Aplicando políticas para configurações de segurança na sua empresa

É possível impor políticas para gerenciar as configurações de segurança nas organizações da sua empresa ou permitir que as políticas sejam definidas em cada organização.

Quem pode usar esse recurso?

Enterprise owners can enforce policies for security settings in an enterprise.

Neste artigo

Sobre políticas para configurações de segurança na sua empresa

Você pode impor políticas para controlar as configurações de segurança para organizações pertencentes à sua empresa. Por padrão, os proprietários da organização podem gerenciar as configurações de segurança.

Exigir autenticação de dois fatores para organizações na sua empresa

Observação

A partir de março de 2023, o GitHub exigiu que todos os usuários que contribuem com código do GitHub.com habilitassem uma ou mais formas de autenticação de dois fatores (2FA). Se você estiver em um grupo qualificado, deve ter recebido um email de notificação quando esse grupo foi selecionado para inscrição, marcando o início de um período de registro de 45 dias para o 2FA. E você deve ter visto banners solicitando seu registro no 2FA no GitHub.com. Se você não recebeu uma notificação, é porque não fazia parte de um grupo de quem é exigido habilitar o 2FA, embora seja altamente recomendável.

Para obter mais informações sobre a distribuição de registro 2FA, confira esta postagem no blog.

Os proprietários da empresa podem exigir que os membros da organização, os gerentes de cobrança e os colaboradores externos em todas as organizações de propriedade de uma empresa usem a autenticação de dois fatores para proteger as respectivas contas de usuário. Essa política não está disponível para empresas com usuários gerenciados.

Antes de poder exigir a autenticação de dois fatores (2FA) para todas as organizações pertencentes à sua empresa, você deve habilitar o 2FA para sua própria conta. Para saber mais, confira Proteger sua conta com a autenticação de dois fatores (2FA).

Antes de exigir o uso da autenticação de dois fatores, é recomendável notificar os integrantes da organização, colaboradores externos e gerentes de cobrança e pedir que eles configurem 2FA nas contas deles. Os proprietários da organização podem ver se integrantes e colaboradores externos já utilizam 2FA na página "People" de cada organização. Para saber mais, confira Ver se os usuários da organização habilitaram a 2FA.

Aviso

  • Quando você exige a autenticação de dois fatores para sua empresa, colaboradores externos (incluindo contas bot) em todas as organizações pertencentes à empresa que não utilizam a 2FA são removidos da organização e perdem o acesso aos repositórios dela. Eles também perderão acesso às bifurcações dos repositórios privados da organização. Você poderá restabelecer as configurações e os privilégios de acesso deles se a 2FA for habilitada na conta deles em até três meses após a remoção da organização. Para saber mais, confira Como reinstaurar um antigo membro da sua organização.
  • Qualquer colaborador externo em qualquer uma das organizações pertencentes à sua empresa que desabilitar a 2FA para a conta dele depois que você tiver habilitado a autenticação de dois fatores obrigatória será removido automaticamente da organização. Membros que desabilitarem a 2FA não poderão acessar os recursos da organização até que a habilitem novamente.
  • Se você for o único proprietário de uma empresa que exige autenticação de dois fatores, não poderá desabilitar a 2FA para sua conta de usuário sem desabilitar a 2FA obrigatória para a empresa.

Observação

Alguns dos usuários em suas organizações podem ter sido selecionados para o registro obrigatório de autenticação de dois fatores pelo GitHub.com, mas isso não tem impacto sobre como você habilita o requisito de 2FA para as organizações na sua empresa. Se você habilitar o requisito de Autenticação de Dois Fatores (2FA) para organizações na sua empresa, os colaboradores externos que atualmente não têm a 2FA habilitada serão removidos das organizações, incluindo aqueles que são obrigados a habilitá-la pelo GitHub.com.

  1. Navegue até sua empresa. Por exemplo, na página Enterprises em GitHub.com.

  2. Na parte superior da página, clique em Settings.

  3. Em Settings, clique em Authentication security.

  4. Em "Two-factor authentication" (Autenticação de dois fatores), revise as informações sobre como alterar a configuração. Opcionalmente, para ver a configuração atual de todas as organizações na conta corporativa antes de alterar a configuração, clique em View your organizations' current configurations.

    Captura de tela de uma política nas configurações da empresa. Um link, rotulado como "View your organizations' current configurations", está contornado.

