はじめに
このガイドは、リポジトリでのセキュリティ機能の設定方法を紹介します。 リポジトリのセキュリティ設定を構成するには、リポジトリ管理者かOrganizationのオーナーでなければなりません。
セキュリティの要件はリポジトリに固有のものなので、リポジトリですべての機能を有効化する必要はないかもしれません。 詳しくは、「GitHub セキュリティ機能」を参照してください。
一部の機能は、すべてのリポジトリに使用できます。 その他の機能は、GitHub Advanced Security を使うエンタープライズに使用できます。 詳しくは、「GitHub Advanced Security について」を参照してください。
リポジトリへのアクセスの管理
リポジトリを保護するための最初の手順は、誰がコードを表示および変更できるかを確立することです。 詳しくは、「リポジトリの設定と機能を管理する」を参照してください。
リポジトリのメイン ページから、 [設定] をクリックし、[危険区域] まで下にスクロールします。
- リポジトリを表示できるユーザーを変更するには、 [可視性の変更] をクリックします。 詳しくは、「リポジトリの可視性を設定する」を参照してください。
- リポジトリにアクセスできるユーザーを変更し、権限を調整するには、 [アクセスの管理] をクリックします。 詳細については、「リポジトリへのアクセス権を持つ Team と人を管理する」を参照してください。
依存関係グラフの管理
Enterprise の所有者は、Dependabot alerts を構成できます。 詳細については、「エンタープライズ向けの Dependabot の有効化」を参照してください。
詳しくは、「リポジトリの依存関係を調べる」を参照してください。
Dependabot alertsの管理
GitHub によって脆弱性のある依存関係が依存関係グラフで特定されたときに、Dependabot alerts が生成されます。
注: 現在、Dependabot alerts はベータ版であり、変更される可能性があります。
詳細については、「Dependabot アラートについて」を参照してください。
依存関係レビューの管理
依存関係レビューを使うと、Pull Requestがリポジトリにマージされる前に、Pull Request内での依存関係の変化を可視化できます。 詳しくは、「依存関係の確認について」を参照してください。
依存関係レビューは GitHub Advanced Security 機能です。 リポジトリに対して依存関係レビューを有効にするには、依存関係グラフが有効になっていることを確かめ、GitHub Advanced Security を有効にします。
- リポジトリのメイン ページから、 [設定] をクリックします。
- [セキュリティと分析] をクリックします。
- 依存関係グラフが Enterprise 用に構成されていることを確認します。
- まだ GitHub Advanced Security が有効になっていない場合は、 [有効化] をクリックします。
code scanning の構成
CodeQL 分析ワークフロー またはサードパーティ製ツールを使用して、リポジトリに格納されているコードの脆弱性とエラーを自動的に特定するように code scanning を構成できます。 詳細については、「リポジトリの code scanning を構成する」を参照してください。
Code scanning は、を Enterprise で使用する場合は Organization 所有のリポジトリ に対するライセンスを持つ Enterprise の一部である Organization が所有するプライベート リポジトリで使用可能です。
secret scanningの設定
GitHub AE の Organization 所有のリポジトリで Secret scanning が利用できます。 これは GitHub Advanced Security の機能です (ベータ リリース中は無料)。
-
リポジトリのメイン ページから、 [設定] をクリックします。
-
[コードのセキュリティと分析] をクリックします。
-
まだ GitHub Advanced Security が有効になっていない場合は、 [有効にする] をクリックします。
-
Secret scanning の横にある [有効化] をクリックします。
セキュリティポリシーの設定
リポジトリの保守管理者であれば、リポジトリに SECURITY.md という名前のファイルを作成して、リポジトリのセキュリティ ポリシーを指定することをお勧めします。 このファイルは、ユーザーがリポジトリのセキュリティ脆弱性を報告したいときに、リポジトリの保守管理者と連絡を取って共同作業を行うにはどうすれば一番良いかを指示します。 リポジトリのセキュリティ ポリシーは、リポジトリの [Security] タブから確認できます。
- リポジトリのメイン ページから、 [セキュリティ] をクリックします。
- [セキュリティ ポリシー] をクリックします。
- [Start setup] (セットアップの開始) をクリックします。
- プロジェクトのサポートされているバージョンに関する情報と、脆弱性の報告方法に関する情報を追加してください。
詳しくは、「リポジトリへのセキュリティ ポリシーの追加」を参照してください。
次の手順
セキュリティの機能からのアラートを表示及び管理して、コード中の依存関係と脆弱性に対処できます。 詳細については、「リポジトリのコード スキャンのアラートを管理する」、「シークレット スキャンからのアラートの管理」を参照してください。
また、GitHub のツールを使用して、セキュリティ アラートへの応答を監査することもできます。 詳細については、「セキュリティ アラートの監査」を参照してください。