リポジトリを保護する

はじめに

このガイドは、リポジトリでのセキュリティ機能の設定方法を紹介します。リポジトリのセキュリティ設定を構成するには、リポジトリ管理者かOrganizationのオーナーでなければなりません。

セキュリティの要件はリポジトリに固有のものなので、リポジトリですべての機能を有効化する必要はないかもしれません。詳しくは、「GitHub セキュリティ機能」を参照してください。

一部の機能は、すべてのプランのリポジトリに使用できます。その他の機能は、GitHub Advanced Security を使うエンタープライズに使用できます。 GitHub Advanced Security の機能は、GitHub.com 上のすべてのパブリックリポジトリでも有効になります。詳しくは、「GitHub Advanced Security について」を参照してください。

リポジトリへのアクセスの管理

リポジトリを保護するための最初の手順は、誰がコードを表示および変更できるかを確立することです。詳しくは、「リポジトリの設定と機能を管理する」を参照してください。

リポジトリのメインページから、 [設定] をクリックし、[危険区域] まで下にスクロールします。

リポジトリを表示できるユーザーを変更するには、 [可視性の変更] をクリックします。詳しくは、「リポジトリの可視性を設定する」を参照してください。
リポジトリにアクセスできるユーザーを変更し、権限を調整するには、 [アクセスの管理] をクリックします。詳細については、「リポジトリへのアクセス権を持つ Team と人を管理する」を参照してください。

依存関係グラフの管理

依存関係グラフは、すべてのパブリックリポジトリに対して自動的に生成されます。フォークとプライベートリポジトリに対して、それを有効にすることを選べます。依存関係グラフでは、リポジトリ内のマニフェストとロックファイルが解釈されて依存関係が識別されます。

リポジトリのメインページから、 [設定] をクリックします。
[セキュリティと分析] をクリックします。
依存関係グラフの横にある [有効化] または [無効化] をクリックします。

詳しくは、「リポジトリの依存関係を調べる」を参照してください。

Dependabot alertsの管理

GitHub によって脆弱性のある依存関係が依存関係グラフで特定されたときに、Dependabot alerts が生成されます。任意のリポジトリに対して、Dependabot alerts を有効にすることができます。

プロファイル写真をクリックし、 [設定] をクリックします。
[セキュリティと分析] をクリックします。
Dependabot alerts の横にある [すべて有効にする] をクリックします。

詳細については、「Dependabot アラートについて」と「個人アカウントのセキュリティと分析設定を管理する」を参照してください。

依存関係レビューの管理

依存関係レビューを使うと、Pull Requestがリポジトリにマージされる前に、Pull Request内での依存関係の変化を可視化できます。詳しくは、「依存関係の確認について」を参照してください。

依存関係レビューは GitHub Advanced Security 機能です。依存関係レビューは、すべてのパブリックリポジトリに対して既に有効になっています。 GitHub Enterprise Cloud と Advanced Security を使用する Organization では、プライベートおよび内部リポジトリの依存関係レビューを追加で有効にすることができます。詳細については、GitHub Enterprise Cloud ドキュメントを参照してください。

Dependabot security updatesの管理

Dependabot alertsを使用するリポジトリでは、Dependabot security updatesを有効化して脆弱性が検出された際にセキュリティ更新でPull Requestを発行させることができます。

リポジトリのメインページから、 [設定] をクリックします。
[セキュリティと分析] をクリックします。
Dependabot security updates の横にある [有効化] をクリックします。

詳細については、「Dependabot のセキュリティアップデート」および「Configuring Dependabot security updates (Dependabot セキュリティアップデートの構成)」を参照してください。

Dependabot version updatesの管理

Dependabotを有効化して、依存関係を最新の状態に保つためのPull Requestを自動的に発行するようにできます。詳しくは、「GitHub Dependabot のバージョンアップデートについて」を参照してください。

