アプライアンスのコードスキャンを設定する

code scanning について

Code scanning is a feature that you use to analyze the code in a GitHub repository to find security vulnerabilities and coding errors. Any problems identified by the analysis are shown in GitHub Enterprise Server.

以下の表は、code scanning で利用可能な分析タイプをまとめたもので、個々のリポジトリで機能を有効化するためのリンクを示しています。

your GitHub Enterprise Server instance のユーザがリポジトリで code scanning を有効化して使用できるようにするには、サイト管理者として、アプライアンス全体でこの機能を有効にする必要があります。

アプライアンスで code scanning が有効かどうかを確認する方法

1. From an administrative account on GitHub Enterprise Server, click in the upper-right corner of any page.
   
2. 左のサイドバーでManagement Consoleをクリックしてください。
   
3. 左のサイドバーに Advanced Security エントリがあるかどうかを確認します。
   

サイドバーに Advanced Security が表示されない場合は、ライセンスに code scanning を含む Advanced Security 機能のサポートが含まれていないということです。 Advanced Security ライセンスを使用すると、リポジトリとコードのセキュリティを強化するのに役立つ機能にアクセスできます。

code scanning の有効化

1. From an administrative account on GitHub Enterprise Server, click in the upper-right corner of any page.
   
2. 左のサイドバーでManagement Consoleをクリックしてください。
   
3. 左のサイドバーでAdvanced Securityをクリックしてください。
   
4. [ Advanced Security] の下にある [Code scanning] をクリックします。
   
5. 左のサイドバーの下でSave settings（設定の保存）をクリックしてください。
   
6. 設定が完了するのを待ってください。

GitHub Actions を使用して code scanning を実行する

セルフホストランナーを設定する

GitHub Actions ベータに登録している場合、GitHub Enterprise Server は GitHub Actions ワークフローを使用して code scanning を実行できます。 まず、環境内に 1 つ以上のセルフホスト GitHub Actions ランナーをプロビジョニングする必要があります。 セルフホストランナーは、リポジトリ、Organization、または Enterprise アカウントレベルでプロビジョニングできます。 詳しい情報については、「セルフホストランナーについて」および「セルフホストランナーを追加する」を参照してください。

CodeQL アクションを実行するために使用するセルフホストランナーの PATH 変数に Git が含まれていることを確認する必要があります。

アクションをプロビジョニングする

GitHub Enterprise Server で GitHub Actions を使用して code scanning を実行するには、適切なアクションがローカルで使用可能である必要があります。 アクションを 3 つの方法で利用可能にすることができます。

• 推奨 GitHub Connect を使用して、GitHub.com からアクションを自動的にダウンロードできます。 インスタンスをホストするマシンは、GitHub.com にアクセス可能である必要があります。 この方法で、最新のソフトウェアを自動的に入手できます。 詳しい情報については、「GitHub Actions を同期するために GitHub Connect を設定する」を参照してください。
• CodeQL analysis workflow を使用する場合は、https://github.com/github/codeql-action-sync-tool にある CodeQL Action 同期ツールを使用して、リポジトリを GitHub.com から GitHub Enterprise Server に同期できます。 コンピューターで your GitHub Enterprise Server instance と GitHub.com の両方に同時にアクセスできる限り、your GitHub Enterprise Server instance または GitHub Actions ランナーがインターネットにアクセスできるかどうかに関係なく、このツールを使用できます。
• アクションで GitHub.com リポジトリをクローンすることにより、サーバーにアクションのリポジトリのローカルコピーを作成できます。 たとえば、CodeQL アクションを使用する場合、インスタンス github/codeql-action と呼ばれるリポジトリを作成し、GitHub.com からリポジトリを複製して、そのリポジトリをインスタンスの github/codeql-action リポジトリにプッシュできます。 また、GitHub.com のリポジトリからリリースをダウンロードし、リリースとしてインスタンスの github/codeql-action リポジトリにアップロードする必要があります。

GitHub Actions を同期するために GitHub Connect を設定する

1. GitHub.com からオンデマンドでアクションワークフローをダウンロードする場合は、GitHub Connect を有効にする必要があります。 詳しい情報については、「GitHub Connect を有効化する」を参照してください。
2. また、your GitHub Enterprise Server instance に対して GitHub Actions を有効化する必要があります。 詳しい情報については、「GitHub Actions の有効化とストレージの設定」をご覧ください。
3. 次のステップは、GitHub Connect を使用して、GitHub.com に対するアクションへのアクセスを設定することです。 詳しい情報については、「GitHub Connect を使用した GitHub.com アクションへの自動アクセスを有効化する」を参照してください。
4. セルフホストランナーをリポジトリ、Organization、または Enterprise アカウントに追加します。 詳しい情報については「セルフホストランナーの追加」を参照してください。

セルフホストランナーを設定した後、ユーザは your GitHub Enterprise Server instance の個々のリポジトリに対して code scanning を有効化できます。 デフォルトの code scanning ワークフローは、on.push イベントを使用して、ワークフローファイルを含むブランチへのプッシュごとにコードスキャンをトリガーします。

CodeQL runner を使用して code scanning を実行する

Organization が GitHub Actions のベータに参加していない場合、または GitHub Actions を使用しない場合は、CodeQL runner を使用して code scanning を実行できます。

CodeQL runner は、サードパーティの CI/CD システムに追加できるコマンドラインツールです。 このツールは、GitHub リポジトリのチェックアウトに対して CodeQL 分析を実行します。 詳しい情報については、「code scanning を CI システムで実行する」を参照してください。

code scanning を無効にする

1. From an administrative account on GitHub Enterprise Server, click in the upper-right corner of any page.
   
2. 左のサイドバーでManagement Consoleをクリックしてください。
   
3. 左のサイドバーでAdvanced Securityをクリックしてください。
   
4. [ [Advanced Security] の下にある [Code scanning] を選択解除します。
   
5. 左のサイドバーの下でSave settings（設定の保存）をクリックしてください。
   
6. 設定が完了するのを待ってください。