Enforcing policies for security settings in your enterprise

About policies for security settings in your enterprise

You can enforce policies to control the security settings for organizations owned by your enterprise on GitHub Enterprise Cloud. By default, organization owners can manage security settings. For more information, see "Keeping your organization secure."

Requiring two-factor authentication for organizations in your enterprise

Enterprise owners can require that organization members, billing managers, and outside collaborators in all organizations owned by an enterprise use two-factor authentication to secure their user accounts.

Before you can require 2FA for all organizations owned by your enterprise, you must enable two-factor authentication for your own account. For more information, see "Securing your account with two-factor authentication (2FA)."

Before you require use of two-factor authentication, we recommend notifying organization members, outside collaborators, and billing managers and asking them to set up 2FA for their accounts. Organization owners can see if members and outside collaborators already use 2FA on each organization's People page. For more information, see "Viewing whether users in your organization have 2FA enabled."

1. En la esquina superior derecha de GitHub.com, haga clic en la imagen de perfil y después en Your enterprises.

2. En la lista de empresas, da clic en aquella que quieras ver.

3. En la barra lateral de la cuenta de empresa, haga clic en Configuración.

4. In the left sidebar, click Authentication security.

5. Under "Two-factor authentication", review the information about changing the setting. Opcionalmente, para ver la configuración actual en todas las organizaciones de la cuenta empresarial antes de cambiar el valor, haga clic en Ver las configuraciones actuales de las organizaciones.

6. Under "Two-factor authentication", select Require two-factor authentication for all organizations in your business, then click Save.

7. If prompted, read the information about members and outside collaborators who will be removed from the organizations owned by your enterprise. To confirm the change, type your enterprise's name, then click Remove members & require two-factor authentication.

8. Optionally, if any members or outside collaborators are removed from the organizations owned by your enterprise, we recommend sending them an invitation to reinstate their former privileges and access to your organization. Each person must enable two-factor authentication before they can accept your invitation.

Managing allowed IP addresses for organizations in your enterprise

Enterprise owners can restrict access to private assets owned by organizations in an enterprise by configuring an allow list for specific IP addresses. Por ejemplo, puedes permitir el acceso desde la única dirección IP de tu red de oficina. La lista de direcciones IP permitidas bloqueará el acceso a los recursos privados a través de la web, la API y de Git desde cualquier dirección IP que no esté en la lista de direcciones permitidas.

Puedes aprobar el acceso para una dirección IP única o para un rango de ellas utilizando notación CIDR. Para más información, vea "Notación CIDR" en Wikipedia.

Para aplicar la lista de IP permitidas, primero debes agregar direcciones IP a la lista y, después, habilitar la lista de direcciones IP permitidas. Después de completar la lista, puedes comprobar si cualquiera de las entradas habilitadas de la lista permitiría una dirección IP determinada.

Debes agregar tu dirección IP actual o un rango coincidente antes de habilitar la lista de permisos de IP. Cuando habilitas la lista de direcciones permitidas, las direcciones IP que configuraste se agregan inmediatamente a las listas de direcciones permitidas de las organizaciones en tu empresa. Si inhabilitas la lista de direcciones permitidas, las direcciones se eliminan de las listas de direcciones permitidas de la organización.

Puedes elegir agregar automáticamente cualquier dirección IP a tu lista de direcciones permitidas para las GitHub Apps que están instaladas en tu empresa. El creador de una GitHub App puede configurar una lista de direcciones permitidas para su aplicación, las cuales especifiquen las direcciones IP en las cuales se ejecuta esta. Al heredar la lista de direcciones permitidas en la tuya, estás evitando las solicitudes de conexión de la aplicación que se está rehusando. Para obtener más información, consulte "Permitir el acceso mediante GitHub Apps".

You can also configure allowed IP addresses for an individual organization. For more information, see "Managing allowed IP addresses for your organization."

Adding an allowed IP address

Puedes crear una lista de direcciones IP permitidas agregando entradas que incluyan una dirección IP o un intervalo de direcciones. Cuando hayas terminado de agregar entradas, puedes comprobar si cualquiera de las entradas habilitadas de la lista permitiría una dirección IP determinada.

Antes de que la lista restrinja el acceso a los activos privados propiedad de las organizaciones de tu empresa, también debes habilitar las direcciones IP permitidas.

1. En la esquina superior derecha de GitHub.com, haga clic en la imagen de perfil y después en Your enterprises.

2. En la lista de empresas, da clic en aquella que quieras ver.

3. En la barra lateral de la cuenta de empresa, haga clic en Configuración.

4. In the left sidebar, click Authentication security.

5. En la parte inferior de la sección "lista de direcciones IP permitidas", ingresa una dirección IP o un rango de direcciones en notación CIDR.

