Skip to main content

リポジトリを保護する

リポジトリをセキュアに保つために、いくつものGitHubの機能が利用できます。

Who can use this feature

Repository administrators and organization owners can configure repository security settings.

はじめに

このガイドは、リポジトリでのセキュリティ機能の設定方法を紹介します。 リポジトリのセキュリティ設定を構成するには、リポジトリ管理者かOrganizationのオーナーでなければなりません。

セキュリティの要件はリポジトリに固有のものなので、リポジトリですべての機能を有効化する必要はないかもしれません。 詳細については、「GitHub セキュリティ機能」を参照してください。

一部の機能は、すべてのプランのリポジトリに使用できます。 その他の機能は、GitHub Advanced Security を使うエンタープライズに使用できます。 GitHub Advanced Security の機能は、GitHub.com 上のすべてのパブリック リポジトリでも有効になります。 詳細については、「GitHub Advanced Security について」を参照してください。

リポジトリへのアクセスの管理

リポジトリを保護するための最初の手順は、誰がコードを表示および変更できるかを確立することです。 詳細については、「リポジトリ設定の管理」を参照してください。

リポジトリのメイン ページから、 [設定] をクリックし、[危険区域] まで下にスクロールします。

依存関係グラフの管理

依存関係グラフは、すべてのパブリック リポジトリに対して自動的に生成され、プライベート リポジトリに対して有効にすることができます。 リポジトリ内のマニフェストとロック ファイルを解釈して依存関係を特定します。

  1. リポジトリのメイン ページから、 [設定] をクリックします。
  2. [セキュリティと分析] をクリックします。
  3. 依存関係グラフの横にある [有効化] または [無効化] をクリックします。

詳細については、「ポジトリの依存関係を調べる」を参照してください。

Dependabot alertsの管理

GitHub によって脆弱性のある依存関係が依存関係グラフで特定されたときに、Dependabot alerts が生成されます。 任意のリポジトリに対して、Dependabot alerts を有効にすることができます。

  1. プロファイル写真をクリックし、 [設定] をクリックします。
  2. [セキュリティと分析] をクリックします。
  3. Dependabot alerts の横にある [すべて有効にする] をクリックします。

詳細については、「Dependabot alerts について」と「ユーザー アカウントのセキュリティと分析設定の管理」を参照してください。

依存関係レビューの管理

依存関係レビューを使うと、Pull Requestがリポジトリにマージされる前に、Pull Request内での依存関係の変化を可視化できます。 詳細については、「依存関係レビューについて」を参照してください。

依存関係レビューは GitHub Advanced Security 機能です。 依存関係レビューは、すべてのパブリック リポジトリに対して既に有効になっています。 GitHub Enterprise Cloud と Advanced Security を使用する Organization では、プライベートおよび内部リポジトリの依存関係レビューを追加で有効にすることができます。 詳細については、GitHub Enterprise Cloud ドキュメントを参照してください。

Dependabot security updatesの管理

Dependabot alertsを使用するリポジトリでは、Dependabot security updatesを有効化して脆弱性が検出された際にセキュリティ更新でPull Requestを発行させることができます。

  1. リポジトリのメイン ページから、 [設定] をクリックします。
  2. [セキュリティと分析] をクリックします。
  3. Dependabot security updates の横にある [有効化] をクリックします。

詳細については、「Dependabot security updates について」と「Dependabot security updates の構成」を参照してください。

Dependabot version updatesの管理

Dependabotを有効化して、依存関係を最新の状態に保つためのPull Requestを自動的に発行するようにできます。 詳細については、「Dependabot version updates について」を参照してください。

  1. リポジトリのメイン ページから、 [設定] をクリックします。
  2. [セキュリティと分析] をクリックします。
  3. Dependabot version updates の横にある [有効] をクリックして、基本的な dependabot.yml 構成ファイルを作成します。
  4. 依存関係を指定してファイルを更新し、リポジトリにコミットします。 詳しくは、「Dependabot のバージョン アップデートの設定」をご覧ください。

code scanning の構成

CodeQL analysis workflow またはサードパーティ製ツールを使用して、リポジトリに格納されているコードの脆弱性とエラーを自動的に特定するように code scanning を構成できます。リポジトリ内のプログラミング言語に応じて、既定の設定を使用して CodeQL で code scanning を構成できます。ここでは、GitHub によって、スキャンする言語、実行するクエリ スイート、新しいスキャンをトリガーするイベントが自動的に決定されます。

  1. リポジトリのメイン ページから、 [設定] をクリックします。
  2. サイドバーの [セキュリティ] セクションで、 [コード セキュリティと分析] をクリックします。
  3. [Code scanning] セクションで、 [セットアップ] を選択し、 [既定] をクリックします。
  4. 表示されるポップアップ ウィンドウで、リポジトリの既定の構成設定を確認し、 [CodeQL を有効にする] をクリックします。

または、編集可能なワークフロー ファイルを生成する詳細設定を使用して、CodeQL を使用してcode scanningをカスタマイズすることもできます。 詳細については、「リポジトリの code scanning の構成」を参照してください。

Code scanning は、すべてのパブリック リポジトリで使用可能です。また、GitHub Advanced Security に対するライセンスを持つ Enterprise の一部である Organization が所有するプライベート リポジトリで使用可能です。

secret scanningの設定

Secret scanning alerts for partners は、GitHub.com 上のすべての製品のパブリック リポジトリで自動的に実行されます。 Secret scanning alerts for users は、パブリック リポジトリで利用できるほか、GitHub Enterprise Cloud を使用し、GitHub Advanced Security のライセンスを持つ Organization が所有するリポジトリで利用できます。 詳細については、「GitHub Advanced Security について」を参照してください。

セキュリティポリシーの設定

リポジトリの保守管理者であれば、リポジトリに SECURITY.md という名前のファイルを作成して、リポジトリのセキュリティ ポリシーを指定することをお勧めします。 このファイルは、ユーザーがリポジトリのセキュリティ脆弱性を報告したいときに、リポジトリの保守管理者と連絡を取って共同作業を行うにはどうすれば一番良いかを指示します。 リポジトリのセキュリティ ポリシーは、リポジトリの [Security] タブから確認できます。

  1. リポジトリのメイン ページから、 [セキュリティ] をクリックします。
  2. [セキュリティ ポリシー] をクリックします。
  3. [Start setup] (セットアップの開始) をクリックします。
  4. プロジェクトのサポートされているバージョンに関する情報と、脆弱性の報告方法に関する情報を追加してください。

詳細については、「リポジトリへのセキュリティ ポリシーの追加」を参照してください。

次の手順

セキュリティの機能からのアラートを表示及び管理して、コード中の依存関係と脆弱性に対処できます。 詳しくは、「Dependabot alerts の表示と更新」、「依存関係の更新に関する Pull Request を管理する」、「リポジトリの code scanning を管理する」、「secret scanning からのアラートを管理する」をご覧ください。

セキュリティの脆弱性があるなら、セキュリティ アドバイザリを作成して非公開で議論し、脆弱性を修正できます。 詳細については、「リポジトリ セキュリティ アドバイザリについて」と「セキュリティ アドバイザリを作成する」を参照してください。