Gestion des adresses IP autorisées pour votre organisation

Vous pouvez restreindre l’accès aux ressources privées de votre organisation en configurant une liste d’adresses IP autorisées à se connecter.

Qui peut utiliser cette fonctionnalité ?

Organization owners can manage allowed IP addresses for an organization.

Dans cet article

À propos des adresses IP autorisées

Par défaut, les utilisateurs autorisés peuvent accéder aux ressources de votre organisation à partir de l’adresse IP de leur choix. Vous pouvez restreindre l’accès aux ressources privées de votre organisation en configurant une liste qui autorise ou refuse l’accès à partir d’adresses IP spécifiques. Par exemple, vous pouvez autoriser l’accès aux ressources privées exclusivement à partir de l’adresse IP du réseau de votre filiale.

Une fois que vous avez configuré une liste d'autorisation IP GitHub, la liste détermine si les utilisateurs ou les applications peuvent accéder aux ressources protégées via l’interface utilisateur Web, les API ou Git lorsque ces derniers utilisent l’une des méthodes d’authentification suivantes.

          **Authentification interactive (web) :**

  • Authentification utilisateur, y compris authentification GitHub, authentification SAML et OIDC

            **Authentification non interactive :**

  • Personal access token

  • Jetons d’application OAuth

  • Clés SSH (y compris les clés de déploiement et les clés SSH utilisées par GitHub Apps

  • Jetons utilisateur‑vers‑serveur ou jetons d’installation de l’application GitHub App, y compris les GitHub ActionsGITHUB_TOKEN

    Remarque

    Les listes d’autorisations IP ne limitent actuellement pas l’accès lorsqu’un GitHub App est installé sur un compte d’utilisateur et utilise des jetons d’installation de serveur à serveur pour accéder à une organisation ou à une entreprise.

La liste d’adresses IP autorisées s’applique aux utilisateurs disposant de n’importe quel rôle ou accès, y compris les propriétaires d’entreprise et d’organisation, les administrateurs de référentiels et les collaborateurs externes.

Vous pouvez approuver l’accès d’une seule adresse IP ou d’une plage d’adresses, en utilisant la notation CIDR. Pour plus d’informations, consultez Notation CIDR sur Wikipedia.

Remarque

  • Seules les organisations qui utilisent GitHub Enterprise Cloud peuvent utiliser des listes d’adresses IP autorisées. Pour plus d’informations sur la façon d’essayer gratuitement GitHub Enterprise Cloud, consultez Configuration d’un essai de GitHub Enterprise Cloud.
  • Si vous configurez une liste d’adresses IP autorisées pour votre organisation, vous ne pourrez pas utiliser GitHub Codespaces pour les dépôts appartenant à l’organisation.

À propos de la gestion des listes d’adresses IP autorisées

Pour appliquer la liste d’adresses IP autorisées, vous devez d’abord ajouter des adresses IP à la liste, puis activer la liste d’adresses IP autorisées. Une fois que vous avez complété votre liste, vous pouvez vérifier si une adresse IP particulière est autorisée par l’une des entrées activées figurant dans la liste.

Vous devez ajouter votre adresse IP actuelle ou une plage correspondante avant d’activer la liste d’adresses IP autorisées.

Si vous configurez une liste verte, vous pouvez également choisir d’y ajouter automatiquement toutes les adresses IP configurées pour les GitHub Apps que vous installez dans votre organisation. Le créateur d’une GitHub App peut configurer une liste autorisée pour son application, en spécifiant les adresses IP autorisées pour l’exécution de l’application. En héritant de sa liste verte dans la vôtre, vous évitez les refus de demandes de connexion de l’application. Pour plus d’informations, consultez Autorisation de l’accès par GitHub Apps.

Vous pouvez également configurer les adresses IP autorisées au niveau du compte d’entreprise, et les entrées de la liste d'autorisation du compte d'entreprise sont héritées par toutes les organisations appartenant à l'entreprise. Les propriétaires de l’organisation peuvent ajouter des entrées supplémentaires à la liste verte pour leurs organisations. Toutefois, ils ne peuvent pas gérer les entrées qui ont été héritées de la liste verte du compte d’entreprise, et les propriétaires de l’entreprise ne peuvent pas gérer les entrées qui sont ajoutées à la liste verte de l’organisation. Pour plus d’informations, consultez Application de stratégies pour les paramètres de sécurité dans votre entreprise.

Avertissement

La perte d’accès aux adresses IP de votre liste d’adresses IP peut entraîner des conséquences inattendues, telles que le verrouillage de votre entreprise ou de votre organisation.

Pour garantir un accès sécurisé et fiable aux ressources de votre entreprise et de votre organisation lors de la création d’une liste d’adresses IP autorisées, tenez compte des éléments suivants :

  • Le maintien de plus d’un propriétaire du compte d’entreprise ou de l’organisation pour lequel la liste d’adresses IP autorisées sera appliquée.
  • Utiliser la notation CIDR pour spécifier une plage d’adresses IP incluant des adresses attribuées dynamiquement, afin de réduire le nombre d’entrées dans la liste d’autorisation.
  • Inclusion d’un réseau statique dans vos adresses IP autorisées, pour l’accès aux sauvegardes en cas de problèmes.