6. Opcionalmente, ingresa una descripción de la dirección o rango de direcciones IP permitidas.

7. Haga clic en Agregar.

8. Opcionalmente, comprueba si cualquiera de las entradas habilitadas de la lista permitiría una dirección IP determinada. Para obtener más información, consulta "Comprobación de permiso para una dirección IP".

Allowing access by GitHub Apps

Si estás utilizando una lista de direcciones permitidas, también puedes elegir agregar automáticamente a ella cualquier dirección IP que hayas configurado para las GitHub Apps que hayas instalado en tu empresa.

Si selecciona Enable IP allow list configuration for installed GitHub Apps (Habilitar la configuración de la lista de direcciones IP permitidas para las aplicaciones de GitHub instaladas) en su configuración de lista de direcciones permitidas, las direcciones IP de las GitHub Apps instaladas se agregarán a su lista de direcciones permitidas. Esto pasa sin importar si tu lista de direcciones permitidas se encuentra habilitada actualmente. Si instalas una GitHub App y luego el creador de dicha aplicación cambia las direcciones en su lista de direcciones permitidas, tu lista se actualizará automáticamente con dichos cambios.

Puedes identificar las direcciones IP que se agregaron automáticamente desde GitHub Apps si revisas el campo de descripción. La descripción de estas direcciones IP es: "Managed by the NAME GitHub App". A diferencia de las direcciones que agregas manualmente, no puedes editar, borrar o inhabilitar las direcciones IP que se agregan automáticamente desde las GitHub Apps.

Para más información sobre cómo crear una lista de permitidos para una GitHub App que ha creado, vea "Administración de direcciones IP permitidas para una aplicación de GitHub".

Para habilitar la adición automática de direcciones IP para las GitHub Apps:

1. En la esquina superior derecha de GitHub.com, haga clic en la imagen de perfil y después en Your enterprises.

2. En la lista de empresas, da clic en aquella que quieras ver.

3. En la barra lateral de la cuenta de empresa, haga clic en Configuración.

4. In the left sidebar, click Authentication security.

5. En "Lista de direcciones IP permitidas", seleccione Habilitar la configuración de lista de direcciones IP permitidas para las aplicaciones de GitHub instaladas.

6. Haga clic en Save(Guardar).

Enabling allowed IP addresses

Después de crear una lista de direcciones IP permitidas, puedes habilitar las direcciones IP permitidas. Al habilitar las direcciones IP permitidas, GitHub aplica inmediatamente las entradas habilitadas en la lista de direcciones IP permitidas.

Antes de habilitar las direcciones IP permitidas, puedes comprobar si cualquiera de las entradas habilitadas de la lista permitiría una dirección IP determinada. Para obtener más información, consulta "Comprobación de permiso para una dirección IP".

1. En la esquina superior derecha de GitHub.com, haga clic en la imagen de perfil y después en Your enterprises.

2. En la lista de empresas, da clic en aquella que quieras ver.

3. En la barra lateral de la cuenta de empresa, haga clic en Configuración.

4. In the left sidebar, click Authentication security.

5. Under "IP allow list", select Enable IP allow list.

6. Click Save.

Editing an allowed IP address

Puedes editar una entrada en la lista de IP permitidas. Si editas una entrada habilitada, los cambios se aplicarán inmediatamente.

Una vez finalizada la edición de entradas, puedes comprobar si cualquiera de las entradas habilitadas de la lista permitiría una dirección IP determinada.

1. En la esquina superior derecha de GitHub.com, haga clic en la imagen de perfil y después en Your enterprises.

2. En la lista de empresas, da clic en aquella que quieras ver.

3. En la barra lateral de la cuenta de empresa, haga clic en Configuración.

4. In the left sidebar, click Authentication security.

5. En "IP allow list" (Lista de IP permitidas), a la derecha de la entrada que quiere editar, haga clic en Edit (Editar).

6. Teclea una dirección IP, o rango de direcciones, en notación CIDR.

7. Teclea una descripción del rango de direcciones IP permitidas.

8. Click Update.

9. Opcionalmente, comprueba si cualquiera de las entradas habilitadas de la lista permitiría una dirección IP determinada. Para obtener más información, consulta "Comprobación de permiso para una dirección IP".

Checking if an IP address is permitted

Puedes comprobar si cualquiera de las entradas habilitadas de la lista de direcciones IP permitidas permitiría una dirección IP determinada, incluso si la lista no está habilitada actualmente.

