Restricting network traffic to your enterprise with an IP allow list

About network traffic restrictions

By default, authorized users can access your enterprise's resources from any IP address. You can restrict access to your enterprise's private resources by configuring a list that allows or denies access from specific IP addresses. Por ejemplo, puedes permitir el acceso a los recursos privados exclusivamente desde la dirección IP de la red de tu oficina.

Si la lista permite una dirección IP, un usuario autenticado que se conecta a GitHub.com desde esa dirección puede acceder a recursos privados. Si no se permite la dirección IP del usuario, ese usuario no puede acceder a los recursos privados hasta que se conecten desde una dirección permitida.

Después de configurar una lista de direcciones IP permitidas, la lista determina si los usuarios pueden acceder a los recursos protegidos a través de la UI web, las API o Git, mediante cualquiera de los métodos de autenticación siguientes.

• Nombre de usuario y contraseña, con autenticación de GitHub o SSO de SAML
• Personal access token
• Llave SSH

La lista de direcciones IP permitidas se aplica a los usuarios con cualquier rol o acceso, incluidos los propietarios de la empresa y la organización, los administradores del repositorio y los colaboradores externos.

Si un usuario ha iniciado sesión en GitHub.com, la lista de direcciones IP permitidas determina si dicho usuario puede acceder a los recursos públicos de la organización. La lista no se aplica al acceso anónimo a los recursos públicos.

Una lista de direcciones IP permitidas determina solo el acceso a los repositorios que son propiedad de la organización. La lista no controla el acceso a repositorios ni bifurcaciones de repositorios que pertenecen a una cuenta de usuario administrada.

Las características de GitHub Copilot que no requieren la captura directa de datos privados o organizativos de GitHub no están restringidas por listas de direcciones IP permitidas, ya que el único riesgo de uso incorrecto es a los propios recursos de proceso de GitHub.

If your enterprise uses Enterprise Managed Users with Microsoft Entra ID (previously known as Azure AD) and OIDC, you can choose whether to use GitHub's IP allow list feature or to use the allow list restrictions for your identity provider (IdP). If your enterprise does not use Enterprise Managed Users with Azure and OIDC, you can use GitHub's allow list feature.

About GitHub's IP allow list

You can use GitHub's IP allow list to control access to your enterprise and assets owned by organizations in your enterprise.

Puedes aprobar el acceso para una dirección IP única o para un rango de ellas utilizando notación CIDR. Para más información, vea "Notación CIDR" en Wikipedia.

Para aplicar la lista de IP permitidas, primero debes agregar direcciones a la lista, y después habilitarla. Tras completar la lista, puedes comprobar si cualquiera de las entradas habilitadas de la lista de direcciones IP permitidas permitiría una dirección IP determinada en la lista.

Debes agregar tu dirección IP actual o un rango coincidente antes de habilitar la lista de permisos de IP. Cuando habilitas la lista de direcciones permitidas, las direcciones IP que configuraste se agregan inmediatamente a las listas de direcciones permitidas de las organizaciones en tu empresa. Si inhabilitas la lista de direcciones permitidas, las direcciones se eliminan de las listas de direcciones permitidas de la organización.

Los propietarios de la organización pueden agregar entradas adicionales a la lista de permitidos para sus organizaciones, pero no pueden administrar las entradas heredadas de la lista de permitidos de la cuenta de empresa, y los propietarios de la empresa no pueden administrar las entradas agregadas a la lista de permitidos de la organización. Para más información, consulta "Administrar las direcciones IP permitidas en tu organización".

Puedes elegir agregar automáticamente cualquier dirección IP a tu lista de direcciones permitidas para las GitHub Apps que están instaladas en tu empresa. El creador de una GitHub App puede configurar una lista de direcciones permitidas para su aplicación, las cuales especifiquen las direcciones IP en las cuales se ejecuta esta. Al heredar la lista de direcciones permitidas en la tuya, estás evitando las solicitudes de conexión de la aplicación que se está rehusando. Para obtener más información, consulte "Permitir el acceso mediante GitHub Apps".

About your IdP's allow list

If you are using Enterprise Managed Users with Entra ID and OIDC, you can use your IdP's allow list.

Using your IdP's allow list deactivates the GitHub IP allow list configurations for all organizations in your enterprise and deactivates the GraphQL APIs for enabling and managing IP allow lists.