リポジトリのメインページから、 [設定] をクリックします。
[セキュリティと分析] をクリックします。
Dependabot version updates の横にある [有効] をクリックして、基本的な dependabot.yml 構成ファイルを作成します。
依存関係を指定してファイルを更新し、リポジトリにコミットします。詳しくは、「Dependabot のバージョンアップデートの設定」を参照してください。

code scanning の構成

CodeQL 分析ワークフローまたはサードパーティ製ツールを使用して、リポジトリに格納されているコードの脆弱性とエラーを自動的に特定するように code scanning を構成できます。リポジトリ内のプログラミング言語に応じて、既定の設定を使用して CodeQL で code scanning を構成できます。ここでは、GitHub によって、スキャンする言語、実行するクエリスイート、新しいスキャンをトリガーするイベントが自動的に決定されます。

リポジトリのメインページから、 [設定] をクリックします。
サイドバーの [セキュリティ] セクションで、 [コードセキュリティと分析] をクリックします。
[Code scanning] セクションで、 [設定] を選択し、 [既定] をクリックします。
表示されるポップアップウィンドウで、リポジトリの既定の構成設定を確認し、 [CodeQL を有効にする] をクリックします。

または、編集可能なワークフローファイルを生成する詳細設定を使用して、CodeQL を使用してcode scanningをカスタマイズすることもできます。詳しくは、「リポジトリの code scanning を構成する」を参照してください。

Code scanning は、すべてのパブリックリポジトリで使用可能です。また、GitHub Advanced Security に対するライセンスを持つ Enterprise の一部である Organization が所有するプライベートリポジトリで使用可能です。

secret scanningの設定

パートナーに対するシークレットスキャンアラートはパブリックリポジトリで自動的に実行され、GitHub.com で漏洩したシークレットについてサービスプロバイダーに通知します。

ユーザーに対するシークレットスキャンアラートは、すべてのパブリックリポジトリで無料で利用できます。 GitHub Enterprise Cloud を使い、GitHub Advanced Security のライセンスを持っている組織は、プライベートリポジトリと内部リポジトリに対してユーザーに対するシークレットスキャンアラートを有効にすることもできます。詳細については、「シークレットスキャンについて」と「GitHub Advanced Security について」を参照してください。

リポジトリのメインページから、 [設定] をクリックします。
[コードのセキュリティと分析] をクリックします。
Secret scanning の横にある [有効化] をクリックします。

セキュリティポリシーの設定

リポジトリの保守管理者であれば、リポジトリに SECURITY.md という名前のファイルを作成して、リポジトリのセキュリティポリシーを指定することをお勧めします。このファイルは、ユーザーがリポジトリのセキュリティ脆弱性を報告したいときに、リポジトリの保守管理者と連絡を取って共同作業を行うにはどうすれば一番良いかを指示します。リポジトリのセキュリティポリシーは、リポジトリの [Security] タブから確認できます。

リポジトリのメインページから、 [セキュリティ] をクリックします。
[セキュリティポリシー] をクリックします。
[Start setup] (セットアップの開始) をクリックします。
プロジェクトのサポートされているバージョンに関する情報と、脆弱性の報告方法に関する情報を追加してください。

詳しくは、「リポジトリへのセキュリティポリシーの追加」を参照してください。

次の手順

セキュリティの機能からのアラートを表示及び管理して、コード中の依存関係と脆弱性に対処できます。詳細については、「Dependabot アラートの表示と更新」、「依存関係の更新に関するPull Requestを管理する」、「リポジトリのコードスキャンのアラートを管理する」、「シークレットスキャンからのアラートの管理」を参照してください。

また、GitHub のツールを使用して、セキュリティアラートへの応答を監査することもできます。詳細については、「セキュリティアラートの監査」を参照してください。

セキュリティの脆弱性があるなら、セキュリティアドバイザリを作成して非公開で議論し、脆弱性を修正できます。詳細については、「リポジトリセキュリティアドバイザリについて」および「リポジトリセキュリティアドバイザリの作成」を参照してください。