Skip to main content

Enforcing policies for security settings in your enterprise

You can enforce policies to manage security settings in your enterprise's organizations, or allow policies to be set in each organization.

Who can use this feature

Enterprise owners can enforce policies for security settings in an enterprise.

About policies for security settings in your enterprise

You can enforce policies to control the security settings for organizations owned by your enterprise on GitHub Enterprise Cloud. By default, organization owners can manage security settings. For more information, see "Keeping your organization secure."

Requiring two-factor authentication for organizations in your enterprise

Enterprise owners can require that organization members, billing managers, and outside collaborators in all organizations owned by an enterprise use two-factor authentication to secure their user accounts.

Before you can require 2FA for all organizations owned by your enterprise, you must enable two-factor authentication for your own account. For more information, see "Securing your account with two-factor authentication (2FA)."

Warnings:

  • When you require two-factor authentication for your enterprise, members, outside collaborators, and billing managers (including bot accounts) in all organizations owned by your enterprise who do not use 2FA will be removed from the organization and lose access to its repositories. They will also lose access to their forks of the organization's private repositories. You can reinstate their access privileges and settings if they enable two-factor authentication for their account within three months of their removal from your organization. For more information, see "Reinstating a former member of your organization."
  • Any organization owner, member, billing manager, or outside collaborator in any of the organizations owned by your enterprise who disables 2FA for their account after you've enabled required two-factor authentication will automatically be removed from the organization.
  • If you're the sole owner of an enterprise that requires two-factor authentication, you won't be able to disable 2FA for your user account without disabling required two-factor authentication for the enterprise.

Before you require use of two-factor authentication, we recommend notifying organization members, outside collaborators, and billing managers and asking them to set up 2FA for their accounts. Organization owners can see if members and outside collaborators already use 2FA on each organization's People page. For more information, see "Viewing whether users in your organization have 2FA enabled."

  1. En la esquina superior derecha de GitHub.com, haga clic en la imagen de perfil y después en Your enterprises. "Your enterprises" en el menú desplegable de la imagen de perfil en GitHub Enterprise Cloud

  2. En la lista de empresas, da clic en aquella que quieras ver. Nombre de una empresa en la lista de sus empresas

  3. En la barra lateral de la cuenta de empresa, haga clic en Configuración. Pestaña Configuración en la barra lateral de la cuenta de empresa

  4. In the left sidebar, click Authentication security. Security tab in the enterprise account settings sidebar

  5. Under "Two-factor authentication", review the information about changing the setting. Opcionalmente, para ver la configuración actual en todas las organizaciones de la cuenta empresarial antes de cambiar el valor, haga clic en Ver las configuraciones actuales de las organizaciones. Vínculo para ver la configuración de directiva actual para todas las organizaciones de la empresa

  6. Under "Two-factor authentication", select Require two-factor authentication for all organizations in your business, then click Save. Checkbox to require two-factor authentication

  7. If prompted, read the information about members and outside collaborators who will be removed from the organizations owned by your enterprise. To confirm the change, type your enterprise's name, then click Remove members & require two-factor authentication. Confirm two-factor enforcement box

  8. Optionally, if any members or outside collaborators are removed from the organizations owned by your enterprise, we recommend sending them an invitation to reinstate their former privileges and access to your organization. Each person must enable two-factor authentication before they can accept your invitation.

Managing allowed IP addresses for organizations in your enterprise

Enterprise owners can restrict access to private assets owned by organizations in an enterprise by configuring an allow list for specific IP addresses. Por ejemplo, puedes permitir el acceso desde la única dirección IP de tu red de oficina. La lista de direcciones IP permitidas bloqueará el acceso a los recursos privados a través de la web, la API y de Git desde cualquier dirección IP que no esté en la lista de direcciones permitidas.

Puedes aprobar el acceso para una dirección IP única o para un rango de ellas utilizando notación CIDR. Para más información, vea "Notación CIDR" en Wikipedia.

Para aplicar la lista de IP permitidas, primero debes agregar direcciones IP a la lista y, después, habilitar la lista de direcciones IP permitidas. Después de completar la lista, puedes comprobar si cualquiera de las entradas habilitadas de la lista permitiría una dirección IP determinada.

Debes agregar tu dirección IP actual o un rango coincidente antes de habilitar la lista de permisos de IP. Cuando habilitas la lista de direcciones permitidas, las direcciones IP que configuraste se agregan inmediatamente a las listas de direcciones permitidas de las organizaciones en tu empresa. Si inhabilitas la lista de direcciones permitidas, las direcciones se eliminan de las listas de direcciones permitidas de la organización.

