企業での SSO 承認の取り消しまたは資格情報の削除

企業がセキュリティインシデントの影響を受けた場合は、企業またはその組織へのプログラムによるアクセスを防ぐことで対応できます。

使用可能なアクション:

SSO 承認を取り消して、 企業内のユーザー資格情報の SSO で保護された組織リソースへのアクセスを削除します。
キーとトークンを削除して、エンタープライズ内のユーザートークンと SSH キーを削除します (SSO 承認がない場合でも (Enterprise Managed Usersのみ)。

エンタープライズ設定の [認証セキュリティ] セクションでは、シングルサインオン (SSO) が承認されているユーザートークンとキーの数を確認できます。その後、必要に応じて、資格情報に対してアクションを実行できます。

個々のメンバーの場合: SSO 承認を取り消すか、特定のユーザーの資格情報を削除します。対象となるインシデントに応答したり、定期的なアクセスのクリーンアップを実行したりします。
特定の資格情報の種類の場合: SSO 承認を取り消すか、選択した種類の資格情報 ( personal access tokens (classic)のみなど) を企業全体で削除します。
すべてのメンバー (一括アクション): SSO 承認を取り消す一括アクションを実行するか、主要なセキュリティインシデントに対応する場合など、すべてのメンバーとサポートされているすべての資格情報の種類で資格情報を削除します。

これらのアクションは、AUTOTITLE を使用して実行することもできます。

メモ

組織の所有者は、 GitHub UI または組織のREST APIエンドポイントを使用して、組織レベルで同じアクションを実行できます。詳しくは、「組織に対するメンバーの SAML アクセスの表示と管理」をご覧ください。

認証セキュリティページへのアクセス

企業ページに移動してください。たとえば、GitHub.com の [Enterprise] ページから。
ページの上部にある [ Settings] をクリックします。
左側のサイドバーで、[ 認証セキュリティ] をクリックします。

資格情報の確認

[資格情報] セクションでは、企業内の組織に対して 少なくとも 1 つの SSO 承認 を持つ各種類の資格情報の数を確認できます。詳しくは、「シングルサインオンでの認証について」をご覧ください。

カウントには次のものが含まれます。

Fine-grained personal access tokens
Personal access tokens (classic)
ユーザー SSH キー
GitHub AppおよびOAuth appユーザーアクセストークン

トークンの種類が 10,000 以下の場合、正確な数が表示されます。その図の上に、説明 10k+ tokens が表示されます。

使用可能なアクションについて

次のセクションでは、各アクションの動作、SSO の承認または資格情報が影響を受ける内容、および関連する監査ログイベントについて説明します。

メモ

企業が**** を使用Enterprise Managed Users、SAML SSO を有効にしていない場合は、どちらのアクションも使用できません。別の方法として、インシデント対応の一部としてユーザーが personal access tokens を置き換える必要がある場合は、すべての personal access tokensの有効期限が切れるエンタープライズポリシーを構成できます。「Enterprise 内の個人用アクセストークンに対するポリシーの適用」を参照してください。

既定では、各アクションは、それをサポートするすべての資格情報の種類を対象とします。代わりに、アクションのスコープを 1 つの資格情報の種類 ( personal access tokens (classic) やユーザー SSH キーなど) に設定して、他の資格情報を中断することなくインシデントを含めることができます。各アクションをサポートする資格情報の種類については、「含まれている資格情報」を参照してください。

SSO 認可を取り消す

このアクションは、SAML SSO を使用する Enterprise Managed Users または企業で使用できます。

承認を取り消す場合、ユーザートークンと SSH キーの SSO 承認が削除されます、特定のユーザー、すべてのユーザー、または特定の資格情報の種類に対して、企業内のすべての組織で。

SSO 承認が取り消された資格情報は、影響を受ける組織に対して 再承認することはできません 。アクセスを復元するには、ユーザーが新しい資格情報を作成して承認する必要があります。
資格情報自体は削除されず、ユーザースコープとエンタープライズスコープ、および SSO で保護されていない組織に対するアクセス許可 はアクティブなままです。
SSO が承認されていない資格情報は 影響を受けません。

** fine-grained personal access tokens **の承認は動作が異なるので、このアクションは、このトークンの種類に対して異なる影響を与えます。組織が "リソース所有者" であるきめ細かい PAT、リソース所有者は削除され、組織のリソースへのアクセスは削除されます。ユーザーは、リソース所有者を組織アカウントに戻すことができます。承認が必要な場合があります ( Enterprise 内の個人用アクセストークンに対するポリシーの適用を参照)。

