Skip to main content

使用 IP 允许列表限制到企业的网络流量

可以使用 IP 允许列表限制对企业的访问,仅允许从指定的 IP 地址访问资源。

Who can use this feature

Enterprise owners can configure IP allow lists.

关于网络流量限制

默认情况下,授权用户可以从任何 IP 地址访问您的企业。 可以通过为特定 IP 地址配置允许列表来限制对企业帐户中组织拥有的资源的访问。 例如,您可以只允许从您办公室网络的 IP 地址访问。 IP 地址的允许列表将阻止不在允许列表中的任何 IP 地址通过 Web、API、Git 访问专用资源。

对受 IP 允许列表保护的资源的任何导航都将按列表进行筛选,包括通过:

  • 用于 GitHub 身份验证或 SAML SSO 的用户名和密码
  • Personal access token
  • SSH 密钥

所有用户凭据(包括属于管理员的凭据)都将进行 IP 允许列表检查。 不会对定向到公共存储库的流量强制实施 IP 允许列表。

如果你的企业将 Enterprise Managed Users 与 Azure AD 和 OIDC 配合使用,你则可以选择是使用 GitHub 的 IP 允许列表功能,还是为标识提供者 (IdP) 使用允许列表限制。 如果你的企业未将 Enterprise Managed Users 与 Azure 和 OIDC 配合使用,你则可以使用 GitHub 的允许列表功能。

关于 GitHub 的 IP 允许列表

可以使用 GitHub 的 IP 允许列表来控制对企业和企业中组织拥有的资产的访问。

您可以使用 CIDR 表示法批准访问单个 IP 地址或地址范围。 有关详细信息,请参阅维基百科上的”CIDR 表示法”。

要执行 IP 允许列表,必须先将 IP 地址添加到列表,然后启用 IP 允许列表。 在完成列表后,可以检查列表中任何已启用条目是否允许使用特定 IP 地址。

您必须先添加当前 IP 地址或匹配范围,然后才能启用 IP 允许列表。 启用允许列表时,您配置的 IP 地址将立即添加到企业中的组织允许列表中。 如果禁用允许列表,则地址将从组织允许列表中删除。

组织所有者可以向其组织的允许列表添加其他条目,但他们无法管理从企业帐户的允许列表继承的条目,企业所有者也无法管理添加到组织的允许列表的条目。有关详细信息,请参阅“管理组织允许的 IP 地址”。

您可以选择将为组织中安装的 GitHub Apps 配置的任何 IP 地址自动添加到允许列表中。 GitHub App 的创建者可以为其应用程序配置允许列表,指定应用程序运行的 IP 地址。 通过将允许列表继承到您的列表中,您可以避免申请中的连接请求被拒绝。 有关详细信息,请参阅“允许 GitHub 应用进行访问”。

关于 IdP 的允许列表

如果将 Enterprise Managed Users 与 Azure AD 和 OIDC 配合使用,则可以使用 IdP 的允许列表。

使用 IdP 的允许列表会停用企业中所有组织的 GitHub IP 允许列表配置,并停用 GraphQL API 以启用和管理 IP 允许列表。

默认情况下,你的 IdP 会在初始交互式 SAML 或 OIDC 登录到 GitHub 时为你所选择的任何 IP 允许列表配置运行 CAP。

OIDC CAP 仅适用于使用用户到服务器令牌对 API 的请求,例如 OAuth App 或代表用户操作的 GitHub App 的令牌。 当 GitHub App 使用服务器到服务器令牌时,OIDC CAP 不适用。 有关详细信息,请参阅“使用 GitHub Apps 进行身份验证”和“关于对 IdP 条件访问策略的支持”。

为了确保在将策略应用到用户到服务器令牌的同时无缝使用 OIDC CAP,必须将企业使用的每个 GitHub App 中的所有 IP 范围复制到 IdP 策略。

使用 GitHub 的 IP 允许列表

启用 GitHub 的 IP 允许列表

  1. 在 GitHub.com 的右上角,单击你的个人资料照片,然后单击“你的组织”。 贵组织在配置文件菜单中 2. 在组织旁边,单击“设置”。 设置按钮

  2. 在侧边栏的“安全性”部分中,单击“ 身份验证安全性”。

  3. 在“IP 允许列表”下,启用 IP 允许列表。

    • 如果将 Enterprise Managed Users 与 OIDC 配合使用,请选择下拉菜单并单击“GitHub”。 显示三个 IP 允许列表配置选项“已禁用”、“标识提供者”和“GitHub”的下拉菜单的屏幕截图