Ajout d’une adresse IP autorisée

Vous pouvez créer une liste d’adresses IP autorisées en ajoutant des entrées qui contiennent chacune une adresse IP ou une plage d’adresses. Une fois que vous avez fini d’ajouter des entrées, vous pouvez vérifier si une adresse IP particulière est autorisée par l’une des entrées activées figurant dans votre liste.

Avant que la liste ne limite l’accès aux ressources privées appartenant aux organisations de votre entreprise, vous devez également activer des adresses IP autorisées.

Remarque

GitHub déploie progressivement la prise en charge du protocole IPv6. Au fur et à mesure que les services GitHub vont poursuivre l’ajout de la prise en charge d’IPv6, les adresses IPv6 des utilisateurs GitHub seront reconnues. Pour éviter toute interruption d’accès éventuelle, veillez à ajouter toutes les adresses IPv6 nécessaires à votre liste d’autorisation IP.

Remarque

En raison de la mise en cache, l’ajout ou la suppression d’adresses IP peut prendre quelques minutes avant de prendre effet.

  1. Dans le coin supérieur droit de GitHub, cliquez sur votre photo de profil, puis sur Vos organisations.

  2. En regard de l’organisation, cliquez sur Paramètres.

  3. Dans la section « Sécurité » de la barre latérale, cliquez sur Sécurité de l'authentification.

  4. En bas de la section « Liste d’adresses IP autorisées », dans le champ « Adresse IP ou plage en notation CIDR », tapez une adresse IP ou une plage d’adresses en notation CIDR.

    Capture d’écran des paramètres de la liste d’adresses IP autorisées. Un champ de texte, intitulé « Adresse IP ou plage en notation CIDR », est mis en évidence avec un contour orange.

  5. Si vous le souhaitez, dans le champ « Brève description de l’adresse IP ou de la plage », entrez une description de l’adresse IP ou de la plage autorisée.

  6. Cliquez sur Ajouter.

  7. Vérifiez éventuellement si une adresse IP particulière serait autorisée par l’une des entrées activées dans votre liste. Pour plus d’informations, consultez Vérification de l’autorisation d’une adresse IP.

Activation des adresses IP autorisées

Après avoir créé une liste d’autorisation IP, vous pouvez activer les adresses IP autorisées. Quand vous activez des adresses IP autorisées, GitHub applique immédiatement toutes les entrées activées figurant dans votre liste d’autorisation IP.

Remarque

Une fois que vous aurez activé une liste d’adresses IP autorisées pour votre organisation, vous ne pourrez plus utiliser GitHub Codespaces pour les dépôts appartenant à l’organisation.

Avant d’activer votre liste d’adresses IP autorisées, vous pouvez vérifier si votre liste autorise une connexion à partir d’une adresse IP particulière. Pour plus d’informations, consultez Vérification de l’autorisation d’une adresse IP.

  1. Dans le coin supérieur droit de GitHub, cliquez sur votre photo de profil, puis sur Vos organisations.
  2. En regard de l’organisation, cliquez sur Paramètres.
  3. Dans la section « Sécurité » de la barre latérale, cliquez sur Sécurité de l'authentification.
  4. Sous « Liste verte d’adresses IP », sélectionnez Activer la liste verte d’adresses IP.
  5. Cliquez sur Enregistrer.

Autorisation de l’accès par GitHub Apps

Si vous utilisez une liste d'autorisation, vous pouvez également choisir d’y ajouter automatiquement toutes les adresses IP définies pour les GitHub Apps que vous installez dans votre organisation.

Si vous sélectionnez Activer la configuration de la liste verte d’adresses IP pour les applications GitHub installées dans les paramètres de votre liste verte, les adresses IP des GitHub Apps installées sont ajoutées à votre liste verte. Cela se produit indépendamment de l’activation ou non de votre liste verte. Si vous installez une GitHub App et que le créateur de cette application modifie les adresses de sa liste verte, votre liste verte est automatiquement mise à jour avec ces modifications.

Vous pouvez identifier les adresses IP qui ont été automatiquement ajoutées à partir de GitHub Apps en consultant le champ de description. La description de ces adresses IP est la suivante : « Géré par l’application GitHub NAME ». Contrairement aux adresses que vous ajoutez manuellement, vous ne pouvez pas modifier, supprimer ou désactiver les adresses IP qui sont automatiquement ajoutées à partir de GitHub Apps.

Remarque

Les adresses figurant dans la liste des adresses IP autorisées d'une GitHub App n'affectent que les requêtes effectuées par les installations de la GitHub App. L’ajout automatique d’une adresse IP de GitHub App à la liste verte d’une organisation n’autorise pas l’accès à un utilisateur GitHub qui se connecte à partir de cette adresse IP.

