はじめに
このガイドは、リポジトリでのセキュリティ機能の設定方法を紹介します。 リポジトリのセキュリティ設定を構成するには、リポジトリ管理者かOrganizationのオーナーでなければなりません。
セキュリティの要件はリポジトリに固有のものなので、リポジトリですべての機能を有効化する必要はないかもしれません。 詳しくは、「GitHub セキュリティ機能」を参照してください。
一部の機能は、すべてのリポジトリに使用できます。 その他の機能は、GitHub Advanced Security を使うエンタープライズに使用できます。 詳しくは、「GitHub Advanced Security について」を参照してください。
リポジトリへのアクセスの管理
リポジトリを保護するための最初の手順は、誰がコードを表示および変更できるかを確立することです。 詳しくは、「リポジトリの設定と機能を管理する」を参照してください。
リポジトリのメイン ページから、 [設定] をクリックし、[危険区域] まで下にスクロールします。
- リポジトリを表示できるユーザーを変更するには、 [可視性の変更] をクリックします。 詳しくは、「リポジトリの可視性を設定する」を参照してください。
- リポジトリにアクセスできるユーザーを変更し、権限を調整するには、 [アクセスの管理] をクリックします。 詳細については、「リポジトリへのアクセス権を持つ Team と人を管理する」を参照してください。
依存関係グラフの管理
Enterprise の所有者は、エンタープライズの依存関係グラフと Dependabot alerts を構成できます。 詳細については、「企業の依存関係グラフの有効化」と「エンタープライズ向けの Dependabot の有効化」を参照してください。
詳しくは、「リポジトリの依存関係を調べる」を参照してください。
Dependabot alertsの管理
GitHub によって脆弱性のある依存関係が依存関係グラフで特定されたときに、Dependabot alerts が生成されます。
Enterprise の所有者は、エンタープライズの依存関係グラフと Dependabot alerts を構成できます。 詳細については、「企業の依存関係グラフの有効化」と「エンタープライズ向けの Dependabot の有効化」を参照してください。
詳細については、「Dependabot アラートについて」を参照してください。
依存関係レビューの管理
依存関係レビューを使うと、Pull Requestがリポジトリにマージされる前に、Pull Request内での依存関係の変化を可視化できます。 詳しくは、「依存関係の確認について」を参照してください。
依存関係レビューは GitHub Advanced Security 機能です。 リポジトリに対して依存関係レビューを有効にするには、依存関係グラフが有効になっていることを確かめ、GitHub Advanced Security を有効にします。
- リポジトリのメイン ページから、 [設定] をクリックします。
- [セキュリティと分析] をクリックします。
- 依存関係グラフが Enterprise 用に構成されていることを確認します。
- まだ GitHub Advanced Security が有効になっていない場合は、 [有効化] をクリックします。
Dependabot security updatesの管理
Dependabot alertsを使用するリポジトリでは、Dependabot security updatesを有効化して脆弱性が検出された際にセキュリティ更新でPull Requestを発行させることができます。
- リポジトリのメイン ページから、 [設定] をクリックします。
- [セキュリティと分析] をクリックします。
- Dependabot security updates の横にある [有効化] をクリックします。
詳細については、「Dependabot のセキュリティ アップデート」および「Configuring Dependabot security updates (Dependabot セキュリティ アップデートの構成)」を参照してください。
Dependabot version updatesの管理
Dependabotを有効化して、依存関係を最新の状態に保つためのPull Requestを自動的に発行するようにできます。 詳しくは、「GitHub Dependabot のバージョンアップデートについて」を参照してください。
Dependabot version updates を有効にするには、dependabot.yml 構成ファイルを作成する必要があります。 詳しくは、「Dependabot のバージョン アップデートの設定」を参照してください。
code scanning の構成
CodeQL 分析ワークフロー またはサードパーティ製ツールを使用して、リポジトリに格納されているコードの脆弱性とエラーを自動的に特定するように code scanning を構成できます。 詳細については、「リポジトリの code scanning を構成する」を参照してください。
Code scanning は、を Enterprise で使用する場合は Organization 所有のリポジトリ に対するライセンスを持つ Enterprise の一部である Organization が所有するプライベート リポジトリで使用可能です。
secret scanningの設定
ご自分のエンタープライズで GitHub Advanced Security のライセンスがある場合、GitHub Enterprise Server の Organization 所有のリポジトリで Secret scanning が利用できます。 詳細については、「シークレット スキャンについて」と「GitHub Advanced Security について」を参照してください。
-
リポジトリのメイン ページから、 [設定] をクリックします。
-
[コードのセキュリティと分析] をクリックします。
-
まだ GitHub Advanced Security が有効になっていない場合は、 [有効にする] をクリックします。
-
Secret scanning の横にある [有効化] をクリックします。
セキュリティポリシーの設定
リポジトリの保守管理者であれば、リポジトリに SECURITY.md という名前のファイルを作成して、リポジトリのセキュリティ ポリシーを指定することをお勧めします。 このファイルは、ユーザーがリポジトリのセキュリティ脆弱性を報告したいときに、リポジトリの保守管理者と連絡を取って共同作業を行うにはどうすれば一番良いかを指示します。 リポジトリのセキュリティ ポリシーは、リポジトリの [Security] タブから確認できます。
- リポジトリのメイン ページから、 [セキュリティ] をクリックします。
- [セキュリティ ポリシー] をクリックします。
- [Start setup] (セットアップの開始) をクリックします。
- プロジェクトのサポートされているバージョンに関する情報と、脆弱性の報告方法に関する情報を追加してください。
詳しくは、「リポジトリへのセキュリティ ポリシーの追加」を参照してください。
次の手順
セキュリティの機能からのアラートを表示及び管理して、コード中の依存関係と脆弱性に対処できます。 詳細については、「Dependabot アラートの表示と更新」、「依存関係の更新に関するPull Requestを管理する」、「リポジトリのコード スキャンのアラートを管理する」、「シークレット スキャンからのアラートの管理」を参照してください。
また、GitHub のツールを使用して、セキュリティ アラートへの応答を監査することもできます。 詳細については、「セキュリティ アラートの監査」を参照してください。