1. En la esquina superior derecha de GitHub.com, haga clic en la imagen de perfil y después en Your enterprises.

2. En la lista de empresas, da clic en aquella que quieras ver.

3. En la barra lateral de la cuenta de empresa, haga clic en Configuración.

4. In the left sidebar, click Authentication security.

5. En "Comprobar la dirección IP", escribe una dirección IP.

Deleting an allowed IP address

1. En la esquina superior derecha de GitHub.com, haga clic en la imagen de perfil y después en Your enterprises.

2. En la lista de empresas, da clic en aquella que quieras ver.

3. En la barra lateral de la cuenta de empresa, haga clic en Configuración.

4. In the left sidebar, click Authentication security.

5. En "Lista de IP permitidas", a la derecha de la entrada que quiere editar, haga clic en Edit.

6. Para eliminar permanentemente la entrada, haga clic en Sí, eliminar esta entrada de lista de direcciones IP permitidas.

Using GitHub Actions with an IP allow list

Para permitir que los ejecutores auto-hospedados se comuniquen con GitHub, agrega la dirección o rango de direcciones IP de tus ejecutores auto-hospedados a la lista de IP permitidas. Para más información, vea "Adición de una dirección IP permitida".

Managing SSH certificate authorities for your enterprise

You can use a SSH certificate authorities (CA) to allow members of any organization owned by your enterprise to access that organization's repositories using SSH certificates you provide. Puedes solicitar que los miembros usen certificados SSH para acceder a los recursos de la organización, a menos que el acceso por SSH esté inhabilitado en tu repositorio. For more information, see "About SSH certificate authorities."

Cuando emites cada uno de los certificados de cliente, debes incluir una extensión que especifique para cuál usuario de GitHub Enterprise Cloud es cada uno de ellos. Para más información, vea "Acerca de las entidades de certificación de SSH".

Adding an SSH certificate authority

If you require SSH certificates for your enterprise, enterprise members should use a special URL for Git operations over SSH. For more information, see "About SSH certificate authorities."

1. En la esquina superior derecha de GitHub.com, haga clic en la imagen de perfil y después en Your enterprises.

2. En la lista de empresas, da clic en aquella que quieras ver.

3. En la barra lateral de la cuenta de empresa, haga clic en Configuración.

4. In the left sidebar, click Authentication security.

5. A la derecha de "Entidades de certificación SSH", haga clic en Nueva CA.

6. Debajo de "Llave", pega tu llave SSH pública.

7. Haga clic en Agregar etiqueta.

8. Opcionalmente, para exigir que los miembros usen certificados SSH, seleccione Exigir certificados SSH y, después, haga clic en Guardar.

Deleting an SSH certificate authority

Deleting a CA cannot be undone. If you want to use the same CA in the future, you'll need to upload the CA again.

1. En la esquina superior derecha de GitHub.com, haga clic en la imagen de perfil y después en Your enterprises.

2. En la lista de empresas, da clic en aquella que quieras ver.

3. En la barra lateral de la cuenta de empresa, haga clic en Configuración.

4. In the left sidebar, click Authentication security.

5. En "Entidades de certificación SSH", a la derecha de la entidad de certificación que quiera eliminar, haga clic en Eliminar.

6. Lea la advertencia y, después, haga clic en Entiendo, eliminar esta CA.

Managing SSO for unauthenticated users

If your enterprise uses Enterprise Managed Users, you can choose what unauthenticated users see when they attempt to access your enterprise's resources. For more information about Enterprise Managed Users, see "About Enterprise Managed Users."

By default, to hide the existence of private resources, when an unauthenticated user attempts to access your enterprise, GitHub displays a 404 error.

To prevent confusion from your developers, you can change this behavior so that users are automatically redirected to single sign-on (SSO) through your identity provider (IdP). When you enable automatic redirects, anyone who visits the URL for any of your enterprise's resources will be able to see that the resource exists. However, they'll only be able to see the resource if they have appropriate access after authenticating with your IdP.

1. En la esquina superior derecha de GitHub.com, haga clic en la imagen de perfil y después en Your enterprises.

2. En la lista de empresas, da clic en aquella que quieras ver.

3. En la barra lateral de la cuenta de empresa, haga clic en Configuración.

4. In the left sidebar, click Authentication security.

5. Under "Single sign-on settings", select or deselect Automatically redirect users to sign in.

   

Further reading

• "About identity and access management for your enterprise"
• "Accessing compliance reports for your enterprise"