为企业托管用户配置 OIDC

Note

对 Enterprise Managed Users 的 OpenID Connect (OIDC) 和条件访问策略 (CAP) 支持仅适用于 Microsoft Entra ID（以前称为 Azure AD）。

关于适用于企业托管用户的 OIDC

通过 Enterprise Managed Users，企业使用标识提供者 (IdP) 对所有成员进行身份验证。可以使用 OpenID Connect (OIDC) 管理具有托管用户的企业的身份验证。启用 OIDC SSO 是一个一键式设置过程，证书由 GitHub 和你的 IdP 管理。

企业使用 OIDC SSO 时，GitHub 将自动使用 IdP 的条件访问策略 (CAP) IP 条件来验证与 GitHub 的交互，当成员使用 Web UI 或更改 IP 地址时，以及每次使用 personal access token 或与用户帐户关联的 SSH 密钥时都会验证。请参阅“关于对 IdP 的条件访问策略的支持”。

Note

对 Web 会话的 CAP 保护目前为公共预览版，可能会更改。

在 2024 年 11 月 5 日之后启用 IdP CAP 支持的新企业将默认启用对 Web 会话的保护。

已启用 IdP CAP 支持的现有企业可以从其企业的“身份验证安全性”设置中选择对 Web 会话的扩展保护。

可以通过从 IdP 更改为 GitHub 颁发的 ID 令牌的生存期属性，调整会话的生存期，以及托管用户帐户需要对 IdP 重新进行身份验证的频率。默认生存期为 1 小时。参阅 Microsoft 文档中的“配置令牌生存期策略”。

若要更改生存期策略属性，需要与 Enterprise Managed Users OIDC 相关联的对象 ID。请参阅“查找 Entra OIDC 应用程序的对象 ID”。

Note

如果在配置 OIDC 会话生存期时需要帮助，请联系 Microsoft 支持。

如果目前使用 SAML SSO 进行身份验证，并且更希望使用 OIDC 并受益于 CAP 支持，则可以遵循迁移路径。有关详细信息，请参阅“从 SAML 迁移到 OIDC”。

警告：**** 如果使用 GitHub Enterprise Importer 从你的 GitHub Enterprise Server 实例迁移组织，请确保使用一个豁免于 Entra ID CAP 的服务帐户，否则迁移可能会被阻止。

标识提供者支持

对 OIDC 的支持已向使用 Entra ID 的客户开放。

每个 Entra ID 租户只能支持一个与 Enterprise Managed Users 的 OIDC 集成。要将 Entra ID 连接到 GitHub 上的多个企业，请改用 SAML。请参阅“为企业托管用户配置 SAML 单一登录”。

OIDC 不支持 IdP 发起的身份验证。