  5. Em "Two-factor authentication", selecione Exigir autenticação de dois fatores para a empresa e todas as suas organizações e clique em Salvar.

  6. Se solicitado, leia as informações sobre como o acesso do usuário aos recursos da organização será afetado por um requisito de 2FA. Para confirmar a alteração, clique em Confirmar.

  7. Como alternativa, se algum colaborador externo for removido das organizações pertencentes à sua empresa, recomendamos enviar um convite para restabelecer os privilégios e o acesso à organização que ele tinha anteriormente. Cada pessoa precisa habilitar a 2FA para poder aceitar o convite.

Exigindo métodos seguros de autenticação de dois fatores para organizações em sua empresa

Além de exigir a autenticação de dois fatores, os proprietários corporativos podem exigir que membros, gerentes de cobrança e colaboradores externos de todas as organizações pertencentes a uma empresa usem métodos seguros de 2FA. Métodos seguros de dois fatores são chaves de passagem, chaves de segurança, aplicativos autenticadores e o aplicativo móvel GitHub. Usuários que não tiverem um método seguro de 2FA configurado ou que tiverem qualquer método inseguro configurado serão impedidos de acessar recursos de quaisquer organizações de propriedade de uma empresa. Essa política não está disponível para empresas com usuários gerenciados.

Antes de exigir métodos seguros para a autenticação de dois fatores, é recomendável notificar os membros, colaboradores externos e gerentes de cobrança da organização e pedir que eles configurem a 2FA segura nas contas deles. Proprietários da organização podem ver se membros e colaboradores externos já utilizam métodos seguros de 2FA na página People de cada organização. Para saber mais, confira Ver se os usuários da organização habilitaram a 2FA.

  1. Em "Two-factor authentication", selecione Require two-factor authentication for the enterprise and all of its organizations e Only allow secure two-factor methods e clique em Save.
  2. Se solicitado, leia as informações sobre como o acesso do usuário aos recursos da organização será afetado pela exigência de métodos de 2FA seguros. Para confirmar a alteração, clique em Confirmar.
  3. Como alternativa, se colaboradores externos forem removido das organizações pertencentes à sua empresa, recomendamos enviar um convite para restabelecer os privilégios e o acesso à organização que eles tinham anteriormente. Cada pessoa precisa habilitar a 2FA com um método seguro para poder aceitar o convite.

Gerenciando as autoridades de certificados de SSH da sua empresa

Você pode usar uma autoridade certificadora (CA) SSH para permitir que membros de qualquer organização pertencente às suas empresas acessem os repositórios dessas organizações usando os certificados SSH fornecidos por você. Se sua empresa usa Enterprise Managed Users, os membros enterprise também podem ter permissão para usar o certificado para acessar repositórios de propriedade pessoal. Você pode exigir que os membros usem certificados SSH para acessar os recursos da organização. Para obter mais informações, consulte Sobre autoridades certificadas de SSH.

A cada emissão de certificado do cliente, você precisa incluir uma extensão que especifica o usuário do GitHub para quem o certificado se destina. Para saber mais, confira Sobre autoridades certificadas de SSH.

Adicionar uma autoridade certificada de SSH

Se você precisar de certificados SSH para sua empresa, os integrantes da empresa deverão usar um URL especial para operações do Git por meio do SSH. Para saber mais, confira Sobre autoridades certificadas de SSH.

Cada autoridade de certificação só pode ser carregada em uma única conta no GitHub. Se uma autoridade de certificação SSH foi adicionada a uma conta da organização ou da empresa, você não pode adicionar a mesma autoridade de certificação a outra conta da organização ou da empresa no GitHub.

Se você adicionar uma autoridade de certificação a uma empresa e outra autoridade de certificação a uma organização na empresa, qualquer autoridade de certificação poderá ser usada para acessar os repositórios da organização.

  1. Navegue até sua empresa. Por exemplo, na página Enterprises em GitHub.com.

  2. Na parte superior da página, clique em Settings.

  3. Em Settings, clique em Authentication security.

  4. À direita de "Autoridades de Certificação SSH", clique em Nova AC.

  5. Em "Key," cole sua chave pública SSH.

  6. Clique em Adicionar AC.

  7. Opcionalmente, para exigir que os membros usem certificados SSH, selecione Exigir Certificados SSH e clique em Salvar.