      选择“启用 IP 允许列表”。 允许 IP 地址的复选框的屏幕截图

    • 如果未将 Enterprise Managed Users 与 OIDC 配合使用,请选择“启用 IP 允许列表”。 允许 IP 地址的复选框的屏幕截图

  4. 单击“ 保存”。

添加允许的 IP 地址

可以通过添加每个包含 IP 地址或地址范围的条目来创建 IP 允许列表。 在添加完条目后,可以检查列表中任何已启用条目是否允许使用特定 IP 地址。

在列表限制对企业中由组织拥有的专用资产的访问之前,还必须启用允许的 IP 地址。

注意:GitHub 正在逐步推出对 IPv6 的支持。 随着 GitHub 服务继续添加 IPv6 支持,我们将开始识别 GitHub 用户的 IPv6 地址。 若要防止可能的访问中断,请确保将任何所需的 IPv6 地址添加到 IP 允许列表。

  1. 在 GitHub.com 的右上角,单击你的个人资料照片,然后单击“你的企业”。 GitHub Enterprise Cloud 上个人资料照片下拉菜单中的“你的企业”

  2. 在企业列表中,单击您想要查看的企业。 企业列表中的企业名称

  3. 在企业帐户侧边栏中,单击 “设置”。 企业帐户侧边栏中的“设置”选项卡

  4. 在左侧边栏中,单击“身份验证安全性”。 企业帐户设置侧边栏中的“安全性”选项卡 1. 在“IP 允许列表”部分的底部,输入 IP 地址或 CIDR 表示法中的地址范围。 用于添加 IP 地址的关键字段 1. (可选)输入允许的 IP 地址或范围的说明。 用于添加 IP 地址名称的关键字段 1. 单击 “添加”。 “添加允许的 IP 地址”按钮 1. (可选)检查列表中是否有任何已启用条目允许使用特定 IP 地址。 有关详细信息,请参阅“检查是否允许使用 IP 地址”。

允许 GitHub Apps 访问

如果您使用允许列表,还可以选择将为企业中安装的 GitHub Apps 配置的任何 IP 地址自动添加到允许列表中。

如果你在允许列表设置中选择“为已安装的 GitHub 应用程序启用 IP 允许列表配置”,则来自已安装 GitHub Apps 的 IP 地址将添加到你的允许列表中。 不管您的允许列表目前是否启用,都会发生这种情况。 如果您安装 GitHub App,然后该应用程序的创建者更改其允许列表中的地址,则允许列表会自动更新这些更改。

您可以通过查看描述字段来识别从 GitHub Apps 自动添加的 IP 地址。 这些 IP 地址的描述是:“由 NAME GitHub App管理”。 与手动添加的地址不同,您无法编辑、删除或禁用从 GitHub Apps 自动添加的 IP 地址。

注意: GitHub App IP 允许列表中的地址仅影响 GitHub App 安装提出的请求。 将 GitHub App 的 IP 地址自动添加到组织的允许列表中不允许访问从该 IP 地址连接的 GitHub Enterprise Cloud 用户。

有关如何为已创建的 GitHub App 创建允许列表的详细信息,请参阅“管理 GitHub 应用的允许 IP 地址”。

为 GitHub Apps 启用自动添加 IP 地址:

  1. 在 GitHub.com 的右上角,单击你的个人资料照片,然后单击“你的企业”。 GitHub Enterprise Cloud 上个人资料照片下拉菜单中的“你的企业”

  2. 在企业列表中,单击您想要查看的企业。 企业列表中的企业名称

  3. 在企业帐户侧边栏中,单击 “设置”。 企业帐户侧边栏中的“设置”选项卡

  4. 在左侧边栏中,单击“身份验证安全性”。 企业帐户设置侧边栏中的“安全性”选项卡

  5. 选择“为已安装的 GitHub 应用启用 IP 允许列表配置”。 如果将 Enterprise Managed Users 与 OIDC 配合使用,请先选择“GitHub”作为 IP 允许列表配置,然后选择“为已安装的 GitHub 应用启用 IP 允许列表配置” 。 允许 GitHub 应用 IP 地址的复选框

