GitHub Apps 企业级安装功能正式全面可用（GA）
英文标题：Enterprise installations for GitHub Apps generally available
GitHub 宣布在企业账户中安装 GitHub Apps 的功能现已正式全面可用（General Availability）。随着治理、安全和管理等领域 API 与 GraphQL 支持的扩展，企业可以使用更安全、权限更细粒度的 GitHub Apps 替代传统的经典个人访问令牌（classic PATs）。此更新还补齐了组织层面的多处能力缺口，并将在 GitHub Enterprise Server（GHES）3.24 中同步上线。这一举措有助于企业自动化工作流实现更严格的最小权限控制和集中化策略治理。
116.7 KB
13.5 KB
173.9 KB
中文
在企业账户中安装 GitHub Apps 现已正式全面可用（General Availability）。借助下文详述的扩展 API 支持，您可以在更多企业和组织的自动化工作流中，使用 GitHub Apps 替代经典的个人访问令牌（classic PATs）。这些新增和扩展的权限主要聚焦于企业的治理、安全和管理设置，同时补齐了组织级别的两处支持缺口。
- 治理（Governance）： 管理企业级代码仓库策略和规则集（rulesets），并读取委托的绕过请求（delegated bypass requests）。
- 安全（Security）： 配置双重身份验证（2FA）要求、验证域名、管理 IP 允许列表（IP allowlists），以及控制企业访问限制。
- 管理（Administration）： 更新企业资料，并在整个企业范围内管理成员特权和代码仓库访问设置。
在您的 GitHub App 设置中选择工作流所需的权限。
| 权限 | 访问级别 | 新支持的 API 与 GraphQL 数据 |
|---|---|---|
| 企业组织与代码仓库策略（Enterprise organization and repository policies） | 读/写（Read/write） | 读取 EnterpriseOwnerInfo 上的策略字段。更新私有仓库派生（private repository forking）、默认仓库权限、仓库可见性更改、仓库创建、仓库删除、Issue 删除、协作者邀请、部署密钥（deploy keys）、受保护分支更新、依赖项洞察设置（dependency insights setting）、组织项目设置以及代码仓库项目。 |
| 企业绕过请求（Enterprise bypass requests） | 只读（Read） | 读取推送规则和仓库策略绕过请求。 |
| 企业设置（Enterprise settings） | 读/写（Read/write） | 通过 EnterpriseOwnerInfo 读取企业数据，包括服务器安装和组织邀请。更新企业资料。要访问企业组织和仓库策略，必须具备读取权限。 |
| 企业双重身份验证（Enterprise two-factor authentication） | 读/写（Read/write） | 读取 EnterpriseOwnerInfo 上的双重身份验证字段。更新双重身份验证要求和禁止的身份验证方法。 |
| 企业可验证域名；组织可验证域名（Enterprise verifiable domains; organization verifiable domains） | 写入（Write） | 访问企业或组织的 VerifiableDomains。 |
| 企业 IP 允许列表；组织 IP 允许列表（Enterprise IP allowlist; organization IP allowlist） | 读/写（Read/write） | 访问 IpAllowListEntry 及关联的 mutation 操作，以在企业或组织 IP 允许列表中创建、更新和删除条目。同时支持切换允许列表强制执行、信任 GitHub Apps 以及针对企业托管用户（Enterprise Managed Users）的用户级强制执行。 |
| 企业访问限制（Enterprise access restrictions） | 写入（Write） | 启用或禁用企业访问限制。 |
| 企业仓库规则集（Enterprise repository rulesets） | 写入（Write） | 通过企业规则 REST API 和 GraphQL 中的 RepositoryRuleset 管理规则集。 |
此前，部分 API 和对象对 GitHub Apps 的支持存在缺口。这些修复将利用上述权限解锁更多自动化场景。
要开始使用，请为您要迁移的工作流为您的 GitHub App 选择权限。
这些更新将在 GHES 3.24 中提供。有关将 GraphQL 与 GitHub App 搭配使用的详细信息，请参阅使用 GraphQL 管理企业账户。如需深入了解企业应用安装，请参阅在您的企业中安装 GitHub App。
English / 原文
Installing GitHub Apps on your enterprise is now generally available. You can replace classic PATs with GitHub Apps in more of your enterprise and organization automation with the expanded API support detailed below. These new and expanded permissions are focused on governance, security, and administrative settings for your enterprise, with two gaps at the organization level also closed.
- Governance: Manage enterprise-level repository policies and rulesets as well as read delegated bypass requests.
- Security: Configure two-factor authentication requirements, verify domains, manage IP allowlists, and control enterprise access restrictions.
- Administration: Update enterprise profiles and manage both member privileges and repository access settings across the enterprise.
Choose the permissions your workflow needs in your GitHub App settings.
| Permission | Access | Newly supported APIs and GraphQL data |
|---|---|---|
| Enterprise organization and repository policies | Read/write | Read policy fields on EnterpriseOwnerInfo. Update private repository forking, default repository permissions, repository visibility changes, repository creation, repository deletion, issue deletion, collaborator invitations, deploy keys, protected branch updates, dependency insights setting, organization projects setting, and repository projects. |
| Enterprise bypass requests | Read | Read push-rule and repository-policy bypass requests. |
| Enterprise settings | Read/write | Read enterprise data through EnterpriseOwnerInfo, including server installations and organization invitations. Update the enterprise profile. Read is required for access to the enterprise organization and repository policies. |
| Enterprise two-factor authentication | Read/write | Read two-factor fields on EnterpriseOwnerInfo. Update two-factor requirements and disallowed authentication methods. |
| Enterprise verifiable domains; organization verifiable domains | Write | Access VerifiableDomains for enterprises or organizations. |
| Enterprise IP allowlist; organization IP allowlist | Read/write | Access IpAllowListEntry and associated mutations to create, update, and delete entries on an enterprise or organization IP allowlist. Also toggle allowlist enforcement, trust of GitHub Apps, and user-level enforcement for Enterprise Managed Users. |
| Enterprise access restrictions | Write | Enable or disable enterprise access restrictions. |
| Enterprise repository rulesets | Write | Manage rulesets through the enterprise rules REST APIs and RepositoryRuleset in GraphQL. |
Some APIs and objects had gaps in their support for GitHub Apps. These fixes should unblock more automation scenarios with those permissions.
To get started, choose permissions for your GitHub App for the workflows you want to migrate.
These updates will be available in GHES 3.24. For details on using GraphQL with a GitHub App, see Managing an enterprise account with GraphQL. To learn more about enterprise app installations, see Installing a GitHub App on your enterprise.