はじめに
このガイドは、Organizationでのセキュリティ機能の設定方法を紹介します。 Organizationのセキュリティの要件は固有のものであり、すべてのセキュリティの機能を有効化する必要はないかもしれません。 詳しくは、「GitHub セキュリティ機能」を参照してください。
一部の機能は、すべてのリポジトリに使用できます。 その他の機能は、GitHub Advanced Security を使うエンタープライズに使用できます。 詳しくは、「GitHub Advanced Security について」を参照してください。
Organizationへのアクセス管理
ロールを使って、個人が組織内で実行できるアクションを制御できます。 たとえば、team にセキュリティ マネージャー ロールを割り当てて、Organization 全体のセキュリティ設定を管理する権限と、すべてのリポジトリの読み取りアクセス権を付与できます。詳しくは、「Organizationのロール」をご覧ください。
Dependabot alerts及び依存関係グラフの管理
注: 現在、Dependabot alerts はベータ版であり、変更される可能性があります。
詳しくは、「Dependabot アラートについて」、「リポジトリの依存関係を調べる」、「Organization のセキュリティおよび分析設定を管理する」をご覧ください。
依存関係レビューの管理
依存関係レビューとは、Advanced Security の機能であり、pull request の依存関係の変更をリポジトリにマージする前に視覚化することができます。 詳しくは、「依存関係の確認について」を参照してください。
依存関係のレビューは、ご自分のエンタープライズ の依存関係グラフが有効にされていて、ユーザーが Organization の Advanced Security を有効にした場合に、使用できます (下記を参照してください)。
GitHub Advanced Securityの管理
Advanced Security 機能を有効または無効にすることができます。
- プロファイル画像をクリックし、 Organizations をクリックします。
- 組織の横にある Settings をクリックします。
- [セキュリティと分析] をクリックします。
- GitHub Advanced Security の横にある Enable all または Disable all をクリックします。
- 必要に応じて、 [Automatically enable for new private repositories](新しいプライベート リポジトリに対して自動的に有効にする) を選びます。
詳細については、「GitHub Advanced Security について」および「Organization のセキュリティおよび分析設定を管理する」を参照してください。
secret scanningの設定
エンタープライズが Advanced Security を使っている場合、Secret scanning を使用できます。
Organization 全体で、すべてのリポジトリ。
- プロファイル画像をクリックし、 Organizations をクリックします。
- 組織の横にある Settings をクリックします。
- [コードのセキュリティと分析] をクリックします。
- Secret scanning の横にある [すべて有効にする] または [すべて無効にする] をクリックします。
- 表示されるダイアログ ボックスで、必要に応じて、 [Advanced Security に追加されたリポジトリに対して自動的に有効にする] を選びます。
- ダイアログ ボックスの有効または無効ボタンをクリックして、変更を確認します。
詳しくは、「Organization のセキュリティおよび分析設定を管理する」を参照してください。
code scanning の構成
Code scanning は、エンタープライズが Advanced Security を使っている場合に使用できます。
Code scanning はリポジトリ レベルで構成されます。 詳しくは、「リポジトリの code scanning を構成する」を参照してください。
次の手順
セキュリティの機能からのアラートを表示及び管理して、コード中の依存関係と脆弱性に対処できます。 詳細については、「リポジトリのコード スキャンのアラートを管理する」、「シークレット スキャンからのアラートの管理」を参照してください。
組織内でセキュリティ アラートへの対応を監視することもできます。 詳細については、「セキュリティ アラートの監査」を参照してください。
ユーザーは、セキュリティの概要で自分の組織が所有するリポジトリのセキュリティ アラートの表示、フィルター処理、並べ替えを行うことができます。 詳しくは、「セキュリティの概要について」をご覧ください。