Team をアイデンティティプロバイダグループと同期する

メモ

企業で Enterprise Managed Usersを使用している場合は、チーム同期を使用する必要はありません。代わりに、Enterprise のセットアップ中に作成した SCIM 構成を使って、Team のメンバーシップを管理できます。詳しくは、「ID プロバイダーグループを使用したチームメンバーシップの管理」をご覧ください。

Team の同期について

Organization または Enterprise アカウントでチームの同期が有効になっている場合は、GitHub チームを IdP グループと同期できます。これを行うと、IdP グループに対するメンバーシップ変更が GitHub に自動的に反映され、手動更新とカスタムスクリプトの必要性が軽減されます。詳細については、組織のチーム同期を管理すると企業で組織のチーム同期を管理するを参照してください。

GitHub チームには、最大 5 つの IdP グループを接続できます。 IdP グループを複数の GitHub チームに割り当てることができます。

チーム同期では、5,000 を超えるメンバーを持つ IdP グループはサポートされていません。

GitHub チームが IdP グループに接続されたら、IdP 管理者は ID プロバイダーを介してチームメンバーシップを変更する必要があります。 GitHub または API を使用してチームメンバーシップを管理することはできません。

組織がエンタープライズアカウントによって所有されている場合、エンタープライズアカウントのチーム同期を有効にすると、組織レベルのチーム同期設定がオーバーライドされます。詳しくは、「企業で組織のチーム同期を管理する」をご覧ください。

チーム同期はユーザープロビジョニングサービスではなく、ほとんどの場合、組織に参加するようメンバー以外を招待することはありません。つまり、ユーザーをチームに追加できるのは、ユーザーが既に組織のメンバーである場合のみです。ただし、チーム同期では必要に応じて、以前に組織のメンバーだったがそれ以降削除されているユーザーを再び招待することができます。詳細については、組織のチーム同期を管理すると企業で組織のチーム同期を管理するを参照してください。

IdP を介して行われたすべてのチームメンバーシップの変更は、チーム同期ボットによって行われた変更として、 GitHub の監査ログに表示されます。チーム同期では、少なくとも 1 時間に 1 回は IdP からグループ情報がフェッチされ、IdP グループメンバーシップの変更が GitHubに反映されます。 Team を IdP グループに接続すると、Team メンバーが削除される場合があります。詳細については、「同期されるチームのメンバーに関する要件」を参照してください。

親チームは IdP グループと同期できません。 IdP グループに接続したい Team が親チームの場合、新しい Team を作るか、Team と親チームのネスト関係を削除することをお勧めします。詳細については、「Organization のチームについて」、「組織チームの作成」、「組織の階層内でのチームの移動」を参照してください。

IdP グループに接続されているチームを含め、 GitHub チームのリポジトリアクセスを管理するには、 GitHubで変更を加える必要があります。詳細については、「Organization のチームについて」および「Organization のリポジトリに対するチームのアクセスを管理する」を参照してください。

API を使用してチームの同期を管理することもできます。詳細については、 AUTOTITLE を参照してください。

同期される Team のメンバーに関する要件

チームを IdP グループに接続すると、次の場合にのみ、チームの同期によって、IdP グループの各メンバーが対応するチームに GitHub に追加されます。

チーム同期で組織に非メンバーを招待できない場合、そのユーザーは既に GitHubの組織のメンバーです。
ユーザーは、 GitHub で個人アカウントを使用して既にログインしており、SAML シングルサインオンを使用して組織またはエンタープライズアカウントに少なくとも 1 回は認証されています。
そのユーザの SSO ID が IdP グループのメンバーである場合。

これらの条件を満たしていない既存のチームまたはグループメンバーは、 GitHub のチームから自動的に削除され、リポジトリにアクセスできなくなります。ユーザのリンクされた ID を取り消すと、IdP グループにマップされている Team からユーザが削除されます。詳細については、「組織に対するメンバーの SAML アクセスの表示と管理」および「Enterprise へのユーザの SAML アクセスの表示および管理」を参照してください。

削除された Team メンバーは、SSO を使って Organization または Enterprise アカウントに認証され、接続先の IdP グループに移動すれば、再び Team に自動的に追加できます。

意図しない Team メンバーの削除を避けるために、Organization または Enterprise アカウントで SAML SSO を施行し、メンバーシップデータを同期するため新しい Team を作成し、IdP グループのメンバーシップを確認してから既存の Team を同期することをおすすめします。詳細については、「組織における SAML シングルサインオンを施行する」および「Enterprise 向けの SAML シングルサインオンを設定する」を参照してください。