GitHub・SAML のシングルサインオン・個人アクセストークン・2026年10月24日に確認

GitHub の「Resource protected by organization SAML enforcement」

組織が SAML のシングルサインオン（SSO）でサインインする設定で、トークンがまだその組織に許可されていない、という意味です。GitHub の説明では、個人アクセストークン（Classic）は作ったあとに許可しないと、SAML SSO を使う組織に入れません。トークンの権限（スコープ）の問題ではありません。同じトークンを組織に許可して、やり直します。

答えの全体

実際の例です（公開の報告）：

HTTP 403

{"message": "Resource protected by organization SAML enforcement. You must grant your Personal Access token access to this organization.",
 "documentation_url": "https://docs.github.com/articles/authenticating-to-a-github-organization-with-saml-single-sign-on/",
 "status": "403"}

GitHub の REST API に対する認証より：403 のときは X-GitHub-SSO ヘッダーに、トークンを許可するための URL が入ります。その URL は1時間で切れます。形はこうです（別の報告から）：

X-GitHub-SSO: required; url=https://github.com/orgs/ORG/sso?authorization_request=...

同じページには、ほかに2つの答え方があります。403 ではなく 404 Not Found を返すことがあります。また、複数の組織にまたがる呼び出しでは、許可が要る組織の結果だけが抜け、ヘッダーが X-GitHub-SSO: partial-results; organizations=21955855,20582480 のように、その組織を ID で示します。ヘッダーを見るには、失敗した住所を curl で呼びます。

curl -i -H "Authorization: Bearer your-token" "https://api.github.com/the/address/that/failed"

トークンを許可する

GitHub のシングルサインオンで利用するために個人用アクセストークンを認可するより：

GitHub の右上の自分のアイコン → Settings → Developer settings → Personal access tokens（Classic のトークン）。
そのトークンの横の Configure SSO。
開いた一覧で、組織の右の Authorize。

ヘッダーの URL を1時間以内に開いても許可できます。トークン自体は変わらないので、入れてある所は直さなくてかまいません。

Configure SSO が出ない：トークンを許可できるのは、外部の ID が結び付いてからです。組織の ID プロバイダー（IdP）で一度サインインしてから、もう一度見ます。
IP 許可リスト：組織が属する Enterprise で、IP 許可リストとシングルサインオンの両方が Enterprise の単位で有効なら、自分の IP アドレスも Enterprise の単位で許可されている必要があります。
前は使えた：許可は、組織や Enterprise のオーナーが取り消したとき、組織から外れたとき、トークンのスコープを変えたり作り直したり（regenerate）したとき、トークンの期限が切れたときに外れます。もう一度許可します。
SSO を強制していない組織：その組織に ID が結び付いたあとは、SSO を強制していなくても、許可したトークンと SSH キーしか使えません。

Fine-grained のトークン

GitHub の説明では、Fine-grained の個人アクセストークンは、作るときに許可されてから組織に入れるようになります。上の手順は Classic のトークン用です。Fine-grained のトークンが組織の物に届くのは、その組織を Resource owner（持ち主）にして作ったときだけです。それでも届かないときは「Resource not accessible by personal access token」へ。

IntelliJ IDEA では「User authorization failed」

IntelliJ IDEA に入っている GitHub の機能が、この断りをどう受け止めるか。ソース（2026年10月30日に確認・IntelliJ IDEA：GithubApiRequestExecutor.kt・GithubApiRequest.kt・GHAPIExceptionUtil.kt・GHSelectorErrorStatusPresenter.kt）では：

REST の 403 は、文に「API rate limit exceeded」と無ければログインの失敗として扱われ、この文もそうなります。Pull Requests のツールウィンドウがつなぐときは「Could not connect to repository … with account …」（このアカウントでリポジトリにつなげない）と「User authorization failed」（ユーザーの認可に失敗）が出て、Log in again… が出ます。GitHub の文は出ません。
問い合わせのコードは X-GitHub-SSO を読まないので、トークンを許可する URL は出ません。上の手順で許可するか、上の curl で URL を取ります。Log in again… ではトークンは許可されません。許可は GitHub の側でします。
トークンでのログインの Generate… は classic のトークンの画面を開きます（何が入った状態で開くか）。そこで作った classic のトークンは、組織に届く前に上の Configure SSO での許可が要ります。

IntelliJ IDEA で GitHub のプルリクを見るなら

Lesstep の Pull Request Inbox for GitHub は、JetBrains IDE（2024.1 以降）のプラグインです。Fine-grained のトークンでも、repo を付けた Classic のトークンでも使えます。GitHub が X-GitHub-SSO ヘッダー付きの 403 で断ったときは、組織が SAML のシングルサインオンを使っていることと、ヘッダーにある許可の住所を画面に出します。そこでトークンを許可してから、読み直してください。受信箱・差分・会話は無料、承認・コメント・マージは Pro（月 US$1.50・30日間の無料試用つき）です。画面は日本語です。

GitHub は GitHub, Inc. の商標、IntelliJ IDEA は JetBrains s.r.o. の商標です。このページは GitHub, Inc.・JetBrains のいずれとも提携しておらず、承認も受けていません。