如何在GitHub Team计划下关联个人GitHub与企业Gmail管理组织权限

核心思路：绑定企业Gmail+组织成员规则自动化 #

1. 强制组织成员关联并验证企业Gmail #

在GitHub Team组织的设置中，开启邮箱验证规则，确保所有成员账号绑定企业Gmail：

• 进入组织「Settings」→「Member privileges」，找到「Email requirements」，勾选「Require members to have a verified email address from the following domains」，添加你的企业Gmail域名（例如@yourcompany.com）。
• 新成员必须验证该域名邮箱才能访问组织资源，现有成员也会被要求补充验证，从根源上确保成员账号与企业身份挂钩。

2. 用GitHub Actions实现离职自动移除 #

员工离职后Gmail会被禁用，对应的GitHub邮箱验证状态失效，通过GitHub Actions定期检查并清理不符合要求的成员：

• 创建一个专门用于组织管理的仓库（比如org-member-management），编写Workflow文件（.github/workflows/clean-unverified-members.yml）：

  name: Clean Unverified Members
  on:
    schedule:
      - cron: '0 0 * * *' # 每日凌晨自动执行
    workflow_dispatch: # 支持手动触发紧急清理
  
  jobs:
    clean-members:
      runs-on: ubuntu-latest
      steps:
        - name: Checkout code
          uses: actions/checkout@v4
        
        - name: Set up Node.js
          uses: actions/setup-node@v4
          with:
            node-version: '20'
        
        - name: Install GitHub API SDK
          run: npm install @octokit/rest
        
        - name: Remove members without verified enterprise email
          env:
            GITHUB_TOKEN: ${{ secrets.ORG_ADMIN_TOKEN }}
            ORG_NAME: '你的组织名称'
            REQUIRED_DOMAIN: 'yourcompany.com'
          run: |
            node << 'EOF'
            const { Octokit } = require('@octokit/rest');
            const octokit = new Octokit({ auth: process.env.GITHUB_TOKEN });
  
            async function cleanUnverified() {
              const org = process.env.ORG_NAME;
              const domain = process.env.REQUIRED_DOMAIN;
              
              const { data: members } = await octokit.orgs.listMembers({ org, per_page: 100 });
              
              for (const member of members) {
                const { data: emails } = await octokit.users.listEmailsForUser({ username: member.login });
                const hasValidEmail = emails.some(email => email.verified && email.email.endsWith(`@${domain}`));
                
                if (!hasValidEmail) {
                  console.log(`移除成员：${member.login}（未验证企业邮箱）`);
                  await octokit.orgs.removeMember({ org, username: member.login });
                }
              }
            }
  
            cleanUnverified().catch(err => {
              console.error(err);
              process.exit(1);
            });
            EOF
  

• 生成一个拥有组织管理员权限的GitHub个人访问令牌（PAT），在组织的「Secrets and variables」→「Actions」中添加名为ORG_ADMIN_TOKEN的秘钥，存入该令牌。
• 这个工作流会每日自动检查成员邮箱状态，一旦发现成员无验证过的企业Gmail，就自动将其从组织中移除，替代手动操作。

3. 入职自动化邀请（可选） #

若想进一步简化入职流程，可结合企业HR系统的Webhook，在员工入职时自动调用GitHub API发送组织邀请：

• 利用HR系统的入职触发事件，调用GitHub的orgs.createInvitation接口，邀请已绑定企业Gmail的员工GitHub账号。
• 可通过GitHub Actions或自建后端服务实现，完全替代手动邀请操作。

补充注意事项 #

• 强制开启2FA：在组织「Member privileges」中开启强制双因素认证，提升账号安全性，这是GitHub Team计划支持的功能，与邮箱验证互不冲突。
• 权限最小化：确保自动化用的PAT仅拥有必要权限（如admin:org），避免过度授权带来的风险。

内容的提问来源于stack exchange，提问作者Joey Yi Zhao