1.1ユーザー ID と認証

GitHub Enterprise の管理者にとって、最初の責務は「誰が・どうログインし・何にアクセスできるか」を統制することです。GH-100 ではまず、ID の種類 と 認証 の仕組みを理解します。大きな分岐は、企業が ID プロバイダー（IdP）で完全管理する マネージドユーザー（EMU） か、各自が持つ 個人アカウント（personal account） を組織に招くか、です。

1.1.1マネージドユーザー vs 個人アカウント

個人アカウント は利用者自身が作り所有する GitHub アカウントで、組織に 招待 して参加させます（GitHub.com の通常の使い方）。一方 Enterprise Managed Users（EMU） では、ユーザーアカウントを 企業の IdP が一元的にプロビジョニング・管理 し、利用者は IdP 経由でのみログインします。EMU のアカウントは 企業の管理下 にあり、外部の公開活動と分離され、退職時には IdP 側で無効化すると即座にアクセスが切れます。「自分のアカウントを持ち込む（個人）」か「会社が配るアカウントを使う（EMU）」かが本質的な違いです。

1.1.2SAML SSO と 2FA

SAML SSO（シングルサインオン） を構成すると、組織/Enterprise のメンバーは IdP（Entra ID・Okta 等） で認証してから GitHub にアクセスします。これにより、企業の認証ポリシー（条件付きアクセス等）を効かせ、退職者のアクセスを一括で止められます。2 要素認証（2FA） は、パスワードに加えもう 1 つの要素を要求するもので、組織で 必須化 できます（強制すると、未設定のメンバーは設定するまでアクセスが制限される）。SAML SSO と 2FA は、なりすましや認証情報漏洩への基本防御です。

1.1.3SCIM とチーム同期

認証（SAML SSO）が「ログイン」を担うのに対し、SCIM は アカウントのプロビジョニング/デプロビジョニング（IdP での作成・更新・削除を GitHub に同期）を担います。SCIM を構成すると、IdP で無効化したユーザーが GitHub からも 自動的に削除 され、退職時の取り残しを防げます。チーム同期（team synchronization） は、IdP のグループを GitHub の チームメンバーシップ に対応づけ、グループの増減を自動でチームへ反映します。「SAML＝認証」「SCIM＝アカウントの自動管理」「チーム同期＝グループ→チームの自動反映」と整理します。

1.1.4この節のまとめ

• 個人アカウント（招待・本人所有）と EMU（企業 IdP が完全管理・IdP 経由のみログイン）の違い
• SAML SSO＝認証、2FA＝多要素（必須化可）
• SCIM＝アカウントの自動プロビジョニング/削除、チーム同期＝IdP グループ→GitHub チーム
• SAML だけでは自動削除されない＝退職者対応は SCIM