Administración de la sincronización de equipos para su organización

Acerca de la sincronización de equipo

Puedes habilitar la sincronización de equipos entre tu IdP y GitHub Enterprise Cloud para permitir a los propietarios de la organización y a los mantenedores de equipo conectar equipos en tu organización con grupos de IdP.

Si la sincronización del equipo está habilitada para la organización o cuenta empresarial, puedes sincronizar un equipo de GitHub con un grupo de IdP. Cuando sincronizas un equipo de GitHub con un grupo de IdP, los cambios de pertenencia a este grupo se reflejan automáticamente en GitHub Enterprise Cloud, lo que reduce la necesidad de hacer actualizaciones manuales y scripts personalizados.

Para conectar un equipo en GitHub Enterprise Cloud a un grupo de IdP, el equipo ya debe existir en la organización. Incluso si el aprovisionamiento SCIM está configurado, la creación de un grupo en el IdP no crea automáticamente un equipo en GitHub Enterprise Cloud.

Puedes utilizar la sincronización de equipos con los IdP compatibles.

• Inquilinos comerciales de Entra ID (no se admite la nube de Azure Government)
• Okta

La sincronización de equipos no es un servicio de aprovisionamiento de usuarios y no invita a los que no son miembros a unirse a organizaciones en la mayoría de los casos. Esto significa que un usuario solo se agregará correctamente a un equipo si ya es miembro de la organización. Sin embargo, opcionalmente, puede permitir que la sincronización de equipos vuelva a invitar a los usuarios que anteriormente eran miembros de la organización y que se quitaron posteriormente.

Después de que habilites la sincronización de equipos, los mantenedores de equipo y propietarios de organización pueden conectar los equipos a un grupo de IdP en GitHub o a través de la API. Para obtener más información, vea «Sincronizar un equipo con un grupo de proveedor de identidad» y «Puntos de conexión de la API de REST para equipos».

También puedes habilitar la sincronización de equipos para todas las organizaciones que pertenezcan a tu cuenta empresarial. Si SAML está configurado en el nivel empresarial, no puedes habilitar la sincronización de equipos en una organización individual. En su lugar, debes configurar la sincronización de equipos para toda la empresa. Para más información, consulta Administración de la sincronización de equipos para organizaciones de su empresa.

Si tu organización pertenece a una cuenta empresarial, habilitar la sincronización de equipos para esta cuenta empresarial anulará la configuración de sincronización de equipos a nivel organizacional. Para obtener más información, vea «Administración de la sincronización de equipos para organizaciones de su empresa».

Límites de uso

Hay límites de uso para la característica de sincronización de equipos. Exceder estos límites ocasionará una degradación del rendimiento y podrá causar errores de sincronización.

• Número máximo de miembros en un equipo de GitHub: 5000
• Número máximo de miembros en una organización de GitHub: 10 000
• Número máximo de equipos en una organización de GitHub: 1500

Habilitar la sincronización de equipo

Los pasos para habilitar la sincronización de equipos dependen del IdP que quiera usar. Existen prerrequisitos aplicables a cada IdP para habilitar la sincronización de equipos. Cada IdP individual tiene prerrequisitos adicionales.

Prerrequisitos

Para habilitar la sincronización de equipos con cualquier IdP, debes obtener acceso administrativo con tu IdP o trabajar con tu administrador de IdP para configurar la integración y los grupos de IdP. La persona que configura tus grupos e integración de IdP debe tener alguno de los permisos requeridos.

IdP	Permisos necesarios
Entra ID	Administrador global Administrador de roles con privilegios
Okta	Usuario de servicio con permisos administrativos de solo lectura

Debes habilitar el inicio de sesión único de SAML para tu organización y tu IdP compatible. Para más información, consulta Hacer cumplir el inicio de sesión único de SAML para tu organización.

Debes tener una identidad de SAML vinculada. Para crear una identidad vinculada, debes autenticarte a tu organización utilizando el SSO de SAML y el IdP compatible por lo menos una vez. Para más información, consulta Autenticación con inicio de sesión único de SAML.

Habilitación de la sincronización de equipos para Entra ID

A fin de habilitar la sincronización de equipos para Entra ID, la instalación de Entra ID necesita los siguientes permisos.

• Leer todas las pertenencias a grupos: GitHub obtiene una lista de grupos Entra para que los usuarios puedan seleccionar uno para sincronizarlo con un equipo específico de GitHub.
• Leer los perfiles completos de todos los usuarios: GitHub obtiene una lista con los id. de Entra de los miembros y sus nombres completos para mostrarlos y para sincronizar un grupo de Entra y un equipo de GitHub.
• Inicio de sesión y lectura del perfil de usuario: cuando el inicio de sesión único de SAML está habilitado, los usuarios deben iniciar una sesión única en la aplicación Entra como requisito previo para la sincronización de equipos.

