シークレット スキャンからのアラートの解決

アラートの修正

シークレットがリポジトリにコミットされたら、シークレットが侵害されたと考える必要があります。 GitHub は、侵害されたシークレットに対して次のアクションを行うことをおすすめします:

• GitHub にコミットされたシークレットが有効であることを確認します。 GitHub トークンにのみ適用されます。 「シークレットの有効性のチェック」を参照してください。
• 古いトークンを使用するすべてのサービスを確認して更新します。 GitHub personal access token の場合は、侵害されたトークンを削除し、新しいトークンを作成します。 「個人用アクセス トークンを管理する」を参照してください。
• シークレット プロバイダーに応じて、承認されていないアクティビティがないかセキュリティ ログを確認します。

シークレットが GitHub の パブリック リポジトリで検出され、シークレットがサポートされているパートナー パターンにも一致する場合は、潜在的なシークレットがサービス プロバイダーに 自動的に報告されます。 すべてのサポートされているパートナー パターンの詳細については、「サポートされているシークレット スキャン パターン」を参照してください。

アラートの終了

1. GitHub で、リポジトリのメイン ページに移動します。

2. リポジトリ名の下にある [ セキュリティ] をクリックします。 [セキュリティ] タブが表示されない場合は、 [] ドロップダウン メニューを選び、 [セキュリティ] をクリックします。

   

3. 左側のサイドバーの [Vulnerability alerts] (脆弱性アラート) で、 [Secret scanning] をクリックします。

4. [Secret scanning]で、表示するアラートをクリックします。

5. アラートを無視するには、[次の状態として閉じる] ドロップダウン メニューを選び、アラートを解決する理由をクリックします。

   

6. 必要に応じて、[コメント] フィールドに無視のコメントを追加します。 無視のコメントはアラート タイムラインに追加され、監査と報告の間に正当な理由として使用できます。 アラート タイムラインで、すべての無視されたアラートと無視コメントの履歴を確認できます。 また、Secret scanning API を使って、コメントを取得または設定することもできます。 コメントは resolution_comment フィールドに含まれています。 詳しくは、REST API ドキュメントの「シークレット スキャン用の REST API エンドポイント」を参照してください。

7. [アラートをクローズする] をクリックします。

次のステップ

• シークレット スキャンからのアラートの監視