Puedes elegir agregar automáticamente cualquier dirección IP a tu lista de direcciones permitidas para las GitHub Apps que están instaladas en tu empresa. El creador de una GitHub App puede configurar una lista de direcciones permitidas para su aplicación, las cuales especifiquen las direcciones IP en las cuales se ejecuta esta. Al heredar la lista de direcciones permitidas en la tuya, estás evitando las solicitudes de conexión de la aplicación que se está rehusando. Para obtener más información, consulte "Permitir el acceso mediante GitHub Apps".

You can also configure allowed IP addresses for an individual organization. For more information, see "Managing allowed IP addresses for your organization."

Adding an allowed IP address

Puedes crear una lista de direcciones IP permitidas agregando entradas que incluyan una dirección IP o un intervalo de direcciones. Cuando hayas terminado de agregar entradas, puedes comprobar si cualquiera de las entradas habilitadas de la lista permitiría una dirección IP determinada.

Antes de que la lista restrinja el acceso a los activos privados propiedad de las organizaciones de tu empresa, también debes habilitar las direcciones IP permitidas.

Note: GitHub is gradually rolling out support for IPv6. As GitHub services continue to add IPv6 support, we will start recognizing IPv6 addresses of GitHub users. To prevent possible access interruptions, please ensure you have added any necessary IPv6 addresses to your IP allow list.

  1. En la esquina superior derecha de GitHub.com, haga clic en la imagen de perfil y después en Your enterprises. "Your enterprises" en el menú desplegable de la imagen de perfil en GitHub Enterprise Cloud

  2. En la lista de empresas, da clic en aquella que quieras ver. Nombre de una empresa en la lista de sus empresas

  3. En la barra lateral de la cuenta de empresa, haga clic en Configuración. Pestaña Configuración en la barra lateral de la cuenta de empresa

  4. In the left sidebar, click Authentication security. Security tab in the enterprise account settings sidebar

  5. En la parte inferior de la sección "lista de direcciones IP permitidas", ingresa una dirección IP o un rango de direcciones en notación CIDR. Campo clave para agregar una dirección IP

  6. Opcionalmente, ingresa una descripción de la dirección o rango de direcciones IP permitidas. Campo de clave para agregar un nombre a la dirección IP

  7. Haga clic en Agregar. Botón Agregar dirección IP permitida

  8. Opcionalmente, comprueba si cualquiera de las entradas habilitadas de la lista permitiría una dirección IP determinada. Para obtener más información, consulta "Comprobación de permiso para una dirección IP".

Allowing access by GitHub Apps

Si estás utilizando una lista de direcciones permitidas, también puedes elegir agregar automáticamente a ella cualquier dirección IP que hayas configurado para las GitHub Apps que hayas instalado en tu empresa.

Si selecciona Enable IP allow list configuration for installed GitHub Apps (Habilitar la configuración de la lista de direcciones IP permitidas para las aplicaciones de GitHub instaladas) en su configuración de lista de direcciones permitidas, las direcciones IP de las GitHub Apps instaladas se agregarán a su lista de direcciones permitidas. Esto pasa sin importar si tu lista de direcciones permitidas se encuentra habilitada actualmente. Si instalas una GitHub App y luego el creador de dicha aplicación cambia las direcciones en su lista de direcciones permitidas, tu lista se actualizará automáticamente con dichos cambios.

Puedes identificar las direcciones IP que se agregaron automáticamente desde GitHub Apps si revisas el campo de descripción. La descripción de estas direcciones IP es: "Managed by the NAME GitHub App". A diferencia de las direcciones que agregas manualmente, no puedes editar, borrar o inhabilitar las direcciones IP que se agregan automáticamente desde las GitHub Apps.

Nota: Las direcciones en la lista de direcciones IP permitidas de GitHub App solo afectan las solicitudes realizadas por las instalaciones de GitHub App. La adición automática de una direcci´no IP de una GitHub App hacia una lista de direcciones permitidas de una organización no permite el acceso a un usuario de GitHub Enterprise Cloud que se conecte desde dicha dirección IP.

Para más información sobre cómo crear una lista de permitidos para una GitHub App que ha creado, vea "Administración de direcciones IP permitidas para una aplicación de GitHub".

Para habilitar la adición automática de direcciones IP para las GitHub Apps:

  1. En la esquina superior derecha de GitHub.com, haga clic en la imagen de perfil y después en Your enterprises. "Your enterprises" en el menú desplegable de la imagen de perfil en GitHub Enterprise Cloud

  2. En la lista de empresas, da clic en aquella que quieras ver. Nombre de una empresa en la lista de sus empresas

  3. En la barra lateral de la cuenta de empresa, haga clic en Configuración. Pestaña Configuración en la barra lateral de la cuenta de empresa

  4. In the left sidebar, click Authentication security. Security tab in the enterprise account settings sidebar

  5. En "Lista de direcciones IP permitidas", seleccione Habilitar la configuración de lista de direcciones IP permitidas para las aplicaciones de GitHub instaladas. Casilla para permitir las direcciones IP de la aplicación de GitHub

  6. Haga clic en Save(Guardar).

Enabling allowed IP addresses

Después de crear una lista de direcciones IP permitidas, puedes habilitar las direcciones IP permitidas. Al habilitar las direcciones IP permitidas, GitHub aplica inmediatamente las entradas habilitadas en la lista de direcciones IP permitidas.

