조직의 보안 및 분석 설정 관리

보안 및 분석 설정 관리 정보

GitHub은(는) 조직의 리포지토리를 보호하는 데 도움이 될 수 있습니다. 구성원이 조직에서 만드는 모든 기존 또는 새 리포지토리에 대한 보안 및 분석 기능을 관리할 수 있습니다.

GitHub Advanced Security에 대한 라이선스를 가진 엔터프라이즈가 조직을 소유한 경우 보안 및 분석 설정을 관리하기 위한 추가 옵션을 사용할 수 있습니다. 자세한 내용은 "엔터프라이즈용 GitHub Advanced Security 기능 관리"을(를) 참조하세요.

보안 및 분석 설정 표시

1. GitHub의 오른쪽 위 모서리에서 프로필 사진을 선택하고 조직을 클릭합니다.
2. 조직 옆에 있는 설정을 클릭합니다.
3. 사이드바의 "보안" 섹션에서 코드 보안 및 분석을 클릭합니다.

표시되는 페이지에서는 조직의 리포지토리에 대한 모든 보안 및 분석 기능을 사용하거나 사용하지 않도록 설정할 수 있습니다.

GitHub Advanced Security에 대한 라이선스가 있는 경우 페이지에는 Advanced Security 기능을 사용하거나 사용하지 않도록 설정하는 옵션도 포함됩니다. GitHub Advanced Security을(를) 사용하는 모든 리포지토리가 페이지 아래쪽에 나열됩니다.

모든 기존 리포지토리에 대한 기능 사용 또는 사용 안 함

모든 리포지토리에 대해 기능을 사용하거나 사용하지 않도록 설정할 수 있습니다.

1. 조직의 보안 및 분석 설정으로 이동합니다. 자세한 내용은 “보안 및 분석 설정 표시”를 참조하세요.

2. “코드 보안 및 분석”에서 기능 오른쪽에 있는 모두 사용 중지 또는 모두 사용을 클릭해 확인 대화 상자를 표시합니다. GitHub Advanced Security에 대한 사용 가능한 라이선스가 없는 경우, "GitHub Advanced Security"에 대한 제어가 사용 중지됩니다.

3. 대화 상자에 제공된 정보를 검토합니다.

4. 필요에 따라 비공개 취약성 보고, 종속성 그래프 또는 Dependabot을(를) 사용 설정하려면, 새 리포지토리에 대해 기본적으로 사용 설정을 선택합니다.

   

5. 변경할 준비가 되면 기능 사용 중지 또는 기능 사용을 클릭하여 조직의 모든 리포지토리에 대해 기능을 사용하거나 사용하지 않도록 설정합니다.

6. 필요에 따라 보안 및 분석 설정의 기능 섹션에서 추가 사용 설정을 선택합니다. 추가 사용 설정에는 다음이 포함될 수 있습니다.

   • 특정 유형의 리포지토리에 대한 자동 사용 설정
   • 조직 전체에서 code scanning 기본 설정에 대한 확장 쿼리 모음을 권장하거나 secret scanning에 대한 자동 비밀 유효성 검사와 같은 기능별 설정

   참고:

   • 모든 리포지토리에 대해 CodeQL code scanning을(를) 사용하지 않도록 설정하면 이 변경 내용은 조직의 보안 개요에 표시된 적용 범위 정보에 반영되지 않습니다. 리포지토리는 "보안 검사" 보기에서 code scanning을(를) 사용하도록 설정된 것으로 표시됩니다.

기존 리포지토리에 대해 하나 이상의 보안 및 분석 기능을 사용하도록 설정하면 몇 분 내로 GitHub에 결과가 표시됩니다.

• 선택한 구성이 모든 기존 리포지토리에 제공됩니다.
• 새 리포지토리에 대해 해당 확인란을 사용하도록 설정한 경우 새 리포지토리는 선택한 구성을 따릅니다.
• 사용하도록 설정하면 Dependabot 보안 업데이트는 Dependabot alerts가 트리거될 때 취약한 종속성을 업그레이드하기 위한 끌어오기 요청을 만듭니다.

새 리포지토리가 추가되면 자동으로 기능 사용 또는 사용 안 함

1. 조직의 보안 및 분석 설정으로 이동합니다. 자세한 내용은 “보안 및 분석 설정 표시”를 참조하세요.
2. “코드 보안 및 분석”에서 기능으로 간 다음, 조직에 있는 새 리포지토리에 대해 기본적으로 기능을 사용하거나 사용하지 않도록 설정합니다.