1. En la esquina superior derecha de GitHub, seleccione la foto del perfil y haga clic en Sus organizaciones.
2. Junto a la organización, haga clic en Settings.
3. En la sección "Seguridad" de la barra lateral, haz clic en Seguridad de autenticación.
4. Confirma que se habilitó el SSO de SAML en tu empresa.
5. En "Sincronización de equipos", haz clic en Habilitar para Entra ID.
6. Confirma la sincronización de equipos.
   • Si tiene acceso IdP, haga clic en Enable team synchronization (Habilitar sincronización de equipo). Serás redireccionado a la página de SSO de SAML de tu proveedor de identidad y se te solicitará que selecciones tu cuenta y revises los permisos requeridos.
   • Si no tienes acceso de IdP, copia el vínculo de redirección de IdP y compártelo con tu administrador de IdP para continuar habilitando la sincronización de equipo.
7. Revisa la información del inquilino del proveedor de identidades al que quiera conectar la organización y, después, haga clic en Aprobar.

Habilitar la sincronización de equipos para Okta

La sincronización de equipos de Okta requiere que ya se hayan configurado el SAML y SCIM con Okta en tu organización.

Para evitar los errores potenciales de sincronización de equipos, de recomendamos que confirmes que las entidades de SCIM enlazadas se hayan configurado correctamente para los miembros de la organización que son miembros de tus grupos selectos de Okta antes de habilitar la sincronización de equipos en GitHub.

Si un miembro de la organización no tiene una identidad de SCIM enlazada, entonces la sincronización de equipos no funcionará como lo esperas y el usuario podría no agregarse o eliminarse de los equipos de acuerdo con lo esperado. Si cualquiera de estos usuarios no se encuentran en la identidad enlazada de SCIM, necesitarás volver a aprovisionarlos.

Para obtener ayuda en el aprovisionamiento de usuarios a los que les falta una identidad vinculada de SCIM, consulta Solución de problemas de administración de acceso e identidad para la organización.

Antes de habilitar la sincronización de equipos para Okta, tú o tu administrador de IdP deben:

• Configurar la integración con SAML, SSO y SCIM en tu organización utilizando Okta. Para obtener más información, vea «Cofnigurar SCIM y el inicio de sesión único de SAML con Okta».
• Proporcionar la dirección URL del inquilino para la instancia de Okta.
• Generar un token de SSWS válido con permisos administrativos de solo lectura para la instalación de Okta como usuario de servicio. Para obtener más información, vea Creación del token y Usuarios del servicio en la documentación de Okta.

1. En la esquina superior derecha de GitHub, seleccione la foto del perfil y haga clic en Sus organizaciones.
2. Junto a la organización, haga clic en Settings.
3. En la sección "Seguridad" de la barra lateral, haz clic en Seguridad de autenticación.
4. Confirma que se habilitó el SSO de SAML en tu empresa.
5. Te recomendamos confirmar que tus usuarios tienen habilitado SAML y tienen una identidad de SCIM enlazada para evitar errores de aprovisionamiento potenciales. Para obtener más información, vea «Solución de problemas de administración de acceso e identidad para la organización».
6. Considera requerir SAML en tu organización para garantizar que los miembros de ella enlacen sus identidades de SAML y de SCIM. Para más información, consulta Hacer cumplir el inicio de sesión único de SAML para tu organización.
7. En "Team synchronization" (Sincronización de equipo), haga clic en Enable for Okta (Habilitar para Okta).
8. Debajo del nombre de la organización, en el campo "Token SSWS", escribe un token SSWS válido.
9. En el campo "URL", escribe la dirección URL de la instancia de Okta.
10. Revisa la información del inquilino del proveedor de identidades al que quiera conectar la organización y, después, haga clic en Crear.

Administrar si la sincronización de equipos puede volver a invitar a usuarios que no son miembros a la organización

Los cambios en esta configuración no afectan a las invitaciones pendientes. Cualquier invitación generada mientras la sincronización del equipo tenía permiso para volver a invitar a los miembros anteriores a la organización puede dar lugar a que el miembro se vuelva a agregar a la organización, incluso si se ha denegado la nueva invitación.

1. En la esquina superior derecha de GitHub, seleccione la foto del perfil y haga clic en Sus organizaciones.
2. Junto a la organización, haga clic en Settings.
3. En la sección "Seguridad" de la barra lateral, haz clic en Seguridad de autenticación.
4. En "Sincronización de equipos", selecciona o anula la selección de No permitir que Team Sync vuelva a invitar a miembros anteriores de esta organización que un propietario de la misma eliminó.

Inhabilitar la sincronización de equipo

1. En la esquina superior derecha de GitHub, seleccione la foto del perfil y haga clic en Sus organizaciones.
2. Junto a la organización, haga clic en Settings.
3. En la sección "Seguridad" de la barra lateral, haz clic en Seguridad de autenticación.
4. En "Sincronización de equipos", haga clic en Deshabilitar sincronización de equipos.