キーとトークンを削除する

このアクションは、 Enterprise Managed Users でのみ使用できます。

キーとトークンを削除すると、SSO が承認されているかどうかに関係なく特定のユーザー、すべてのユーザー、または特定の資格情報の種類に対して、エンタープライズにアクセスできる資格情報が削除されます。資格情報が機能しなくなり、UI に表示されなくなります。

たとえば、そのメンバーの SSH キーに影響を与えずに、個々のメンバーのすべての personal access tokens を削除できます。プログラムによるアクセスを復元するには、ユーザーは新しい資格情報を作成し、必要に応じて組織で承認し、影響を受けるプロセスを更新して新しい資格情報を使用する必要があります。

含まれている資格情報

どちらのアクションにも、次の資格情報の種類が含まれます。

ユーザー SSH キー
OAuth apps ユーザーアクセストークン (ghu_)
GitHub App ユーザーアクセストークン
Personal access tokens (classic)
Fine-grained personal access tokens

上記で説明したように、"承認の取り消し" アクションは fine-grained personal access tokensで動作が異なされることに注意してください。

次の資格情報の種類は影響を受 けません 。

GitHub App インストールトークン (ghs_)
Fine-grained personal access tokens
デプロイキー
GitHub Actions GITHUB_TOKEN アクセス

メモ

"キーとトークンの削除" アクションによってそのトークンが削除されると、 personal access token または OAuth app トークンで作成されたデプロイキーが削除されます。 Web インターフェイスまたは GitHub App ユーザーアクセストークンを使用して作成されたキーのデプロイは影響を受けません。「デプロイキー用の REST API エンドポイント」を参照してください。

監査およびセキュリティログイベント

"承認の取り消し" アクションでは、特定のユーザー、特定の資格情報の種類、またはすべてのメンバーにスコープが設定されているかどうかに関係なく、次のイベントが生成されます。

org_credential_authorization.deauthorize
org_credential_authorization.revoke
personal_access_token.access_revoked

"トークンの削除" アクションでは、これらのイベントも生成され、さらに次のイベントが生成されます。

oauth_access.destroy
personal_access_token.destroy

影響を受けるユーザーは、SSO 承認が取り消されるか、アクションがエンタープライズ所有者によって開始されたか、ユーザー自身によって開始されたかに関係なく、資格情報が削除されたときに電子メール通知を受け取ります。

個々のメンバーに対するアクションの実行

SSO 承認を取り消すか、特定のユーザーの資格情報を削除できます。これは、侵害されたアカウントやハードウェアの紛失など、個々のアカウントに影響を与えるインシデントに対応したり、定期的なアクセスのクリーンアップに役立ちます。

特定のユーザーの承認の取り消し

企業ページに移動してください。たとえば、GitHub.com の [Enterprise] ページから。
ページの上部にある [ Settings] をクリックします。
左側のサイドバーで、[ 認証セキュリティ] をクリックします。
[危険ゾーン] セクションで、[▼の 取り消し] をクリックし、[ 特定のユーザー] をクリックします。
権限を取り消すユーザーを選択します。
確認するには、「 USERNAME credentials 」と入力します ( USERNAME をユーザーのユーザー名に置き換えます)。
[ 承認の取り消し] をクリックします。

特定のユーザーの資格情報の削除

このアクションは、 Enterprise Managed Users でのみ使用できます。

企業ページに移動してください。たとえば、GitHub.com の [Enterprise] ページから。
ページの上部にある [ Settings] をクリックします。
左側のサイドバーで、[ 認証セキュリティ] をクリックします。
「Danger zone」セクションで、▼ の削除 をクリックし、次に 特定のユーザー をクリックします。
資格情報を削除するユーザーを選択します。
確認するには、「 USERNAME credentials 」と入力します ( USERNAME をユーザーのユーザー名に置き換えます)。
[ キーとトークンの削除] をクリックします。

特定の資格情報の種類に対するアクションの実行

他の資格情報の種類に影響を与えずに、SSO 承認を取り消したり、企業全体で 1 つの種類の資格情報を削除することができます。たとえば、ユーザーの SSH キーやその他の資格情報の種類はそのままにしたまま、すべての personal access tokens (classic) の SSO 承認を取り消すことができます。