カスタムセキュリティ構成の作成

custom security configurations

について

custom security configurations を構成する前に、GitHub-recommended security configuration を使用して Organization をセキュリティで保護してから、リポジトリのセキュリティ指摘事項を評価することをお勧めします。詳しくは、「組織での GitHub で推奨されるセキュリティ構成の適用」を参照してください。

custom security configurations を使用すると、GitHub のセキュリティ製品の有効化設定のコレクションを作成して、Organization の特定のセキュリティニーズを満たすことができます。たとえば、リポジトリのグループごとに異なる custom security configuration を作成し、さまざまなレベルの可視性、リスク許容度、および影響を反映できます。

custom security configuration の作成

注: 一部のセキュリティ機能の有効化状態は、他の上位レベルのセキュリティ機能に依存します。たとえば、依存関係グラフを無効にすると、Dependabot、脆弱性の漏えいの分析、セキュリティアップデートも無効になります。 security configurations の場合、依存セキュリティ機能はインデントとで示されます。

GitHub の右上隅で、プロフィール写真を選択し、 あなたの組織をクリックします。
組織名の下で、 [設定] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウンメニューを選び、 [設定] をクリックします。
サイドバーの [セキュリティ] セクションで、ドロップダウンメニューの [コードセキュリティ] を選択し、次に [構成] をクリックします。
[コードセキュリティ構成] セクションで、[新しい構成] をクリックします。
custom security configuration を特定し、その目的を [コード security configurations] ページで明確にするには、構成に名前を付けて説明を作成します。
[GitHub Advanced Security 機能] 行で、GitHub Advanced Security (GHAS) 機能を含めるか除外するかを選択します。 GHAS 機能を持つ custom security configuration をプライベートリポジトリに適用する場合は、それらのリポジトリに対するアクティブな一意のコミッターごとに使用可能な GHAS ライセンスが必要です。そうでないと、機能は有効になりません。「GitHub Advanced Security の課金について」を参照してください。
セキュリティの設定テーブルの [依存関係グラフ] セクションで、次のセキュリティ機能について、有効にするか、無効にするか、既存の設定を保持するかを選択します。
- 依存関係グラフ依存関係グラフの詳細については、「依存関係グラフについて」を参照してください。
- 依存関係の自動送信。依存関係の自動送信の詳細については、「リポジトリの依存関係の自動送信の構成」を参照してください。
- Dependabot。 Dependabot の詳細については、「Dependabot アラートについて」を参照してください。
- セキュリティ更新プログラム。セキュリティアップデートの詳細については、「Dependabot のセキュリティアップデート」を参照してください。
注: 脆弱な関数呼び出しについては、有効化設定を手動で変更することはできません。 GitHub Advanced Security 機能と Dependabot alerts が有効になっている場合、脆弱な関数呼び出しも有効になります。それ以外の場合は、無効になります。
セキュリティの設定テーブルの [Code scanning] セクションで、code scanning の既定のセットアップについて、有効にするか、無効にするか、既存の設定を保持するかを選択します。既定のセットアップの詳細については、「コードスキャンの既定セットアップの構成」を参照してください。
セキュリティの設定テーブルの [Secret scanning] セクションで、次のセキュリティ機能について、有効にするか、無効にするか、既存の設定を保持するかを選択します。
- Secret scanning。 secret scanning の詳細については、「シークレットスキャンについて」を参照してください。
- プッシュ保護。プッシュ保護の詳細については、「プッシュ保護について」を参照してください。
セキュリティの設定テーブルの [プライベート脆弱性レポート] セクションで、プライベート脆弱性レポートについて、有効にするか、無効にするか、既存の設定を保持するかを選択します。プライベート脆弱性レポートの詳細については、「リポジトリのプライベート脆弱性レポートの構成」を参照してください。
必要に応じて、[ポリシー] セクションで、新しく作成されたリポジトリに security configuration を可視性に応じて自動的に適用することを選択できます。 [なし] ドロップダウンメニューを選択し、[パブリック] または [プライベートと内部]、またはその両方をクリックします。

注: 組織でのデフォルトの security configuration は、組織で作成された新しいリポジトリにのみ自動的に適用されます。リポジトリが組織に転送された場合でも、リポジトリに対し適切な security configuration を手動で適用する必要があります。
必要に応じて、[ポリシー] セクションで、構成を適用し、リポジトリ所有者が構成によって有効または無効になっている機能を変更できないようにすることができます (設定されていない機能は適用されません)。 [構成の強制] の横にあるドロップダウンメニューから [強制] を選択します。
Note

Organization 内のユーザーが REST API を使用して、適用された構成の機能の有効化状態を変更しようとすると、API コールは成功したように見えますが、有効化状態は変更されません。

状況によっては、リポジトリに対する security configurations の適用が中断される場合があります。たとえば、次の場合、code scanning の有効化はリポジトリには適用されません。
- GitHub Actions は、最初はリポジトリで有効になっていますが、その後、リポジトリで無効になります。
- code scanning 構成に必要な GitHub Actions は、リポジトリで使用できません。
- code scanning の既存のセットアップを使用して言語を分析することができない定義が変更されます。
custom security configuration の作成を完了するには、[構成の保存] をクリックします。