カスタム セキュリティ構成を作成する

          custom security configurations

の概要

          custom security configurationsを使用すると、組織の特定のセキュリティ ニーズを満たすために、GitHubのセキュリティ製品の有効化設定のコレクションを作成できます。 たとえば、組織または組織のグループごとに異なる custom security configuration を作成して、固有のセキュリティ要件とコンプライアンスの義務を反映させることができます。

セキュリティ構成を作成するときは、次の点に注意してください。

• GitHub Enterprise Server インスタンスにサイト管理者によってインストールされた機能のみが UI に表示されます。
• GitHub Advanced Security 機能は、組織または GitHub Enterprise Server インスタンスが GitHub Advanced Security ライセンスを保持している場合にのみ表示されます。
• Dependabot security updatesや既定のセットアップcode scanningなどの特定の機能では、GitHub ActionsがGitHub Enterprise Server インスタンスにインストールされている必要もあります。

          custom security configuration の作成

1. GitHub の右上隅にあるプロフィール画像をクリックしてから、[ Your organizations] をクリックします。

2. Organization 名の下で、[ Settings] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウン メニューを選び、 [設定] をクリックします。

   

3. サイドバーの [セキュリティ] セクションで、 Code security and analysis ドロップダウン メニューを選択し、[ 構成] をクリックします。

4. [コード セキュリティ構成] セクションで、[新しい構成] をクリックします。

5.        custom security configurationを特定し、[コード security configurations] ページでその目的を明確にするには、構成に名前を付けて説明を作成します。
   

6. [GitHub Advanced Security 機能] 行で、 GitHub Advanced Security (GHAS) 機能を含めるか除外するかを選択します。 GHAS 機能を持つ custom security configuration をリポジトリに適用する場合は、それらのリポジトリに対してアクティブな一意のコミッターごとに使用可能な GHAS ライセンスが必要です。そうしないと、機能は有効になりません。 「GitHub Advanced Security ライセンス請求」を参照してください。

7. セキュリティの設定テーブルの [依存関係グラフと Dependabot] セクションで、次のセキュリティ機能を、有効にするか、無効にするか、既存の設定を保持するかを選択します。

   • Dependabot alerts。 Dependabotの詳細については、「AUTOTITLE」を参照してください。
   • セキュリティ更新プログラム。 セキュリティ アップデートの詳細については、「Dependabot のセキュリティ アップデート」を参照してください。

   メモ

   依存関係グラフの有効化設定は、手動で変更することはできません。 この設定は、インスタンス レベルでサイト管理者によってインストールおよび管理されます。

8. セキュリティ設定テーブルの [Code scanning] セクションで、既定のセットアップに対して既存の設定 code scanning 有効、無効、または保持するかどうかを選択します。 既定のセットアップの詳細については、「コード スキャンの既定セットアップの構成」を参照してください。

9. セキュリティ設定テーブルの [Secret scanning] セクションで、次のセキュリティ機能の既存の設定を有効、無効、または保持するかどうかを選択します。

   • アラート。 シークレット スキャンニング アラートの詳細については、「AUTOTITLE」を参照してください。
   • プロバイダー以外のパターン。 プロバイダー以外のパターンのスキャンの詳細については、 サポートされているシークレット スキャン パターン と シークレット スキャンからのアラートの表示とフィルター処理 を参照してください。
   • プッシュ保護。 プッシュ保護の詳細については、「プッシュ保護について」を参照してください。

10. 必要に応じて、[ポリシー] セクションで、新しく作成されたリポジトリの可視性に応じて、 security configuration を自動的に適用するように選択できます。 [なし]ドロップダウン メニューを選択し、[パブリック]、[プライベートと内部]、または [すべてのリポジトリ] をクリックします。

    メモ

    Organization での既定の security configuration は、organization で作成された新しいリポジトリにのみ自動的に適用されます。 リポジトリが組織に転送された場合でも、リポジトリに対し適切な security configuration を手動で適用する必要があります。

11. 必要に応じて、[ポリシー] セクションで、構成を適用し、リポジトリ所有者が構成によって有効または無効になっている機能を変更できないようにすることができます (設定されていない機能は適用されません)。 [構成の強制] の横にあるドロップダウン メニューから [強制] を選択します。

    メモ

    状況によっては、security configurationsの実施が妨げられることがあります。 「セキュリティ構成の適用」を参照してください。

12.        custom security configurationの作成を完了するには、[**構成の保存]** をクリックします。
    

次のステップ

組織内のリポジトリに custom security configuration を適用するには、 カスタム セキュリティ構成の適用 を参照してください。

custom security configuration の編集方法については、「カスタム セキュリティ構成の編集」を参照してください。