ID プロバイダーグループを使用したチームメンバーシップの管理

Note

現在、GitHub Enterprise Server の SCIM はベータ段階であり、変更される可能性があります。 GitHub では、最初にステージングインスタンスを使用したテストをお勧めします。「ステージングインスタンスのセットアップ」を参照してください。

SCIM によるチーム管理について

で SCIM プロビジョニングを設定した場合、お使いの GitHub Enterprise Server インスタンス上のチームを IdP 上のグループに接続することで、IdP を介して Enterprise 内のチームと組織のメンバーシップを管理できます。エンタープライズの組織のいずれかのチームを IdP グループに接続すると、IdP グループのメンバーシップに対する変更が自動的にエンタープライズに反映されるため、手動での更新やカスタムスクリプトの必要性が軽減されます。

IdP グループまたは新しいチーム接続を変更すると、ユーザーがまだメンバーではない organization 内のチームへの参加につながり、ユーザーが自動的に organization に追加されます。チームからグループを切断すると、他の方法で組織のメンバーシップが割り当てられない場合、チームメンバーシップを使用して組織のメンバーになったユーザーは組織から削除されます。

メモ: Organization の所有者は、アカウントが SCIM 経由でプロビジョニング済みである限り、ユーザーを organization に手動で追加することもできます。

IdP 上でグループメンバーシップが変更された場合、IdP は、IdP によって決定されたスケジュールに従い、その変更と共に SCIM 要求を GitHub に送信するため、変更が直ちに行われるわけではありません。チームまたは組織のメンバーシップを変更する要求は、ユーザープロビジョニングの構成に使用されたアカウントによって行われた変更として監査ログに登録されます。

GitHub では、1 日に 1 回調整ジョブも実行されます。これにより、SCIM 経由で IdP から以前に送信された情報に基づいて、GitHub に格納されている IdP グループメンバーシップとチームメンバーシップが同期されます。このジョブで、ユーザーがエンタープライズ内の IdP グループのメンバーであるのに、マップされたチームまたはその組織のメンバーではないことがわかった場合、ジョブはそのユーザーを組織とチームに追加しようとします。

IdP グループに接続されているチームは、他のチームの親や別のチームの子にすることはできません。 IdP グループに接続したいチームが親または子チームの場合、新しいチームを作るか、チームを親チームにしている入れ子関係を削除することをお勧めします。

IdP グループに接続されたチームを含む、エンタープライズ内の任意のチームによるリポジトリへのアクセスを管理するには、GitHub 上で変更を行わなければなりません。詳しくは、「Organization のリポジトリに対するチームのアクセスを管理する」をご覧ください。

IdP グループを Team に接続するための要件

IdP グループを GitHub の Team に接続するには、そのグループを IdP 内の関連アプリケーションに割り当てる必要があります。詳しくは、「Managing team memberships with identity provider groups」を参照してください。

エンタープライズ内のチームを 1 つの IdP グループに接続できます。同じ IdP グループをエンタープライズ内の複数のチームに割り当てることができます。

既存のチームを IdP グループに接続する場合は、最初に手動で追加されたすべてのメンバーを削除する必要があります。エンタープライズ内のチームを IdP グループに接続した後、IdP 管理者は ID プロバイダーを通じてチームメンバーシップを変更する必要があります。チームメンバーシップを GitHub で直接管理することはできません。

Microsoft Entra ID (旧称 Azure AD) を IdP として使用する場合、チームをセキュリティグループにのみ接続できます。入れ子になったグループメンバーシップと Microsoft 365 グループはサポートされていません。

IdP グループに接続された新しいチームの作成

組織のメンバーは、新しいチームを作成し、チームを IdP グループに接続できます。

GitHub の右上隅で、プロフィール写真を選択し、 あなたの組織をクリックします。
Organizationの名前をクリックしてください。
Organization 名の下で、 [Teams] をクリックします。
ページの上部にある [新しいチーム] をクリックします。
"Create new team（新規Teamの作成）"の下で、新しいTeamの名前を入力してください。
あるいは、"Description（説明）"フィールドにTeamの説明を入力してください。
チームを接続するには、[ID プロバイダーグループ] で [グループの選択] ドロップダウンメニューを選択し、接続するチームをクリックします。
[チームの表示] でチームの表示設定を選択します。
[Team の作成] をクリックします。

既存のチームと IdP グループ間の接続の管理

organization の所有者とチームメンテナは、IdP グループとチーム間の既存の接続を管理できます。

注: GitHub の既存のチームを初めて IdP グループに接続する前に、GitHub のチームのすべてのメンバーを最初に削除する必要があります。詳しくは、「Team から Organization メンバーを削除する」を参照してください。

GitHub の右上隅で、プロフィール写真をクリックし、[あなたのプロフィール] をクリックします。
GitHub の右上隅で、プロフィール写真を選択し、 あなたの組織をクリックします。
Organization 名の下で、 [Teams] をクリックします。
チームの名前をクリックします。
Team ページの上部にある [設定] をクリックします。
必要に応じて、[Identity Provider Groups](ID プロバイダーグループ) で、切断したい IdP グループの右にあるをクリックします。
IdP グループを接続するには、[Identity Provider Groups](ID プロバイダーグループ) で、ドロップダウンメニューを使用してリストから ID プロバイダーグループを選択します。
[変更を保存] をクリックします。

IdP グループ、グループメンバーシップ、接続されたチームの表示

エンタープライズ所有者は、IdP グループ、各グループのメンバーシップ、各グループに接続されているチームの一覧を確認できます。このビューに一覧表示される IdP グループとメンバーシップは、SCIM 経由で IdP から GitHub に送信される情報に基づいています。 IdP のグループのメンバーシップを編集する必要があります。

GitHub Enterprise Server の右上で、ご自分のプロフィールフォトをクリックしてから、 [Enterprise 設定] をクリックします。
IdP グループの一覧を確認するには、左側のサイドバーで [ID プロバイダー] をクリックします。
IdP グループに接続されているメンバーとチームを表示するには、グループの名前をクリックします。
IdP グループに接続されているチームを表示するには、 [チーム] をクリックします。

チームが IdP 上のグループと同期されない場合、チームにはエラーが表示されます。詳しくは、「ID プロバイダーグループを使用したチームメンバーシップのトラブルシューティング」を参照してください。

Organization からのメンバーの削除

Enterprise によって所有されている organization にメンバーを追加する方法によって、organization からメンバーを削除する方法が決定されます。

メンバーを手動で organization に追加した場合、手動で削除する必要があります。 IdP 上の関連アプリケーションからユーザーの割り当て解除を行うと、ユーザーは停止されますが、organization から削除されません。
IdP グループに追加されたために、ユーザーが organization のメンバーになった場合、organization に関連付けられている すべて のマップされた IdP グループからユーザーを削除します。

メンバーが組織に追加された方法を確認するには、メンバーリストを種類でフィルター処理できます。「Enterprise の人を表示する」を参照してください。

ID プロバイダー グループを使用したチーム メンバーシップの管理

この記事の内容