Skip to main content
Publicamos atualizações frequentes em nossa documentação, e a tradução desta página ainda pode estar em andamento. Para obter as informações mais recentes, acesse a documentação em inglês. Se houver problemas com a tradução desta página, entre em contato conosco.

Melhores práticas para proteger contas

Orientação sobre como proteger as contas com acesso à cadeia de suprimentos de software.

Sobre este guia

Este guia descreve as mudanças de maior impacto que você pode fazer para aumentar a segurança da conta. Cada seção descreve uma alteração que você pode fazer em seus processos para melhorar a segurança. As mudanças de maior impacto estão listadas primeiro.

Qual o risco?

A segurança da conta é fundamental para a segurança da sua cadeia de suprimento. Se um invasor conseguir tomar a sua conta em GitHub Enterprise Cloud, ele poderá fazer alterações maliciosas no seu código ou no processo de compilação. Dessa forma, seu primeiro objetivo deve ser dificultar que alguém tome a sua conta e as contas de outros usuários de integrantes da sua organização ou empresa.

Centralizar autenticação

Se você é proprietário de uma empresa ou organização, você pode configurar a autenticação centralizada com SAML. Embora você possa adicionar ou remover integrantes manualmente, é mais simples e mais seguro configurar um logon único (SSO) e SCIM entre GitHub Enterprise Cloud e seu provedor de identidade (IdP) SAML. Isso também simplifica o processo de autenticação para todos os integrantes da sua empresa.

Você pode configurar a autenticação SAML para uma conta corporativa ou da organização. Com o SAML, você pode conceder acesso às contas pessoais dos integrantes da sua empresa ou organização no GitHub.com por meio do seu IdP, ou você pode criar e controlar as contas que pertencem à sua empresa usando Enterprise Managed Users. Para obter mais informações, consulte "Sobre a autenticação para sua empresa".

Depois de configurar a autenticação do SAML, quando os integrantes solicitarem acesso aos seus recursos, eles serão direcionados para o seu fluxo de SSO para garantir que sejam reconhecidos pelo seu IdP. Se não forem reconhecidos, o seu pedido será recusado.

Alguns IdPs são compatíveis com um protocolo denominado SCIM, que pode prover ou desprovisionar automaticamente o acesso em GitHub Enterprise Cloud quando você fizer alterações no seu IdP. Com o SCIM, você pode simplificar a administração à medida que a sua equipe cresce, e você pode revogar rapidamente o acesso às contas. O SCIM está disponível para organizações individuais em GitHub Enterprise Cloud, ou para empresas que usam Enterprise Managed Users. Para obter mais informações, consulte "Sobre SCIM para as organizações".

Configurar autenticação de dois fatores

A melhor maneira de melhorar a segurança da suas contas é configurar a autenticação de dois fatores (2FA). As senhas por si só podem ser comprometidas por serem adivinhadas, por serem reutilizadas em outro local que foi comprometido, ou por engenharia social, como phishing. A 2FA dificulta muito mais o comprometimento das suas contas, mesmo que um invasor tenha sua senha.

Se você for proprietário de uma empresa, você poderá configurar uma política que exija a 2FA para todas as organizações pertencentes à sua empresa.

Se você for um proprietário da organização, poderá exigir que todos os integrantes da organização habilitem a 2FA.

Configure sua conta corporativa

Os proprietários da empresa podem exigir a autenticação 2FA para todos os integrantes da a instância empresa. A disponibilidade das políticas de 2FA em GitHub Enterprise Cloud depende de como integrantes efetuam a autenticação para acessar sua recursos da empresa.

Se sua empresa usa o Enterprise Managed Users ou a autenticação do SAML for aplicada à sua empresa, você não pode configurar a autenticação 2FA em GitHub Enterprise Cloud. Alguém com acesso administrativo ao seu IdP deve configurar a autenticação 2FA para o IdP.

Para obter mais informações, consulte "Sobre a identidade e gerenciamento de acesso para sua empresa" e "Aplicando políticas para configurações de segurança na sua empresa".

Configure a sua conta pessoal

Observação: Dependendo do método de autenticação que o proprietário de uma empresa tenha configurado para sua empresa em GitHub.com, talvez você não consiga habilitar a autenticação 2FA para sua conta pessoal.

GitHub Enterprise Cloud é compatível com várias opções para 2FA e embora qualquer um seja melhor do que nada, a opção mais segura é WebAuthn. A WebAuthn requer uma chave de segurança de hardware ou um dispositivo que o suporte por meio de coisas como Windows Hello ou Mac TouchID. É possível, apesar de ser difícil, fazer phish de outras formas de 2FA (por exemplo, quando alguém pede para ler a sua senha de um único dígito). No entanto, o WebAuthn não é passível de phishing, porque o escopo de domínio está incorporado no protocolo, o que impede que credenciais de um site representando uma página de login sejam usadas em GitHub Enterprise Cloud.

Ao definir a autenticação de 2FA, você deve sempre fazer o download dos códigos de recuperação e definir mais de um fator. Isso garante que o acesso à sua conta não depende de um único dispositivo. Para obter mais informações, consulte "Configurando autenticação de dois fatores, "Configurando os métodos de recuperação de autenticação de dois fatores e Chaves de segurança de hardware marcadas no GitHub na loja do GitHub.

Configurar a conta da sua organização

Observação: Dependendo do método de autenticação que o proprietário de uma empresa tenha configurado para sua empresa em GitHub.com, talvez você não consiga exigir a autenticação 2FA para sua organização.

Se você for proprietário de uma organização, você poderá ver quais usuários não estão habilitados com 2FA, poderá ajudá-los a configurá-la e, em seguida, exigir a autenticação 2FA para sua organização. Para guiar você nesse processo, consulte:

  1. "Visualizando se os usuários na organização têm a 2FA habilitada"
  2. "Preparando-se para exigir autenticação de dois fatores na sua organização"
  3. "Exigindo a autenticação de dois fatores na sua organização"

Conectar a GitHub Enterprise Cloud usando chaves SSH

Existem outras maneiras de interagir com GitHub Enterprise Cloud além de entrar no site. Muitas pessoas autorizam o código que enviam por push para GitHub com uma chave privada SSH. Para obter mais informações, consulteSobre SSH".

Como a senha da sua conta, se um invasor conseguir obter sua chave SSH privada, ele poderá se passar por você e enviar código malicioso para qualquer repositório que você tenha acesso de escrita. Se você armazenar sua chave SSH privada em um disco, é uma boa ideia protegê-la com uma senha. Para obter mais informações, consulte "Trabalhar com frases secretas da chave SSH".

Outra opção é gerar chaves SSH em uma chave de segurança de hardware. Você pode usar a mesma chave que você está usando no 2FA. É muito difícil comprometer as chaves de segurança de hardware remotamente, porque a chave SSH privada permanece no hardware e não pode ser acessada diretamente por meio do software. Para obter mais informações, consulte "Gerando uma nova chave SSH para uma chave de segurança de hardware".

As chaves SSH são bastante seguras, mas a exigência de hardware pode não funcionar para algumas organizações. Uma abordagem alternativa é usar chaves SSH válidas por um curto período de tempo. Mesmo que a chave privada seja comprometida, ela não poderá ser explorada por muito tempo. Este é o conceito por trás da execução da sua própria autoridade de certificação SSH. Embora essa abordagem fornece a você um grande controle sobre como os usuários efetuam a autenticação e também vem com a responsabilidade da própria manutenção de uma autoridade certificada de SSH. Para obter mais informações, consulte "Sobre autoridades certificadas de SSH".

Próximas etapas