Pour plus d'informations sur la création d'une liste d'autorisations pour une GitHub App que vous avez créée, consultez Gestion des adresses IP autorisées pour une application GitHub.

  1. Dans le coin supérieur droit de GitHub, cliquez sur votre photo de profil, puis sur Vos organisations.
  2. En regard de l’organisation, cliquez sur Paramètres.
  3. Dans la section « Sécurité » de la barre latérale, cliquez sur Sécurité de l'authentification.
  4. Sous « liste d'autorisation IP », sélectionnez Activer la configuration de la liste d'autorisation IP pour les applications GitHub installées.
  5. Cliquez sur Enregistrer.

Modification d’une adresse IP autorisée

Vous pouvez modifier une entrée dans votre liste d’autorisation IP. Si vous modifiez une entrée activée, les modifications s’appliquent immédiatement.

Une fois que vous avez terminé de modifier les entrées, vous pouvez vérifier si votre liste autorise une connexion à partir d’une adresse IP particulière une fois que vous avez activé la liste.

  1. Dans le coin supérieur droit de GitHub, cliquez sur votre photo de profil, puis sur Vos organisations.
  2. En regard de l’organisation, cliquez sur Paramètres.
  3. Dans la section « Sécurité » de la barre latérale, cliquez sur Sécurité de l'authentification.
  4. Sous « Liste d’adresses IP autorisées », à côté de l’entrée que vous souhaitez modifier, cliquez sur Modifier.
  5. Dans le champ « Adresse IP », tapez une adresse IP, ou une plage d’adresses, en notation CIDR.
  6. Dans le champ « Description », tapez une description de l’adresse IP ou de la plage autorisée.
  7. Cliquez sur Mettre à jour.
  8. Vérifiez éventuellement si une adresse IP particulière serait autorisée par l’une des entrées activées dans votre liste. Pour plus d’informations, consultez Vérification de l’autorisation d’une adresse IP.

Vérification de l’autorisation d’une adresse IP

Vous pouvez vérifier si une adresse IP particulière serait autorisée par l’une des entrées activées dans votre liste d’autorisation IP, même si la liste n’est actuellement pas activée.

  1. Dans le coin supérieur droit de GitHub, cliquez sur votre photo de profil, puis sur Vos organisations.
  2. En regard de l’organisation, cliquez sur Paramètres.
  3. Dans la section « Sécurité » de la barre latérale, cliquez sur Sécurité de l'authentification.
  4. À la fin de la section « Liste d’adresses IP autorisées », sous « Vérifier l’adresse IP », entrez une adresse IP.
    Capture d’écran du champ de texte « Vérifier votre adresse IP ».

Suppression d’une adresse IP autorisée

Remarque

En raison de la mise en cache, l’ajout ou la suppression d’adresses IP peut prendre quelques minutes avant de prendre effet.

  1. Dans le coin supérieur droit de GitHub, cliquez sur votre photo de profil, puis sur Vos organisations.
  2. En regard de l’organisation, cliquez sur Paramètres.
  3. Dans la section « Sécurité » de la barre latérale, cliquez sur Sécurité de l'authentification.
  4. Sous « Liste d’adresses IP autorisées », à côté de l’entrée que vous souhaitez supprimer, cliquez sur Supprimer.
  5. Pour supprimer définitivement l’entrée, cliquez sur Oui, supprimer cette entrée de la liste verte d’adresses IP.

Utilisation de GitHub Actions avec une liste d'autorisation d'adresses IP

Avertissement

Si vous utilisez une liste d'autorisations IP et souhaitez également utiliser GitHub Actions, vous devez utiliser des runners auto-hébergés ou des runners plus importants hébergés par GitHub avec des plages d'adresses IP statiques. Lorsque vous utilisez une mise en réseau privée Azure, vous devez utiliser les adresses IP de votre sous-réseau Azure. Pour réduire le nombre d’adresses IP requises, nous vous recommandons de créer un équilibreur de charge pour fournir une plage d’adresses IP unique à la liste verte GitHub. Pour plus d’informations, consultez Documentation de référence relative aux runners auto-hébergés ou Exécuteurs plus grands.

Pour permettre à vos exécuteurs auto-hébergés ou hébergés plus grands de communiquer avec GitHub, ajoutez l’adresse IP ou la plage d’adresses IP de vos exécuteurs à la liste d’adresses IP autorisées que vous avez configurée pour votre entreprise.

Utilisation de GitHub Pages avec une liste d’autorisation d’adresses IP

Si vous utilisez un flux de travail GitHub Actions personnalisé comme source de publication pour votre site GitHub Pages pour permettre à l’exécuteur de se connecter et de créer le site, vous devez configurer une règle pour votre liste verte d’adresses IP.

Si vous n’utilisez pas de flux de travail personnalisé, l’exécuteur créé aura l’accès au référentiel du site GitHub Pages par défaut. Pour plus d'informations sur les sources de publication, consultez Configuration d’une source de publication pour votre site GitHub Pages.