将企业迁移到新的标识提供者或租户

本文内容

可以将企业迁移到其他标识提供者 (IdP) 或 Azure AD 租户。

若要使用标识提供者管理企业中的用户，企业必须启用 Enterprise Managed Users，它适用于 GitHub Enterprise Cloud。 有关详细信息，请参阅“关于 Enterprise Managed Users”。

关于 IdP 和租户之间的迁移

使用 Enterprise Managed Users 时，可能需要将企业迁移到 IdP 上的新租户。 例如，你可能已准备好从测试环境迁移到生产环境。

警告：

  • 迁移到新的 IdP 或租户可能会导致企业中的集成和自动化流中断。 禁用当前 SAML IdP 后，将删除与 托管用户帐户 关联的 personal access tokens 和 SSH 密钥。 在配置新的 IdP 后，应规划迁移时段，在此期间，可以根据需要创建和部署集成的新密钥。
  • 配置初始身份验证和预配后，GitHub 不建议迁移到其他平台进行身份验证或预配。 如果需要将现有企业迁移到其他平台进行身份验证或预配，请联系 GitHub 的销售团队 上的客户经理。

在将 具有托管用户的企业 迁移到新的 IdP 或租户之前，请确定新环境中规范化 SCIM userName 属性的值对于 托管用户帐户 是否保持不变。 有关用户名规范化的详细信息，请参阅“Username considerations for external authentication”。

如果在迁移后规范化 SCIM userName 值保持不变，则可以自行完成迁移。 有关说明，请参阅“在规范化 SCIM userName 值保持不变时迁移”。

如果规范化 SCIM userName 值在迁移后发生更改，GitHub 将需要帮助你进行迁移。 有关详细信息，请参阅“在规范化 SCIM userName 值更改时迁移”。

在规范化 SCIM userName 值保持不变时迁移

若要迁移到新的 IdP 或租户，不能编辑现有的 SAML 配置。 而必须完全停用企业帐户的 SAML，然后为新的 IdP 或租户创建新的 SAML 和 SCIM 配置。

警告：在迁移完成后，不要从原始 IdP 或租户中 Enterprise Managed Users 的应用程序中删除任何用户或组。

  1. 如果还没有企业的单一登录恢复代码，请立即下载这些代码。 有关详细信息，请参阅“下载企业帐户的单一登录恢复代码”。

  2. 在当前 IdP 中，在应用程序中停用 Enterprise Managed Users 的预配。

    • 如果使用 Azure AD，请导航到应用程序的“预配”选项卡，然后单击“停止预配”。
    • 如果使用 Okta，请导航到应用程序的“预配”选项卡，单击“集成”选项卡，然后单击“编辑” 。 取消选择“启用 API 集成”。
    • 如果使用 PingFederate，请导航到应用程序的通道设置。 在“激活和摘要”选项卡中，单击“活动”或“非活动”切换预配状态，然后单击“保存” 。 有关管理预配的详细信息，请参阅 Ping Federate 文档中的“查看通道设置”和“管理通道”。

  3. 使用恢复代码以安装用户身份登录到 GitHub.com，其用户名是企业短代码，后缀为 _admin。 有关设置用户的详细信息，请参阅“关于 Enterprise Managed Users”。

  4. 停用 具有托管用户的企业 的 SAML。 有关详细信息，请参阅“Disabling authentication for Enterprise Managed Users”。

  5. 等待企业中的所有用户显示为已暂停。

  6. 仍以安装用户身份登录时，使用新的 Enterprise Managed Users 应用程序为新的 IdP 或租户配置 SAML 和 SCIM。

    为新应用程序配置预配后，托管用户帐户 将取消暂停，开发人员将能够再次登录到其现有帐户。

    默认情况下，对于 Azure AD，此过程最多可能需要 40 分钟。 若要加快单个用户的进程，请为 Enterprise Managed Users 单击应用程序的“预配”选项卡中的“按需预配”按钮。

在规范化 SCIM userName 值更改时迁移

如果规范化 SCIM userName 值将更改，GitHub 必须为迁移预配新的企业帐户。 请与我们的销售团队联系以获取帮助。