By default, your IdP runs the CAP on the initial interactive SAML or OIDC sign-in to GitHub for any IP allow list configuration you choose.

The OIDC CAP only applies for requests to the API using a user token, such as an OAuth token for an OAuth app or a user access token for a GitHub App acting on behalf of a user. The OIDC CAP does not apply when a GitHub App uses an installation access token. For more information, see "Acerca de la autenticación con una aplicación de GitHub" and "About support for your IdP's Conditional Access Policy."

To ensure seamless use of the OIDC CAP while still applying the policy to OAuth tokens and user access tokens, you must copy all of the IP ranges from each GitHub App that your enterprise uses to your IdP policy.

Using GitHub's IP allow list

Enabling GitHub's IP allow list

1. En la esquina superior derecha de GitHub, seleccione la foto del perfil y haga clic en Sus organizaciones.
2. Junto a la organización, haga clic en Settings.
3. En la sección "Seguridad" de la barra lateral, haz clic en Seguridad de autenticación.
4. If you're using Enterprise Managed Users with OIDC, under "IP allow list", select the IP allow list configuration dropdown menu and click GitHub.
5. Under "IP allow list", select Enable IP allow list.
6. Click Save.

Adding an allowed IP address

Puedes crear una lista de direcciones IP permitidas agregando entradas que contienen una dirección IP o un intervalo de direcciones. Cuando hayas terminado de agregar entradas, puedes comprobar si cualquiera de las entradas habilitadas de la lista permitiría una dirección IP determinada.

Antes de que la lista restrinja el acceso a los recursos privados propiedad de las organizaciones de la empresa, también debes habilitar las direcciones IP permitidas.

1. En la esquina superior derecha de GitHub, haga clic en su foto de perfil y, a continuación, en Sus empresas.

2. En la lista de empresas, da clic en aquella que quieras ver.

3. En el lado izquierdo de la página, en la barra lateral de la cuenta de empresa, haz clic en Configuración.

4. En Configuración, haz clic en Seguridad de autenticación.

5. En la parte inferior de la sección "Lista de direcciones IP permitidas", en el campo "Dirección o intervalo IP en notación CIDR", escribe una dirección IP o un rango de direcciones en notación CIDR.

   

6. De manera opcional, en el campo "Descripción breve de dirección o intervalo IP", escribe una descripción de la dirección o el intervalo IP que se permite.

7. Haz clic en Agregar.

8. Opcionalmente, comprueba si cualquiera de las entradas habilitadas de la lista permitiría una dirección IP determinada. Para obtener más información, consulta "Comprobación de permiso para una dirección IP".

Allowing access by GitHub Apps

Si estás utilizando una lista de direcciones permitidas, también puedes elegir agregar automáticamente a ella cualquier dirección IP que hayas configurado para las GitHub Apps que hayas instalado en tu empresa.

Si selecciona Enable IP allow list configuration for installed GitHub Apps (Habilitar la configuración de la lista de direcciones IP permitidas para las aplicaciones de GitHub instaladas) en su configuración de lista de direcciones permitidas, las direcciones IP de las GitHub Apps instaladas se agregarán a su lista de direcciones permitidas. Esto pasa sin importar si tu lista de direcciones permitidas se encuentra habilitada actualmente. Si instalas una GitHub App y luego el creador de dicha aplicación cambia las direcciones en su lista de direcciones permitidas, tu lista se actualizará automáticamente con dichos cambios.

Puedes identificar las direcciones IP que se agregaron automáticamente desde GitHub Apps si revisas el campo de descripción. La descripción de estas direcciones IP es: "Managed by the NAME GitHub App". A diferencia de las direcciones que agregas manualmente, no puedes editar, borrar o inhabilitar las direcciones IP que se agregan automáticamente desde las GitHub Apps.

Para más información sobre cómo crear una lista de permitidos para una GitHub App que creaste, consulta "Administrar las direcciones IP permitidas para una GitHub App".

Para habilitar la adición automática de direcciones IP para las GitHub Apps:

1. En la esquina superior derecha de GitHub, haga clic en su foto de perfil y, a continuación, en Sus empresas.

2. En la lista de empresas, da clic en aquella que quieras ver.

3. En el lado izquierdo de la página, en la barra lateral de la cuenta de empresa, haz clic en Configuración.

4. En Configuración, haz clic en Seguridad de autenticación.

5. En "Lista de direcciones IP permitidas", seleccione Habilitar la configuración de lista de direcciones IP permitidas para las aplicaciones de GitHub instaladas.

