Organization のセキュリティおよび分析設定を管理する

セキュリティおよび分析設定の管理について

GitHub は、Organization のリポジトリを保護するのに役立つ場合があります。 Organization でメンバーが作成する既存または新規のリポジトリすべてについて、セキュリティおよび分析機能を管理できます。 GitHub Advanced Security のライセンスを持っている場合は、これらの機能へのアクセスを管理することもできます。 詳しくは、「GitHub Advanced Security について」を参照してください。

セキュリティ機能と分析機能を有効にした場合、GitHub はリポジトリで読み取り専用分析を実行します。 詳しくは、「[AUTOTITLE](/get-started/privacy-on-github/about-githubs-use-of-your-data)」を参照してください。

セキュリティと分析の設定を表示する

1. GitHub.com の右上隅にあるプロファイル写真をクリックし、 [自分の Organization] をクリックします。

   2. 組織の隣の [設定] をクリックします。

   

2. サイドバーの [セキュリティ] セクションで、 [コードのセキュリティと分析] をクリックします。

表示されるページでは、Organization 内のリポジトリのすべてのセキュリティおよび分析機能を有効化または無効化にできます。

Organization が GitHub Advanced Security のライセンスを持つ Enterprise に属している場合、ページには Advanced Security 機能を有効化または無効化するオプションも含まれます。 GitHub Advanced Security を使用するリポジトリは、ページの下部に一覧表示されます。

既存のすべてのリポジトリの機能を有効または無効にする

すべてのリポジトリの機能を有効化または無効化できます。 変更が Organization 内のリポジトリに与える影響は、リポジトリの可視性によって決まります。

• プライベート脆弱性レポート - 変更はパブリック リポジトリにのみ影響します。
• 依存関係グラフ - この機能はパブリック リポジトリに対して常に有効になっているため、変更はプライベート リポジトリにのみ影響します。
• Dependabot alerts - 変更はすべてのリポジトリに影響します。
• Dependabot security updates - 変更はすべてのリポジトリに影響します。
• GitHub Advanced Security - GitHub Advanced Security および関連機能は常にパブリック リポジトリに対して有効になっているため、変更はプライベート リポジトリにのみ影響します。
• Secret scanning - 変更はGitHub Advanced Security が有効なパブリック リポジトリ、プライベートまたは内部リポジトリに影響します。 このオプションを使って ユーザーに対するシークレット スキャン アラート が有効かどうかを制御します。 パートナーに対するシークレット スキャン アラート は常にすべてのパブリック リポジトリ上で実行されます。
• Code scanning - 変更はパブリック リポジトリ、および GitHub Advanced Security が有効になっているプライベートまたは内部リポジトリに影響します。対象となるリポジトリについては、「Configuring code scanning at scale using CodeQL」を参照してください。既定のセットアップの対象ではないリポジトリの場合は、リポジトリ レベルで詳細セットアップを構成できます。 詳しくは、「リポジトリの code scanning を構成する」を参照してください。

1. Organization のコードのセキュリティと分析の設定に移動します。 詳細については、「セキュリティと分析の設定を表示する」を参照してください。
2. [コードのセキュリティと分析] の下で、機能の右にある [すべて無効] または [すべて有効] をクリックして構成ダイアログ ボックスを表示します。 [GitHub Advanced Security] のコントロールが無効になるのは、GitHub Advanced Security に使用できるライセンスがない場合です。
3. ダイアログ ボックスの情報を確認します。 機能を有効にする場合は、必要に応じて、 [新しい プライベート リポジトリに対して既定で有効にする] を選択します。
4. 変更を行う準備ができたら、 [機能の無効化] または [機能の有効化] をクリックして、Organization 内のすべてのリポジトリの機能を無効または有効にします。

既存のリポジトリで1つ以上のセキュリティ及び分析機能を有効化すると、数分のうちにGitHub上に結果が表示されます。

• 既存のすべてのリポジトリは、選択された設定を持ちます。
• 新しいリポジトリのチェックボックスをオンにした場合、新しいリポジトリは選択した構成に従います。
• 関連するサービスに適用するマニフェストファイルをスキャンするために権限を使用します。
• 有効化すると、依存関係グラフに依存関係情報が表示されます。
• 有効化すると、GitHub により、脆弱な依存関係またはマルウェアに対して Dependabot alertsが生成されます。
• 有効化すると、Dependabot セキュリティ更新プログラムは、Dependabot alerts がトリガーされたときに、脆弱な依存関係をアップグレードするための pull request を作成します。