    Observação

    Quando você exige certificados SSH, os usuários não poderão se autenticar para acessar os repositórios da organização por HTTPS ou com uma chave SSH não assinada, independentemente de a chave SSH estar autorizada para uma organização que requer autenticação por meio de um sistema de identidade externo.

    O requisito não se aplica a GitHub Apps autorizados (incluindo tokens do usuário para o servidor), chaves de implantação, ou a recursos do GitHub, como GitHub Actions e Codespaces, que são ambientes confiáveis no ecossistema do GitHub.

Gerenciando o acesso a repositórios de propriedade do usuário

Você pode habilitar ou desabilitar o acesso a repositórios de propriedade do usuário com um certificado SSH se sua empresa usar contas de usuário gerenciadas. No entanto, se sua empresa usa contas pessoais em GitHub.com, os membros não podem usar o certificado para acessar repositórios de propriedade pessoal.

  1. Navegue até sua empresa. Por exemplo, na página Enterprises em GitHub.com.
  2. Na parte superior da página, clique em Settings.
  3. Em Settings, clique em Authentication security.
  4. Em "Autoridades de Certificação SSH", marque a caixa de seleção Acessar repositório de propriedade do usuário.

Excluir uma autoridade certificada de SSH

A exclusão de uma CA não pode ser desfeita. Se você quiser usar a mesma CA no futuro, precisará fazer upload dela novamente.

  1. Navegue até sua empresa. Por exemplo, na página Enterprises em GitHub.com.
  2. Na parte superior da página, clique em Settings.
  3. Em Settings, clique em Authentication security.
  4. Em "Autoridades de Certificado SSH", à direita da AC que deseja excluir, clique em Excluir.
  5. Leia o aviso e clique em Entendi. Excluir esta AC.

Como gerenciar o SSO para usuários não autenticados

Observação

O redirecionamento automático de usuários para entrar está em versão prévia pública para Enterprise Managed Users e está sujeito a alterações.

Se a sua empresa usa Enterprise Managed Users, você pode escolher o que os usuários não autenticados veem ao tentar acessar os recursos da sua empresa. Para mais informações sobre Enterprise Managed Users, confira Sobre os Enterprise Managed Users.

Por padrão, para ocultar a existência de recursos privados, quando um usuário não autenticado tenta acessar sua empresa, o GitHub exibe um erro 404.

Para evitar confundir os desenvolvedores, altere esse comportamento habilitando a configuração "Automatically redirect users to sign in" para que os usuários sejam redirecionados automaticamente para o SSO (logon único) por meio do IdP (provedor de identidade). Quando você habilita essa configuração, qualquer pessoa que visita a URL de qualquer um dos recursos da sua empresa pode ver que tais recursos existem. No entanto, eles só poderão ver o recurso se tiverem as devidas permissões de acesso após a autenticação no seu IdP.

Definir essa configuração também afeta Enterprise Managed Users que usam o GCM (Gerenciador de Credenciais do Git). Para mais detalhes, consulte o repositório git-credential-manager

Se "Automatically redirect users to sign in" estiver habilitado, o GitHub enviará as dicas de servidor que permitem que o GCM filtre automaticamente contas para seus membros corporativos. Se a configuração estiver desabilitada, os usuários que usam o GCM deverão desativar a filtragem de conta localmente no GCM para evitar serem solicitados a se autenticar sempre que executam uma operação Git. Para ver mais detalhes, confira Armazenando suas credenciais de GitHub em cache no Git.

Observação

Se um usuário estiver conectado na conta pessoal dele ao tentar acessar um dos recursos da sua empresa, ele será automaticamente desconectado e redirecionado para o SSO para entrar no respectivo conta de usuário gerenciada. Para saber mais, confira Como gerenciar várias contas.

  1. Navegue até sua empresa. Por exemplo, na página Enterprises em GitHub.com.
  2. Na parte superior da página, clique em Provedor de identidade.
  3. Em Identity Provider, clique em Single sign-on configuration.
  4. Em "Configurações de logon único", marque ou desmarque Redirecionar automaticamente os usuários para entrar.

Leitura adicional

  •         [AUTOTITLE](/admin/identity-and-access-management/using-saml-for-enterprise-iam/about-saml-for-enterprise-iam)

  •         [AUTOTITLE](/admin/overview/accessing-compliance-reports-for-your-enterprise)

  •         [AUTOTITLE](/admin/configuration/configuring-your-enterprise/restricting-network-traffic-to-your-enterprise-with-an-ip-allow-list)