配置组织的全局安全设置

访问组织的global settings页面

在 GitHub 的右上角，单击个人资料图片，然后单击“ Your organizations”****。
在组织名称下，单击 “Settings”****。如果看不到“设置”选项卡，请选择“”下拉菜单，然后单击“设置”********。
在边栏的“安全性”部分中，选择 Advanced Security 下拉菜单，然后单击 Global settings。

配置全局 Dependabot 设置

你可以为global settings自定义多个Dependabot项：

创建和管理 Dependabot 自动分类规则
对安全更新进行 Dependabot 分组
在运行程序上 GitHub Actions 启用依赖项更新
配置运行器类型 Dependabot
Dependabot授予对专用存储库的访问权限

创建和管理 Dependabot 自动分类规则

你可以创建和管理 Dependabot 自动分类规则以指示 Dependabot 自动消除或推迟 Dependabot alerts，甚至打开拉取请求以尝试解决它们。若要配置 Dependabot 自动分类规则，请单击，然后创建或编辑规则：

可以单击“新建规则”，然后输入规则的详细信息，并单击“创建规则”，从而创建新的规则。
可以通过单击，然后进行所需的更改并单击保存规则来编辑现有规则。

有关详细信息 Dependabot 自动分类规则，请参阅关于 Dependabot 自动分类规则和自定义自动分类规则以确定 Dependabot 警报的优先级。

分组 Dependabot security updates

          Dependabot 可以将所有自动建议的安全更新分组到单个拉取请求中。 要启用分组的安全更新，请选择“分组的安全更新****”。 有关分组更新和自定义选项的详细信息，请参阅 [AUTOTITLE](/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configuring-dependabot-security-updates#grouping-dependabot-security-updates-into-a-single-pull-request)。

启用在GitHub Actions运行器上的依赖项更新

如果在您的组织中同时启用了现有存储库的Dependabot和GitHub Actions，GitHub将自动使用GitHub托管的runner来运行那些存储库的依赖项更新。

否则，若要允许 Dependabot 使用 GitHub Actions 运行程序为组织中的所有现有存储库执行依赖项更新，请选择“Dependabot 操作运行程序”。

有关详细信息，请参阅“关于 GitHub Actions 运行程序上的 Dependabot”。

配置运行器类型 Dependabot

可以配置 Dependabot 使用哪种类型的运行器来扫描版本和安全更新。默认情况下，Dependabot 使用标准 GitHub托管运行器。可配置 Dependabot 以使用带有自定义标签的 自承载运行程序，从而能够与现有的运行器基础设施（例如 Actions Runner Controller （ARC））集成。

注意

出于安全原因，Dependabot 会对公共存储库使用 GitHub托管的运行程序，即使配置了带标签的运行程序。
带标签的运行器不适用于公共存储库。

要配置运行器类型：

在“Dependabot运行程序类型”旁边的“运行程序类型”下，选择。
在“编辑执行器类型Dependabot”对话框中，选择Dependabot要使用的执行器类型：
- 标准 GitHub 执行器。
- 标记的运行器：如果选择此选项， Dependabot 将使用与指定标签匹配的自主托管运行器。
如果选择了带标签的运行器：
- 在“运行器标签”中，输入分配给你的自托管运行器的标签。 Dependabot 将使用此标签的运行程序。默认情况下， dependabot 使用标签，但可以指定自定义标签以匹配现有的运行程序基础结构。
- （可选）在“跑者组名称”中，如果您想要以特定的跑者组为目标，请输入该组的名称。
单击保存运行选择。

有关配置自托管运行器 Dependabot 的更多信息，请参阅在自托管运行器上配置 Dependabot。

          Dependabot授予对专用存储库的访问权限

若要更新组织中存储库的专用依赖项， Dependabot 需要访问这些存储库。若要授予 Dependabot 对所需专用存储库的访问权限，请向下滚动到“授予 Dependabot 对专用存储库的访问权限”部分，然后使用搜索栏查找并选择所需的存储库。请注意，授予 Dependabot 对存储库的访问权限意味着组织中的所有用户都可以访问 Dependabot updates该存储库的内容。有关专用存储库支持的生态系统的详细信息，请参阅 Dependabot 支持的生态系统和存储库。

配置全局 code scanning 设置

Code scanning 是一项功能，可用于分析 GitHub 仓库中的代码，以查找安全漏洞和编码错误。分析标识的任何问题都显示在存储库中。

你可以为global settings自定义多个code scanning项：

          * [启用Copilot自动修复用于CodeQL](#enabling-copilot-autofix-for-codeql)

建议使用扩展查询套件进行默认设置
展开 CodeQL 分析

建议将扩展查询套件用于默认设置

          Code scanning 提供一组特定的 CodeQL 查询，称为 CodeQL 查询套件，以在您的代码中运行。 默认情况下，会运行“默认”查询套件。 
          GitHub 还提供“扩展”查询套件，其中包含“默认”查询套件中的所有查询，以及精度和严重性较低的其他查询。 要在整个组织中建议使用“扩展”查询套件，请选择“建议将扩展查询套件用于启用默认设置的存储库”****。 有关默认设置的内置查询套件 CodeQL 的详细信息，请参阅 [AUTOTITLE](/code-security/concepts/code-scanning/codeql/codeql-query-suites)。

启用Copilot自动修复用于CodeQL

可以选择Copilot自动修复 为组织中使用Copilot自动修复默认设置或CodeQL高级设置的所有存储库启用CodeQL。 Copilot自动修复是code scanning的扩展，建议针对code scanning警报进行修复。有关详细信息，请参阅“负责使用 Copilot 自动修复功能进行代码扫描”。

展开 CodeQL 分析

可以通过配置CodeQL模型包来扩展CodeQL组织中所有使用默认设置的存储库的分析覆盖范围。模型包扩展 CodeQL 分析，以识别标准库中不包含 CodeQL 的其他框架和库。此全局配置适用于使用默认设置的存储库，并允许指定通过容器注册表发布的模型包。有关详细信息，请参阅“编辑默认设置配置”。

配置全局 secret scanning 设置

Secret scanning 是一种安全工具，用于扫描存储库的整个 Git 历史记录，以及这些存储库中的问题、拉取请求、讨论和 wikis，以查找因意外提交而泄露的机密，例如令牌或私钥。

你可以为global settings自定义多个secret scanning项：

为阻止的提交添加资源链接
定义自定义模式
指定要包含在推送保护中的模式

可以自定义推送保护中包含的机密模式，让安全团队能够更好地控制组织仓库中阻止的机密类型。

在“其他设置”下，在“Secret scanning”部分和右侧的“模式配置”下，单击。
在显示的页面中，在“Organization setting”列中进行所需的更改。

可以使用相关列中的切换按钮为单个模式启用或禁用推送保护：企业级别为“Enterprise setting”，组织级别为“Organization setting”。

数据受范围限制，因此警报量、误报、绕过率或自定义模式的可用性反映了企业或组织中的用户/警报活动。____

随着我们提高精准率并推广模式，GitHub 默认值可能会随时间而变化。

注意

组织管理员和安全团队可以替代企业级别配置的设置。

有关如何在模式配置页上读取数据 secret scanning 的详细信息，请参阅机密扫描模式配置数据。

为组织创建安全管理员

安全管理员角色授予组织成员管理整个组织的安全设置和警报的权限。安全管理员可以通过安全概览,查看组织中所有存储库的数据。

要了解有关安全管理员角色的详细信息，请参阅管理组织中的安全管理员。

要分配安全管理员角色，请参阅“使用组织角色”。