Cette version de GitHub Enterprise Server n'est plus disponible depuis le 2023-09-25. Aucune publication de correctifs n’est effectuée, même pour les problèmes de sécurité critiques. Pour de meilleures performances, une sécurité améliorée et de nouvelles fonctionnalités, effectuez une mise à niveau vers la dernière version de GitHub Enterprise. Pour obtenir de l’aide sur la mise à niveau, contactez le support GitHub Enterprise.

À propos de l’analyse du code CodeQL dans votre système d’intégration continue

Dans cet article

Vous pouvez analyser votre code avec CodeQL dans un système d’intégration continue tiers et charger les résultats dans votre instance GitHub Enterprise Server. Les alertes d’code scanning obtenues s’affichent en même temps que toutes les alertes générées dans GitHub Enterprise Server.

Code scanning est disponible pour les dépôts appartenant à l’organisation dans GitHub Enterprise Server. Cette fonctionnalité nécessite une licence pour GitHub Advanced Security. Pour plus d’informations, consultez « À propos de GitHub Advanced Security ».

Remarque : Votre administrateur de site doit activer l’code scanning pour votre instance GitHub Enterprise Server afin que vous puissiez utiliser cette fonctionnalité. Pour plus d’informations, consultez « Configuration de l’analyse du code pour votre appliance ».

Vous ne pourrez peut-être pas activer ou désactiver lcode scanning si un propriétaire d’entreprise a défini une stratégie GitHub Advanced Security (GHAS) au niveau de l’entreprise. Pour plus d’informations, consultez « Application de stratégies de sécurité et d’analyse du code pour votre entreprise ».

À propos de l’code scanning CodeQL dans votre système CI

Code scanning es une fonctionnalité que vous utilisez pour analyser le code dans un dépôt GitHub afin de détecter d’éventuelles vulnérabilités de sécurité et erreurs de codage. Tous les problèmes identifiés par l’analyse sont affichés dans GitHub Enterprise Server. Pour plus d’informations, consultez « À propos de l’analyse du code avec CodeQL ».

Vous pouvez exécuter l’code scanning CodeQL dans GitHub Enterprise Server en utilisant GitHub Actions. Si vous utilisez un système tiers d’intégration continue ou de livraison continue/déploiement continu (CI/CD), vous pouvez également exécuter l’analyse CodeQL sur votre système existant et charger les résultats vers votre instance GitHub Enterprise Server.

Vous ajoutez l’CodeQL CLI à votre système tiers, puis appelez l’outil pour analyser le code et charger les résultats SARIF sur GitHub Enterprise Server. Les alertes d’code scanning obtenues s’affichent en même temps que toutes les alertes générées dans GitHub Enterprise Server.

Si vous exécutez l’analyse du code en utilisant plusieurs configurations, il arrive qu’une alerte ait plusieurs origines d’analyse. Si une alerte a plusieurs origines d’analyse, vous pouvez afficher l’état de l’alerte pour chaque origine d’analyse sur la page de l’alerte. Pour plus d’informations, consultez « À propos des alertes d’analyse du code ».

Remarque : le chargement de données SARIF à afficher comme résultats code scanning dans GitHub Enterprise Server est pris en charge pour des dépôts appartenant à l’organisation avec GitHub Advanced Security activé. Pour plus d’informations, consultez « Gestion des paramètres de sécurité et d’analyse pour votre dépôt ».

À propos de l’CodeQL CLI

L’CodeQL CLI est un outil en ligne de commande autonome que vous pouvez utiliser pour analyser le code. Son objectif principal est de générer une représentation de base de données d’un codebase, une base de données CodeQL. Une fois que la base de données est prête, vous pouvez l’interroger de manière interactive, ou exécuter une suite de requêtes pour générer un ensemble de résultats au format SARIF et charger les résultats dans votre instance GitHub Enterprise Server.

Utilisez l’CodeQL CLI pour analyser :

  • Les langages dynamiques, par exemple, JavaScript et Python.
  • Langages compilés, par exemple, C/C++, C#, et Java.
  • Les codebases écrits dans un mélange de langages.

Pour plus d’informations, consultez « Installation de l’interface CLI de CodeQL dans votre système CI ».

Remarques :

  • L’CodeQL CLI est disponible pour les clients disposant d’une licence Advanced Security.

  • CodeQL CLI n’est actuellement pas compatible avec les distributions Linux non-glibc comme Alpine Linux (basée sur musl).