Skip to main content
我们经常发布文档更新,此页面的翻译可能仍在进行中。 有关最新信息,请访问英语文档

此版本的 GitHub Enterprise 已停止服务 2023-03-15. 即使针对重大安全问题,也不会发布补丁。 为了获得更好的性能、更高的安全性和新功能,请升级到最新版本的 GitHub Enterprise。 如需升级帮助,请联系 GitHub Enterprise 支持

关于企业 IAM 的 SAML

可以使用 SAML 单一登录 (SSO) 集中管理对 你的 GitHub Enterprise Server 实例 的访问权限。

关于你的 GitHub Enterprise Server 实例 上的 SAML SSO

SAML SSO 允许人员通过外部系统进行身份验证和访问 你的 GitHub Enterprise Server 实例,以便进行标识管理。

SAML 是一种基于 XML 的身份验证和授权标准。 为 你的 GitHub Enterprise Server 实例 配置 SAML 时,用于身份验证的外部系统称为标识提供者 (IdP)。 实例充当 SAML 服务提供程序 (SP)。 有关 SAML 标准的详细信息,请参阅 Wikipedia 上的安全断言标记语言

注意:可以使用 SAML 或 LDAP,但不能同时使用两者。

分配或取消分配应用程序时,IdP 不会自动与 GitHub Enterprise Server 通信。 GitHub Enterprise Server 会在有人第一次导航到 GitHub Enterprise Server 并通过 IdP 进行身份验证来登录时使用 SAML 实时 (JIT) 预配创建用户帐户。 在授予对 GitHub Enterprise Server 的访问权限时,可能需要手动通知用户。

使用 SAML 或 CAS 时,双重身份验证在 GitHub Enterprise Server 实例上不受支持或无法管理,但受外部身份验证提供商的支持。 在组织上无法实施双重身份验证。 有关对组织强制实施双因素身份验证的详细信息,请参阅“在你的组织中要求进行双因素身份验证”。

配置 SAML 后,使用 你的 GitHub Enterprise Server 实例 的用户必须使用personal access token 对 API 请求进行身份验证。 有关详细信息,请参阅“创建个人访问令牌”。

如果想要允许对某些在你的外部验证提供程序上无帐户的人员进行身份验证,可以允许对 你的 GitHub Enterprise Server 实例 上的本地帐户进行回退身份验证。 有关详细信息,请参阅“允许对提供程序覆盖范围之外的用户进行内置身份验证”。

有关在 GitHub Enterprise Server 上配置 SAML SSO 的详细信息,请参阅“为企业配置 SAML 单点登录”。

支持的 IdP

GitHub Enterprise Server 支持 SAML SSO 与采用 SAML 2.0 标准的 IdP 一起使用。 有关详细信息,请参阅 OASIS 网站上的 SAML Wiki

GitHub 官方支持和内部测试以下 IdP。

  • Active Directory 联合身份验证服务 (AD FS)
  • Azure Active Directory (Azure AD)
  • Okta
  • OneLogin
  • PingOne
  • Shibboleth

如果 IdP 支持加密断言,则可以在 GitHub Enterprise Server 上配置加密断言,以提高身份验证过程中的安全性。

GitHub Enterprise Server 不支持 SAML 单次注销。 要终止活动的 SAML 会话,用户应该直接在 SAML IdP 上注销。

延伸阅读