Dependabot에서 비공개 또는 내부 종속성에 액세스할 수 있도록 허용

Dependabot은(는) 프로젝트에서 오래된 종속성 참조를 검사하고 자동으로 끌어오기 요청을 생성하여 업데이트할 수 있습니다. 이렇게 하려면 Dependabot이(가) 모든 대상 종속성 파일에 액세스할 수 있어야 합니다. 일반적으로 하나 이상의 종속성에 액세스할 수 없는 경우 버전 업데이트가 실패합니다. 자세한 내용은 "Dependabot 버전 업데이트 정보"을(를) 참조하세요.

기본적으로 Dependabot에서는 비공개 또는 내부 리포지토리 또는 비공개 또는 내부 리포지토리 패키지 레지스트리에 있는 종속성을 업데이트할 수 없습니다. 그러나 종속성이 해당 종속성을 사용하는 프로젝트와 동일한 조직 내의 비공개 또는 내부 GitHub 리포지토리에 있는 경우 Dependabot에서 호스트 리포지토리에 대한 액세스 권한을 부여하여 버전을 성공적으로 업데이트하도록 허용할 수 있습니다.

코드가 비공개 또는 내부 레지스트리의 패키지에 종속된 경우 Dependabot에서 리포지토리 수준에서 이를 구성하여 이러한 종속성의 버전을 업데이트하도록 허용할 수 있습니다. 이 작업은 리포지토리의 dependabot.yml 파일에 인증 세부 정보를 추가하여 수행합니다. 자세한 내용은 "dependentabot.yml 파일 구성 옵션"을(를) 참조하세요.

Dependabot에서 비공개 또는 내부 GitHub 리포지토리에 액세스할 수 있도록 허용하려면 다음을 수행합니다.

1. 조직의 보안 및 분석 설정으로 이동합니다. 자세한 내용은 “보안 및 분석 설정 표시”를 참조하세요.

2. "Dependabot에서 비공개 리포지토리에 액세스하도록 권한 부여"에서 내부 및 비공개 리포지토리 추가를 클릭하여 리포지토리 검색 필드를 표시합니다.

   

3. Dependabot 액세스 권한을 부여하려는 리포지토리의 이름을 입력하기 시작합니다.

4. 조직에 있는 일치하는 리포지토리 목록이 표시되고 액세스를 허용하려는 리포지토리를 클릭하면 리포지토리가 허용 목록에 추가됩니다.

5. 필요에 따라 목록에서 리포지토리를 제거하려면 리포지토리의 오른쪽에서 을(를) 클릭합니다.

조직의 개별 리포지토리에서 GitHub Advanced Security에 대한 액세스 제거

"설정" 탭에서 리포지토리에 대한 GitHub Advanced Security 기능에 대한 액세스를 관리할 수 있습니다. 자세한 내용은 "리포지토리에 대한 보안 및 분석 설정 관리"을(를) 참조하세요. 그러나 조직의 “설정” 탭에서 리포지토리에 대한 GitHub Advanced Security 기능을 사용하지 않도록 설정할 수도 있습니다.

1. 조직의 보안 및 분석 설정으로 이동합니다. 자세한 내용은 “보안 및 분석 설정 표시”를 참조하세요.
2. GitHub Advanced Security을(를) 사용하도록 설정된 조직의 모든 리포지토리 목록을 보려면 “GitHub Advanced Security 리포지토리” 섹션으로 스크롤합니다.

표에는 각 리포지토리에 대한 고유 커밋자 수가 나열됩니다. 이는 GitHub Advanced Security에 대한 액세스를 제거하여 확보할 수 있는 라이선스입니다. 자세한 내용은 "GitHub Advanced Security 요금 청구 정보"을(를) 참조하세요.

1. 리포지토리에서 GitHub Advanced Security에 대한 액세스를 제거하고 리포지토리에 고유한 커밋자가 사용할 라이선스를 확보하려면 옆에 있는 버튼을 클릭합니다.
2. 확인 대화 상자에서 리포지토리 제거를 클릭하여 GitHub Advanced Security의 기능에 대한 액세스를 제거합니다.

추가 참고 자료

• "리포지토리 보안을 위한 빠른 시작"
• "비밀 검사 정보"
• "종속성 그래프 정보"
• "공급망 보안 정보"