ID プロバイダーグループを使用したチームメンバーシップの管理

Enterprise Managed Users

を使用したチーム管理について

Enterprise Managed Users を使うと、GitHub Team を IdP グループに接続することで、IdP を介して Enterprise 内の Team と Organization のメンバーシップを管理できます。エンタープライズの組織のいずれかのチームを IdP グループに接続すると、IdP グループのメンバーシップに対する変更が自動的にエンタープライズに反映されるため、手動での更新やカスタムスクリプトの必要性が軽減されます。

IdP グループまたは新しい Team 接続に変更を加えることで、マネージドユーザーアカウントがメンバーではない Organization の Team に参加することになった場合、そのマネージドユーザーアカウントは自動的にその Organization に追加されます。チームからグループを切断すると、他の方法で組織のメンバーシップが割り当てられない場合、チームメンバーシップを使用して組織のメンバーになったユーザーは組織から削除されます。

メモ: Organization の所有者は、アカウントが SCIM 経由でプロビジョニング済みである限り、マネージドユーザーアカウントを Organization に手動で追加することもできます。

IdP 上でグループメンバーシップが変更された場合、IdP は、IdP によって決定されたスケジュールに従い、その変更と共に SCIM 要求を GitHub.com に送信するため、変更が直ちに行われるわけではありません。チームまたは組織のメンバーシップを変更する要求は、ユーザープロビジョニングの構成に使用されたアカウントによって行われた変更として監査ログに登録されます。

GitHub では、1 日に 1 回調整ジョブも実行されます。これにより、SCIM 経由で IdP から以前に送信された情報に基づいて、GitHub に格納されている IdP グループメンバーシップとチームメンバーシップが同期されます。このジョブで、ユーザーがエンタープライズ内の IdP グループのメンバーであるのに、マップされたチームまたはその組織のメンバーではないことがわかった場合、ジョブはそのユーザーを組織とチームに追加しようとします。

IdP グループに接続されているチームは、他のチームの親や別のチームの子にすることはできません。 IdP グループに接続したいチームが親または子チームの場合、新しいチームを作るか、チームを親チームにしている入れ子関係を削除することをお勧めします。

IdP グループに接続されたチームを含む、エンタープライズ内の任意のチームによるリポジトリへのアクセスを管理するには、GitHub.com 上で変更を行わなければなりません。詳しくは、「Organization のリポジトリに対するチームのアクセスを管理する」をご覧ください。

IdP グループを Team に接続するための要件

IdP グループを GitHub の Team に接続するには、そのグループを IdP 内の GitHub Enterprise Managed User アプリケーションに割り当てる必要があります。詳しくは、「エンタープライズマネージドユーザーの SCIM プロビジョニングの構成」を参照してください。

エンタープライズ内のチームを 1 つの IdP グループに接続できます。同じ IdP グループをエンタープライズ内の複数のチームに割り当てることができます。

既存のチームを IdP グループに接続する場合は、最初に手動で追加されたすべてのメンバーを削除する必要があります。エンタープライズ内のチームを IdP グループに接続した後、IdP 管理者は ID プロバイダーを通じてチームメンバーシップを変更する必要があります。チームメンバーシップを GitHub.com で管理することはできません。

Azure AD を IdP として使う場合、チームをセキュリティグループにのみ接続できます。入れ子になったグループメンバーシップと Microsoft 365 グループはサポートされていません。

IdP グループに接続された新しいチームの作成

組織のメンバーは、新しいチームを作成し、チームを IdP グループに接続できます。

GitHub.com の右上隅にあるプロファイル写真をクリックし、 [自分の Organization] をクリックします。
Organizationの名前をクリックしてください。
Organization 名の下で、 [Teams] をクリックします。
ページの上部にある [新しいチーム] をクリックします。
"Create new team（新規Teamの作成）"の下で、新しいTeamの名前を入力してください。
あるいは、"Description（説明）"フィールドにTeamの説明を入力してください。
チームを接続するには、[ID プロバイダーグループ] で [グループの選択] ドロップダウンメニューを選択し、接続するチームをクリックします。
[チームの表示] でチームの表示設定を選択します。
[Team の作成] をクリックします。

既存のチームと IdP グループ間の接続の管理

組織の所有者は、IdP グループとチームの間の既存の接続を管理できます。エンタープライズがマネージドユーザーアカウントを使っていない場合、チームの保守担当者も接続を管理できます。

注: GitHub.com の既存のチームを初めて IdP グループに接続する前に、GitHub.com のチームのすべてのメンバーを最初に削除する必要があります。詳しくは、「Team から Organization メンバーを削除する」を参照してください。

GitHub.com の右上隅にあるプロファイル写真をクリックし、 [自分のプロファイル] をクリックします。
GitHub.com の右上隅にあるプロファイル写真をクリックし、 [自分の Organization] をクリックします。
Organization 名の下で、 [Teams] をクリックします。
チームの名前をクリックします。
Team ページの上部にある [設定] をクリックします。
必要に応じて、[Identity Provider Groups](ID プロバイダーグループ) で、切断したい IdP グループの右にあるをクリックします。
IdP グループを接続するには、[Identity Provider Groups](ID プロバイダーグループ) で、ドロップダウンメニューを使用してリストから ID プロバイダーグループを選択します。
[変更を保存] をクリックします。

IdP グループ、グループメンバーシップ、接続されたチームの表示

エンタープライズ所有者は、IdP グループ、各グループのメンバーシップ、各グループに接続されているチームの一覧を確認できます。このビューに一覧表示される IdP グループとメンバーシップは、SCIM 経由で IdP から GitHub に送信される情報に基づいています。 IdP のグループのメンバーシップを編集する必要があります。

GitHub.com の右上の自分のプロファイル写真をクリックし、 [自分の Enterprise] をクリックします。
Enterpriseのリストで、表示したいEnterpriseをクリックしてください。
IdP グループの一覧を確認するには、左側のサイドバーで [ID プロバイダー] をクリックします。
IdP グループに接続されているメンバーとチームを表示するには、グループの名前をクリックします。
IdP グループに接続されているチームを表示するには、 [チーム] をクリックします。

ID プロバイダー グループを使用したチーム メンバーシップの管理

この記事の内容