Enterprise でセキュリティ設定のポリシーを適用する

Enterprise でのセキュリティ設定のポリシーについて

ポリシーを適用して、GitHub Enterprise Cloud で Enterprise が所有する Organization のセキュリティ設定を制御できます。既定では、Organization の所有者はセキュリティ設定を管理できます。

Enterprise で Organization に対して 2 要素認証を必須にする

注: 2023 年 3 月より、GitHub では、GitHub.com でコードを投稿するすべてのユーザーに、1 つ以上の形式の 2 要素認証 (2FA) を有効にすることが求められます。該当するグループに属しているユーザーは、そのグループが登録対象として選択されると通知メールを受け取り、45 日間の 2FA 登録期間が開始されて、GitHub.com での 2FA への登録を求めるバナーが表示されます。通知を受け取らないユーザーは、2FA を有効にする必要があるグループには含まれませんが、有効にすることを強くお勧めします。

2FA 登録のロールアウトについて詳しくは、こちらのブログ記事をご覧ください。

Enterprise 所有者は、Enterprise が所有するすべての組織の Organization メンバー、支払いマネージャー、外部コラボレーターに対して、ユーザーアカウントをセキュリティで保護するために 2 要素認証を使用することを要求できます。このポリシーは、マネージドユーザーを含む Enterprise には使用できません。

Enterprise が所有するすべての Organization で 2 要素認証を要求する前に、所有者自身のアカウントの 2 要素認証を有効にする必要があります。詳しくは、「2 要素認証でアカウントを保護する」を参照してください。

2 要素認証の使用を義務化する前に、Organization のメンバー、外部コラボレーター、支払いマネージャーに通知をして、各自に自分のアカウントで 2 要素認証をセットアップしてもらってください。 Organization のオーナーは、メンバーと外部コラボレーターがすでに 2 要素認証を使用しているかどうかを、各 Organization の [People] ページで確認できます。詳しくは、「組織内のユーザが 2 要素認証を有効にしているかどうかを表示する」を参照してください。

警告:

Enterprise で 2 要素認証を要求すると、Enterprise が所有するすべての Organization 内のメンバー、外部コラボレーター、支払いマネージャー (ボットアカウントを含む) で、2 要素認証を使わないものは、Organization から削除され、そのリポジトリにアクセスできなくなります。 Organization のプライベートリポジトリのフォークへのアクセスも失います。 Organization から削除されてから 3 か月以内にユーザーが自分のアカウントで 2 要素認証を有効にすれば、そのユーザーのアクセス特権と設定を復帰できます。詳しくは、「組織の以前のメンバーの回復」を参照してください。
2 要素認証の要求を有効にした後、その Enterprise アカウントで所有されるすべての Organization の所有者、メンバー、支払いマネージャー、または外部コラボレーターが、各自のアカウントで 2 要素認証を無効にすると、Organization から自動的に削除されます。
2 要素認証を要求するエンタープライズに所有者が 1 人しかいない場合は、エンタープライズに対する 2 要素認証の要求を無効にしない限り、所有者のユーザーアカウントの 2 要素認証を無効にすることはできません。

注: Organization 内の一部のユーザーは、GitHub.com による必須の 2 要素認証登録に選ばれている可能性がありますが、Enterprise の Organization に対する 2FA の要件を有効にする方法には影響しません。 Enterprise の Organization で 2FA の要件を有効にした場合、現在 2FA が有効になっていないすべてのユーザーは、GitHub.com によって有効にされる必要があるユーザーも含めて、Organization から削除されます。

GitHub の右上の自分のプロフィール写真をクリックし、[自分の Enterprise] をクリックします。
Enterpriseのリストで、表示したいEnterpriseをクリックしてください。
ページの左側にある Enterprise アカウントのサイドバーで、 [設定] をクリックします。
[設定] で、 [認証セキュリティ] をクリックします。
[Two-factor authentication] で、設定変更に関する情報を確認します。必要に応じて、設定を変更する前に Enterprise アカウントのすべての Organization の現在の構成を確認するには、 [Organization の現在の構成を表示する] をクリックします。
[2 要素認証] で、 [会社のすべての Organizations に 2 要素認証を要求する] をオンにして、 [保存] をクリックします。
メッセージが表示されたら、Enterprise が所有する Organization から削除されるメンバーと外部コラボレーターに関する情報を読みます。変更を確定するには、Enterprise の名前を入力して、 [メンバーを削除し、2 要素認証を必須にする] をクリックします。
Enterprise によって所有される Organization から削除されるメンバーまたは外部コラボレーターがいる場合、Organization への元の権限とアクセス権を復帰するための招待状を、それらのユーザーに送信することをお勧めします。彼らが招待状を受け取ることができるようにするには、まず各ユーザーが 2 要素認証を有効にする必要があります。

Enterprise の SSH 証明機関を管理する

SSH 証明機関 (CA) を使用して、Enterprise が所有するすべての Organization のメンバーに、指定した SSH 証明書を使用してその Organization のリポジトリにアクセスすることを許可できます。 Enterprise で Enterprise Managed Users を使用している場合、Enterprise メンバーは、証明書を使用して個人所有のリポジトリにアクセスすることもできます。SSHがリポジトリで無効になっていなければ、Organizationのリソースにメンバーがアクセスする際に、SSH証明書を使わなければならないようにすることができます。詳細については、「SSH認証局について」を参照してください。