Antes de habilitar las direcciones IP permitidas, puedes comprobar si cualquiera de las entradas habilitadas de la lista permitiría una dirección IP determinada. Para obtener más información, consulta "Comprobación de permiso para una dirección IP".

  1. En la esquina superior derecha de GitHub.com, haga clic en la imagen de perfil y después en Your enterprises. "Your enterprises" en el menú desplegable de la imagen de perfil en GitHub Enterprise Cloud

  2. En la lista de empresas, da clic en aquella que quieras ver. Nombre de una empresa en la lista de sus empresas

  3. En la barra lateral de la cuenta de empresa, haga clic en Configuración. Pestaña Configuración en la barra lateral de la cuenta de empresa

  4. In the left sidebar, click Authentication security. Security tab in the enterprise account settings sidebar

  5. Under "IP allow list", select Enable IP allow list. Checkbox to allow IP addresses

  6. Click Save.

Editing an allowed IP address

Puedes editar una entrada en la lista de IP permitidas. Si editas una entrada habilitada, los cambios se aplicarán inmediatamente.

Una vez finalizada la edición de entradas, puedes comprobar si cualquiera de las entradas habilitadas de la lista permitiría una dirección IP determinada.

  1. En la esquina superior derecha de GitHub.com, haga clic en la imagen de perfil y después en Your enterprises. "Your enterprises" en el menú desplegable de la imagen de perfil en GitHub Enterprise Cloud

  2. En la lista de empresas, da clic en aquella que quieras ver. Nombre de una empresa en la lista de sus empresas

  3. En la barra lateral de la cuenta de empresa, haga clic en Configuración. Pestaña Configuración en la barra lateral de la cuenta de empresa

  4. In the left sidebar, click Authentication security. Security tab in the enterprise account settings sidebar

  5. En "IP allow list" (Lista de IP permitidas), a la derecha de la entrada que quiere editar, haga clic en Edit (Editar). Botón Edit allowed IP address (Editar dirección IP permitida)

  6. Teclea una dirección IP, o rango de direcciones, en notación CIDR. Campo clave para agregar una dirección IP

  7. Teclea una descripción del rango de direcciones IP permitidas. Campo de clave para agregar un nombre a la dirección IP

  8. Click Update.

  9. Opcionalmente, comprueba si cualquiera de las entradas habilitadas de la lista permitiría una dirección IP determinada. Para obtener más información, consulta "Comprobación de permiso para una dirección IP".

Checking if an IP address is permitted

Puedes comprobar si cualquiera de las entradas habilitadas de la lista de direcciones IP permitidas permitiría una dirección IP determinada, incluso si la lista no está habilitada actualmente.

  1. En la esquina superior derecha de GitHub.com, haga clic en la imagen de perfil y después en Your enterprises. "Your enterprises" en el menú desplegable de la imagen de perfil en GitHub Enterprise Cloud

  2. En la lista de empresas, da clic en aquella que quieras ver. Nombre de una empresa en la lista de sus empresas

  3. En la barra lateral de la cuenta de empresa, haga clic en Configuración. Pestaña Configuración en la barra lateral de la cuenta de empresa

  4. In the left sidebar, click Authentication security. Security tab in the enterprise account settings sidebar

  5. En "Comprobar la dirección IP", escribe una dirección IP. Captura de pantalla del campo de texto "Comprobar dirección IP"

Deleting an allowed IP address

  1. En la esquina superior derecha de GitHub.com, haga clic en la imagen de perfil y después en Your enterprises. "Your enterprises" en el menú desplegable de la imagen de perfil en GitHub Enterprise Cloud

  2. En la lista de empresas, da clic en aquella que quieras ver. Nombre de una empresa en la lista de sus empresas

  3. En la barra lateral de la cuenta de empresa, haga clic en Configuración. Pestaña Configuración en la barra lateral de la cuenta de empresa

  4. In the left sidebar, click Authentication security. Security tab in the enterprise account settings sidebar

  5. En "Lista de IP permitidas", a la derecha de la entrada que quiere editar, haga clic en Edit. Botón Eliminar direcciones IP permitidas

  6. Para eliminar permanentemente la entrada, haga clic en Sí, eliminar esta entrada de lista de direcciones IP permitidas. Botón para eliminar la entrada de lista de direcciones IP permitidas

Using GitHub Actions with an IP allow list

Advertencia: Si usa una lista de IP permitidas y también quiere utilizar GitHub Actions, tendrá que usar ejecutores autohospedados. Para más información, vea "Hospedaje de ejecutores propios".