   Nota: Si usas Enterprise Managed Users con OIDC, solo puedes permitir el acceso mediante Aplicaciones de GitHub si usas GitHub para la configuración de la lista de direcciones IP permitidas.

6. Haga clic en Save(Guardar).

Editing an allowed IP address

Puedes editar una entrada en la lista de IP permitidas. Si editas una entrada habilitada, los cambios se aplicarán inmediatamente.

Una vez finalizada la edición de entradas, puedes comprobar si la lista de permitidos permitirá una conexión desde una dirección IP determinada después de habilitar la lista.

1. En la esquina superior derecha de GitHub, haga clic en su foto de perfil y, a continuación, en Sus empresas.

2. En la lista de empresas, da clic en aquella que quieras ver.

3. En el lado izquierdo de la página, en la barra lateral de la cuenta de empresa, haz clic en Configuración.

4. En Configuración, haz clic en Seguridad de autenticación.

5. En "Lista de IP permitidas", a la derecha de la entrada que quieres editar, haz clic en Editar.

6. En el campo "Dirección IP", escribe una dirección IP o un intervalo de direcciones en notación CIDR.

7. En el campo "Descripción", escribe una descripción del intervalo o la dirección IP que se permite.

8. Click Update.

9. Opcionalmente, comprueba si cualquiera de las entradas habilitadas de la lista permitiría una dirección IP determinada. Para obtener más información, consulta "Comprobación de permiso para una dirección IP".

Checking if an IP address is permitted

Puedes comprobar si cualquiera de las entradas habilitadas de la lista de direcciones IP permitidas permitiría una dirección IP determinada, incluso si la lista no está habilitada actualmente.

1. En la esquina superior derecha de GitHub, haga clic en su foto de perfil y, a continuación, en Sus empresas.

2. En la lista de empresas, da clic en aquella que quieras ver.

3. En el lado izquierdo de la página, en la barra lateral de la cuenta de empresa, haz clic en Configuración.

4. En Configuración, haz clic en Seguridad de autenticación.

5. Al final de la sección "Lista de direcciones IP permitidas", en "Comprobar dirección IP", escribe una dirección IP.

   

Deleting an allowed IP address

1. En la esquina superior derecha de GitHub, haga clic en su foto de perfil y, a continuación, en Sus empresas.

2. En la lista de empresas, da clic en aquella que quieras ver.

3. En el lado izquierdo de la página, en la barra lateral de la cuenta de empresa, haz clic en Configuración.

4. En Configuración, haz clic en Seguridad de autenticación.

5. En "Lista de IP permitidas", a la derecha de la entrada que quieras eliminar, haz clic en Eliminar.

6. Para eliminar permanentemente la entrada, haga clic en Sí, eliminar esta entrada de lista de direcciones IP permitidas.

Using your identity provider's allow list

1. En la esquina superior derecha de GitHub, seleccione la foto del perfil y haga clic en Sus organizaciones.
2. Junto a la organización, haga clic en Settings.
3. En la sección "Seguridad" de la barra lateral, haz clic en Seguridad de autenticación.
4. Under "IP allow list", select the IP allow list configuration dropdown menu and click Identity Provider.
5. Optionally, to allow installed GitHub and OAuth apps to access your enterprise from any IP address, select Skip IdP check for applications.
6. Click Save.

Using GitHub Actions with an IP allow list

Para permitir que los ejecutores hospedados o los ejecutores más grandes se comuniquen con GitHub, agrega la dirección IP o el intervalo de direcciones IP de los ejecutores a la lista de direcciones IP permitidas que has configurado para tu empresa.

Using GitHub Pages with an IP allow list

Si usa un flujo de trabajo personalizado de GitHub Actions como origen de publicación para el sitio de GitHub Pages, para permitir que el ejecutor se conecte y compile el sitio, debe configurar una regla para la lista de direcciones IP permitidas.

Si no usa un flujo de trabajo personalizado, el ejecutor de compilación tendrá acceso al repositorio para el sitio GitHub Pages de forma predeterminada. Para más información sobre las fuentes de publicación, consulte “Configuración de una fuente de publicación para el sitio de GitHub Pages”.