各クライアント証明書を発行する際には、その証明書がどのGitHub Enterprise Cloudユーザー用かを示すエクステンションを含める必要があります。詳しくは、「SSH認証局について」を参照してください。

SSH認証局を追加する

Enterprise に SSH 証明書が必要な場合、Enterprise メンバーは SSH 経由の Git 操作に特別な URL を使用する必要があります。詳しくは、「SSH認証局について」を参照してください。

各証明機関は、GitHub Enterprise Cloud 上の 1 個のアカウントにのみアップロードできます。 SSH 証明機関が Organization または Enterprise アカウントに追加されている場合、GitHub Enterprise Cloud 上の別の Organization または Enterprise アカウントに同じ証明機関を追加することはできません。

1 つの証明機関を Enterprise に追加し、もう 1 つの証明機関を Enterprise 内の Organization に追加する場合は、いずれかの証明機関を使用して Organization のリポジトリにアクセスできます。

GitHub の右上の自分のプロフィール写真をクリックし、[自分の Enterprise] をクリックします。
Enterpriseのリストで、表示したいEnterpriseをクリックしてください。
ページの左側にある Enterprise アカウントのサイドバーで、 [設定] をクリックします。
[設定] で、 [認証セキュリティ] をクリックします。
[SSH 認証局] の右側にある [新しい CA] をクリックします。
"Key（キー）"の下で、公開SSHキーを貼り付けてください。
[CA の追加] をクリックします。
必要に応じて、メンバーに SSH 証明書の使用を要求するには、 [SSH 証明書を要求する] を選択し、 [保存] をクリックします。

注: SSH 証明書が必要な場合、ユーザーは HTTPS または未署名の SSH キーを使用して組織のリポジトリにアクセスするための認証を行うことができなくなります (SSH キーが外部 ID システムを介した認証を必要とする組織に対して承認されているかどうかは無関係です)。

その要件は承認された GitHub Apps (ユーザーからサーバーへのトークンを含む)、またはデプロイキーや GitHub エコシステム内の信頼された環境である GitHub Actions と Codespaces などの GitHub 機能には適用されません。

ユーザー所有リポジトリへのアクセスの管理

SSH 証明書を使用してユーザー所有のリポジトリへのアクセスを有効または無効にすることができます (Enterprise でマネージドユーザーアカウントを使用している場合)。ただし、Enterprise が GitHub.com メンバーで個人用アカウントを使用している場合、個人所有のリポジトリにアクセスするために証明書を使用することはできません。

GitHub の右上の自分のプロフィール写真をクリックし、[自分の Enterprise] をクリックします。
Enterpriseのリストで、表示したいEnterpriseをクリックしてください。
ページの左側にある Enterprise アカウントのサイドバーで、 [設定] をクリックします。
[設定] で、 [認証セキュリティ] をクリックします。
[SSH 証明機関] で、[ユーザー所有リポジトリにアクセス ] チェックボックスを選択します。

SSH認証局を削除する

CAを削除すると、元に戻すことはできません。同じCAを使用したくなった場合には、そのCAを再びアップロードする必要があります。

GitHub の右上の自分のプロフィール写真をクリックし、[自分の Enterprise] をクリックします。
Enterpriseのリストで、表示したいEnterpriseをクリックしてください。
ページの左側にある Enterprise アカウントのサイドバーで、 [設定] をクリックします。
[設定] で、 [認証セキュリティ] をクリックします。
[SSH 認証局] で、削除する CA の右側にある [削除] をクリックします。
警告を読み、 [わかりました。この CA を削除してください] をクリックします。

SSH 証明機関のアップグレード

2024 年 3 月 27 日に先立って企業のにアップロードされた CA、GitHub Enterprise Server バージョン 3.13 以前の

認証されていないユーザーに対する SSO の管理

注: 自動的なユーザーのログインへのリダイレクトは、現在 Enterprise Managed Users のパブリックプレビュー段階であり、変更される可能性があります。

Enterprise で Enterprise Managed Users を使用している場合は、認証されていないユーザーが Enterprise のリソースにアクセスしようとしたときに表示される内容を選ぶことができます。 Enterprise Managed Users について詳しくは、「Enterprise Managed Users について」をご覧ください。

既定では、プライベートリソースの存在を隠すために、認証されていないユーザーがお客様の Enterprise にアクセスしようとすると、GitHub に 404 エラーが表示されます。

開発者の混乱を防ぐために、ID プロバイダー (IdP) を介してユーザーがシングルサインオン (SSO) に自動的にリダイレクトされるように、この動作を変更できます。自動リダイレクトを有効にすると、Enterprise のリソースのいずれかの URL にアクセスするすべてのユーザーは、リソースが存在することを確認できます。しかし、リソースを確認できるのは、IdP で認証した後に適切なアクセス権を持っている場合のみです。

注: ユーザーが Enterprise のいずれかのリソースにアクセスしようとしたときに個人アカウントにサインインすると、自動的にサインアウトされ、SSO にリダイレクトされ、マネージドユーザーアカウントにサインインすることになります。詳しくは、「複数のアカウントの管理」を参照してください。

GitHub の右上の自分のプロフィール写真をクリックし、[自分の Enterprise] をクリックします。
Enterpriseのリストで、表示したいEnterpriseをクリックしてください。
ページの左側にある Enterprise アカウントのサイドバーで、 [設定] をクリックします。
[設定] で、 [認証セキュリティ] をクリックします。
[シングルサインオン設定] で、 [ユーザーをサインインに自動的にリダイレクトする] を選択または選択解除します。