新しいリポジトリが追加されたときに機能を自動的に有効化または無効化する

1. 組織のセキュリティと分析の設定に移動します。 詳細については、「セキュリティと分析の設定を表示する」を参照してください。
2. [コードのセキュリティと分析] の下で、機能を見つけ、Organization のすべての新しいリポジトリ、またはすべての新しいプライベート リポジトリに対して有効または無効にします。

Dependabot のプライベート依存関係へのアクセスを許可する

Dependabot は、プロジェクト内の古い依存関係参照をチェックし、それらを更新するためのプルリクエストを自動的に生成できます。 これを行うには、Dependabot がすべてのターゲット依存関係ファイルにアクセスできる必要があります。 通常、1 つ以上の依存関係にアクセスできない場合、バージョン更新は失敗します。 詳しくは、「GitHub Dependabot のバージョンアップデートについて」を参照してください。

デフォルトでは、Dependabot はプライベートリポジトリまたはプライベートパッケージレジストリにある依存関係を更新できません。 ただし、依存関係が、その依存関係を使用するプロジェクトと同じ Organization 内のプライベート GitHub リポジトリにある場合は、ホストリポジトリへのアクセスを許可することで、Dependabot がバージョンを正常に更新できるようにすることができます。

コードがプライベートレジストリ内のパッケージに依存している場合は、リポジトリレベルでこれを設定することにより、Dependabot がこれらの依存関係のバージョンを更新できるようにすることができます。 これを行うには、リポジトリの dependabot.yml ファイルに認証の詳細を追加します。 詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

Dependabot がプライベート GitHub リポジトリにアクセスできるようにするには：

1. 組織のセキュリティと分析の設定に移動します。 詳細については、「セキュリティと分析の設定を表示する」を参照してください。
2. [プライベート リポジトリへの Dependabot アクセス権を付与する] で、 [プライベート リポジトリの追加] または [内部およびプライベート リポジトリの追加] をクリックしてリポジトリの検索フィールドを表示します。
3. Dependabot アクセス権を付与するリポジトリの名前の入力を開始します。
4. Organization 内の一致するリポジトリのリストが表示され、アクセスを許可するリポジトリをクリックすると、許可リストにリポジトリが追加されます。
5. 必要に応じて、リストからリポジトリを削除するには、そのリポジトリの右にある [] をクリックします。

Organization 内の個々のリポジトリから GitHub Advanced Security へのアクセスを削除する

[設定] タブから、リポジトリの GitHub Advanced Security 機能へのアクセスを管理できます。詳細については、「リポジトリのセキュリティと分析設定を管理する」を参照してください。 ただし、Organization の [Settings] タブから、リポジトリの GitHub Advanced Security 機能を無効にすることもできます。

1. 組織のセキュリティと分析の設定に移動します。 詳細については、「セキュリティと分析の設定を表示する」を参照してください。
2. GitHub Advanced Security が有効になっている Organization 内のすべてのリポジトリのリストを表示するには、「GitHub Advanced Security リポジトリ」セクションまでスクロールします。 テーブルには、各リポジトリの一意のコミッターがリストされています。 これは GitHub Advanced Security へのアクセスを削除することによって解放できる ライセンス の数です。 詳しくは、「GitHub Advanced Security の課金について」を参照してください。
3. あるリポジトリから GitHub Advanced Security へのアクセスを削除し、そのリポジトリに固有のアクティブ コミッターによって使用されている ライセンス を解放するには、隣にある をクリックします。
4. 確認ダイアログで、 [リポジトリの削除] をクリックして、GitHub Advanced Security の機能へのアクセスを削除します。

参考資料

• リポジトリを保護する
• シークレット スキャンについて
• 依存関係グラフについて
• サプライ チェーンのセキュリティについて