Para permitir que los ejecutores auto-hospedados se comuniquen con GitHub, agrega la dirección o rango de direcciones IP de tus ejecutores auto-hospedados a la lista de IP permitidas. Para más información, vea "Adición de una dirección IP permitida".

Managing SSH certificate authorities for your enterprise

You can use a SSH certificate authorities (CA) to allow members of any organization owned by your enterprise to access that organization's repositories using SSH certificates you provide. Puedes solicitar que los miembros usen certificados SSH para acceder a los recursos de la organización, a menos que el acceso por SSH esté inhabilitado en tu repositorio. For more information, see "About SSH certificate authorities."

Cuando emites cada uno de los certificados de cliente, debes incluir una extensión que especifique para cuál usuario de GitHub Enterprise Cloud es cada uno de ellos. Para más información, vea "Acerca de las entidades de certificación de SSH".

Adding an SSH certificate authority

If you require SSH certificates for your enterprise, enterprise members should use a special URL for Git operations over SSH. For more information, see "About SSH certificate authorities."

  1. En la esquina superior derecha de GitHub.com, haga clic en la imagen de perfil y después en Your enterprises. "Your enterprises" en el menú desplegable de la imagen de perfil en GitHub Enterprise Cloud

  2. En la lista de empresas, da clic en aquella que quieras ver. Nombre de una empresa en la lista de sus empresas

  3. En la barra lateral de la cuenta de empresa, haga clic en Configuración. Pestaña Configuración en la barra lateral de la cuenta de empresa

  4. In the left sidebar, click Authentication security. Security tab in the enterprise account settings sidebar

  5. A la derecha de "Entidades de certificación SSH", haga clic en Nueva CA. Botón Nueva CA

  6. Debajo de "Llave", pega tu llave SSH pública. Campo clave para agregar CA

  7. Haga clic en Agregar etiqueta.

  8. Opcionalmente, para exigir que los miembros usen certificados SSH, seleccione Exigir certificados SSH y, después, haga clic en Guardar. Casilla para exigir el certificado SSH y botón de guardar

Deleting an SSH certificate authority

Deleting a CA cannot be undone. If you want to use the same CA in the future, you'll need to upload the CA again.

  1. En la esquina superior derecha de GitHub.com, haga clic en la imagen de perfil y después en Your enterprises. "Your enterprises" en el menú desplegable de la imagen de perfil en GitHub Enterprise Cloud

  2. En la lista de empresas, da clic en aquella que quieras ver. Nombre de una empresa en la lista de sus empresas

  3. En la barra lateral de la cuenta de empresa, haga clic en Configuración. Pestaña Configuración en la barra lateral de la cuenta de empresa

  4. In the left sidebar, click Authentication security. Security tab in the enterprise account settings sidebar

  5. En "Entidades de certificación SSH", a la derecha de la entidad de certificación que quiera eliminar, haga clic en Eliminar. Botón Delete (Eliminar)

  6. Lea la advertencia y, después, haga clic en Entiendo, eliminar esta CA. Botón de confirmación de eliminación

Managing SSO for unauthenticated users

If your enterprise uses Enterprise Managed Users, you can choose what unauthenticated users see when they attempt to access your enterprise's resources. For more information about Enterprise Managed Users, see "About Enterprise Managed Users."

By default, to hide the existence of private resources, when an unauthenticated user attempts to access your enterprise, GitHub displays a 404 error.

To prevent confusion from your developers, you can change this behavior so that users are automatically redirected to single sign-on (SSO) through your identity provider (IdP). When you enable automatic redirects, anyone who visits the URL for any of your enterprise's resources will be able to see that the resource exists. However, they'll only be able to see the resource if they have appropriate access after authenticating with your IdP.

Note: If a user is signed in to their personal account when they attempt to access any of your enterprise's resources, they'll be automatically signed out and redirected to SSO to sign in to their managed user account. For more information, see "Managing multiple accounts."

  1. En la esquina superior derecha de GitHub.com, haga clic en la imagen de perfil y después en Your enterprises. "Your enterprises" en el menú desplegable de la imagen de perfil en GitHub Enterprise Cloud

  2. En la lista de empresas, da clic en aquella que quieras ver. Nombre de una empresa en la lista de sus empresas

  3. En la barra lateral de la cuenta de empresa, haga clic en Configuración. Pestaña Configuración en la barra lateral de la cuenta de empresa

  4. In the left sidebar, click Authentication security. Security tab in the enterprise account settings sidebar

  5. Under "Single sign-on settings", select or deselect Automatically redirect users to sign in.

    Checkbox to automatically redirect users to sign in

Further reading