使用标识提供者组管理团队成员身份

Note

GitHub Enterprise Server 的 SCIM 目前为 beta 版本，可能随时更改。 GitHub 建议首先使用暂存实例进行测试。请参阅“设置暂存实例”。

关于使用 SCIM 进行团队管理

如果配置了 SCIM 预配，则可以将 GitHub 团队与 IdP 组连接起来，通过 IdP 管理企业内的团队和组织成员身份。将某个企业组织中的团队连接到 IdP 组时，IdP 组对成员身份的更改会自动反映在企业中，从而减少手动更新和自定义脚本的需要。

当 IdP 组的更改或新的团队连接导致用户加入他们尚未成为其成员的组织中的团队时，用户将自动添加到该组织中。当你断开组与团队的连接时，如果未通过任何其他方式为其分配组织成员身份，则通过团队成员身份成为组织成员的用户将从组织中删除。

注意：**** 组织所有者也可以手动将用户添加到组织，只要帐户已通过 SCIM 进行预配。

当 Idp 上的组成员身份发生变化时，你的 IdP 会根据 IdP 确定的时间表发送 SCIM 请求，其中包含对 GitHub 的更改，因此更改可能不会立即发生。任何更改团队或组织成员身份的请求都将在审核日志中注册为用于配置用户预配的帐户所做的更改。

GitHub 还每天运行一次对帐作业，根据以前通过 SCIM 从 IdP 发送的信息，将团队成员身份与存储在 GitHub 上的 IdP 组成员身份同步。如果此作业发现用户是企业中 IdP 组的成员，但不是映射团队或其组织的成员，则作业将尝试将该用户添加到组织和团队。

连接到 IdP 组的团队不能是其他团队的父级，也不能是另一个团队的子级。如果要连接到 IdP 组的团队是父团队或子团队，建议创建一个新团队或删除使你的团队成为父团队的嵌套关系。

要管理企业中任何团队（包括连接到 IdP 组的团队）的存储库访问权限，必须对 GitHub 进行更改。有关详细信息，请参阅“管理团队对组织仓库的访问”。

在将 IdP 组与 GitHub 上的团队连接之前，必须将该组分配给 IdP 中的相关应用程序。有关详细信息，请参阅“配置 SCIM 预配以管理用户”。

可以将企业中的团队连接到一个 IdP 组。可以将同一 IdP 组分配给企业中的多个团队。

如果要将现有团队连接到 IdP 组，必须先删除手动添加的任何成员。将企业中的团队连接到 IdP 组后，IdP 管理员必须通过标识提供者更改团队成员身份。无法在 GitHub 上直接管理团队成员身份。

如果使用 Microsoft Entra ID（以前称为 Entra ID）作为 IdP，则只能将团队连接到安全组。不支持嵌套的组成员身份和 Microsoft 365 组。

组织的任何成员都可以创建新团队并将团队连接到 IdP 组。

组织所有者和团队维护者可以管理 IdP 组和团队之间的现有连接。

注意****：在首次将 GitHub 上的现有团队连接到 IdP 组之前，必须先删除 GitHub 上的所有团队成员。有关详细信息，请参阅“从团队中删除组织成员”。

企业所有者可以查看 IdP 组、每个组的成员身份以及连接到每个组的任何团队的列表。此视图中列出的 IdP 组和成员身份基于通过 SCIM 从 IdP 发送到 GitHub 的信息。必须在 IdP 上编辑组的成员身份。

如果团队无法与 IdP 上的组同步，团队会显示错误。有关详细信息，请参阅“解决团队成员资格在标识提供者组中遇到的问题”。

将成员添加到企业拥有的组织的方式决定了必须如何从组织中删除他们。

要了解成员是如何添加到组织中的，可以按类型筛选成员列表。请参阅“查看企业中的人员”。