentifizierungsmethode.

   • Konfigurieren von OIDC für Enterprise Managed Users
   • Konfigurieren von SAML Single Sign-On für verwaltete Enterprise-Benutzer*innen

5. Sobald du SSO konfiguriert hast, kannst du die SCIM-Bereitstellung konfigurieren. SCIM ist dafür zuständig, wie dein Identitätsanbieter verwaltete Benutzerkonten auf GitHub.com zu erstellen. Weitere Informationen zur Konfiguration der SCIM-Bereitstellung findest du unter Konfigurieren der SCIM-Bereitstellung für Enterprise Managed Users.

6. Sobald die Authentifizierung und Bereitstellung konfiguriert sind, kannst du mit der Verwaltung der Organisationsmitgliedschaft für deine verwaltete Benutzerkonten beginnen, indem du IdP-Gruppen mit Teams synchronisierst. Weitere Informationen findest du unter Verwalten von Teammitgliedschaften mit Identitätsanbietergruppen.

Wenn Mitglieder deines Unternehmens eine einzige Arbeitsstation verwenden müssen, um an Repositorys auf GitHub.com sowohl über ein verwaltetes Benutzerkonto als auch über ein persönliches Konto mitzuwirken, kannst du Support bereitstellen. Weitere Informationen findest du unter Unterstützen von Entwicklern mit mehreren Benutzerkonten auf GitHub.com.

Authentifizieren als verwaltetes Benutzerkonto

Verwaltete Benutzerkonten müssen sich über ihren Identitätsanbieter authentifizieren. Zum Authentifizieren kann ein verwaltetes Benutzerkonto sein IdP-Anwendungsportal besuchen oder die Anmeldeseite auf GitHub.com verwenden.

Wenn nicht authentifizierte Benutzerinnen versuchen, auf ein Unternehmen mit Enterprise Managed Users zuzugreifen, zeigt GitHub standardmäßig den Fehler 404 an. Unternehmensbesitzerinnen können optional automatische Umleitungen zum einmaligen Anmelden (SSO) anstelle des Fehlers 404 aktivieren. Weitere Informationen findest du unter Erzwingen von Richtlinien für Sicherheitseinstellungen in deinem Unternehmen.

Wenn ein SAML-Konfigurationsfehler oder ein Problem mit deinem Identitätsanbieter (IdP) verhindert, dass du SAML SSO verwendest, kannst du einen Wiederherstellungscode verwenden, um auf dein Unternehmen zuzugreifen. Weitere Informationen findest du unter Verwalten von Wiederherstellungscodes für dein Unternehmen.

Authentifizieren als verwaltetes Benutzerkonto über GitHub.com

1. Navigiere zu https://github.com/login.
2. Gib im Textfeld „Username or email address“ (Benutzername oder E-Mail-Adresse) deinen Benutzernamen ein, einschließlich des Unterstrichs und des kurzen Codes. Wenn dein Benutzername vom Formular erkannt wird, wird das Formular aktualisiert. Du musst dein Kennwort in diesem Formular nicht eingeben.
3. Klicke auf Sign in with your identity provider (Anmelden mit Identitätsanbieter), um den Vorgang über deinen Identitätsanbieter fortzusetzen.

Benutzernamen und Profilinformationen

GitHub Enterprise Cloud erstellt automatisch einen Benutzernamen für jede Person, indem ein von deinem IdP bereitgestellter Bezeichner normalisiert wird. Weitere Informationen findest du unter Überlegungen zum Benutzernamen für die externe Authentifizierung.

Bei der Bereitstellung von Benutzern kann ein Konflikt auftreten, wenn die eindeutigen Teile des von deinem IdP bereitgestellten Bezeichners während der Normalisierung entfernt werden. Wenn du einen Benutzer aufgrund eines Benutzernamenskonflikts nicht bereitstellen kannst, solltest du den vom IdP bereitgestellten Benutzernamen ändern. Weitere Informationen findest du unter Überlegungen zum Benutzernamen für die externe Authentifizierung.

Der Profilname und die E-Mail-Adresse von einem verwaltetes Benutzerkonto wird auch vom IdP bereitgestellt. Verwaltete Benutzerkonten können ihren Profilnamen oder ihre E-Mail-Adresse auf GitHub nicht ändern, und der IdP kann nur eine einzelne E-Mail-Adresse bereitstellen.

Unterstützen von Entwickler*innen mit mehreren Benutzerkonten auf GitHub.com

Personen in deinem Team müssen möglicherweise an Ressourcen auf GitHub.com mitwirken, die sich außerhalb deines Unternehmen mit verwalteten Benutzerinnen befinden. Beispielsweise möchtest du ein separates Unternehmen für die Open-Source Projekte deines Unternehmens verwalten. Da ein verwaltetes Benutzerkonto nicht an öffentlichen Ressourcen mitwirken kann, müssen Benutzerinnen für diese Arbeit über ein separates, persönliches Konto verfügen.

Personen, die von zwei Benutzerkonten auf GitHub.com und mithilfe einer einzigen Arbeitsstation mitwirken müssen, können Git für einen vereinfachten Prozess konfigurieren. Weitere Informationen findest du unter Verwalten mehrerer Konten.