  6. 单击“保存” 。

编辑允许的 IP 地址

可以在 IP 允许列表中编辑条目。 如果编辑已启用的条目,则更改会立即实施。

在编辑完条目后,可以检查在启用你的允许列表后,你的允许列表是否允许来自特定 IP 地址的连接。

  1. 在 GitHub.com 的右上角,单击你的个人资料照片,然后单击“你的企业”。 GitHub Enterprise Cloud 上个人资料照片下拉菜单中的“你的企业”

  2. 在企业列表中,单击您想要查看的企业。 企业列表中的企业名称

  3. 在企业帐户侧边栏中,单击 “设置”。 企业帐户侧边栏中的“设置”选项卡

  4. 在左侧边栏中,单击“身份验证安全性”。 企业帐户设置侧边栏中的“安全性”选项卡 1. 在“IP 允许列表”下,在你要编辑的条目右侧,单击“编辑”。 编辑允许的 IP 地址按钮 1. 以 CIDR 表示法输入 IP 地址或地址范围。 用于添加 IP 地址的关键字段 1. 输入允许的 IP 地址或范围的说明。 添加 IP 地址名称的关键字段

  5. 单击“更新”。

  6. (可选)检查列表中是否有任何已启用条目允许使用特定 IP 地址。 有关详细信息,请参阅“检查是否允许使用 IP 地址”。

检查是否允许使用 IP 地址

可以检查 IP 允许列表中是否有任何已启用条目允许使用特定 IP 地址(即使列表当前未启用)。

  1. 在 GitHub.com 的右上角,单击你的个人资料照片,然后单击“你的企业”。 GitHub Enterprise Cloud 上个人资料照片下拉菜单中的“你的企业”

  2. 在企业列表中,单击您想要查看的企业。 企业列表中的企业名称

  3. 在企业帐户侧边栏中,单击 “设置”。 企业帐户侧边栏中的“设置”选项卡

  4. 在左侧边栏中,单击“身份验证安全性”。 企业帐户设置侧边栏中的“安全性”选项卡 1. 在“检查 IP 地址”下,输入 IP 地址。 “检查 IP 地址”文本字段的屏幕截图

删除允许的 IP 地址

  1. 在 GitHub.com 的右上角,单击你的个人资料照片,然后单击“你的企业”。 GitHub Enterprise Cloud 上个人资料照片下拉菜单中的“你的企业”

  2. 在企业列表中,单击您想要查看的企业。 企业列表中的企业名称

  3. 在企业帐户侧边栏中,单击 “设置”。 企业帐户侧边栏中的“设置”选项卡

  4. 在左侧边栏中,单击“身份验证安全性”。 企业帐户设置侧边栏中的“安全性”选项卡 1. 在“IP 允许列表”下,单击要删除的条目右侧的“删除”。 “删除允许的 IP 地址”按钮 1. 要永久删除该条目,请单击“是,删除此 IP 允许列表条目”。 永久删除 IP 允许列表条目按钮

使用标识提供者的允许列表

注意:仅 Enterprise Managed Users 和 Azure AD 和 OIDC 支持使用 IdP 的允许列表。

  1. 在 GitHub.com 的右上角,单击你的个人资料照片,然后单击“你的组织”。 贵组织在配置文件菜单中 2. 在组织旁边,单击“设置”。 设置按钮

  2. 在侧边栏的“安全性”部分中,单击“ 身份验证安全性”。

  3. 在“IP 允许列表”下,选择下拉列表并单击“标识提供者”。

    显示三个 IP 允许列表配置选项“已禁用”、“标识提供者”和“GitHub”的下拉菜单的屏幕截图

  4. (可选)若要允许已安装的 GitHub 和 OAuth Apps 从任意 IP 地址访问你的企业,请选择“为应用程序跳过 IdP 检查”。

    允许 IP 地址的复选框

  5. 单击“ 保存”。

对 GitHub Actions 使用 IP 允许列表

警告:如果你使用 IP 允许列表并且还想使用 GitHub Actions,则必须使用自托管的运行器或具有静态 IP 地址范围的 GitHub 托管的大型运行器。 有关详细信息,请参阅“托管你自己的运行器”或“使用大型运行器”。

若要允许自托管或大型托管运行器与 GitHub 通信,请将你的运行器的 IP 地址或 IP 地址范围添加到你为企业配置的 IP 允许列表中。