カスタム セキュリティ構成を作成する

組織内のリポジトリの特定のセキュリティ ニーズを満たす custom security configuration を構築します。

この機能を使用できるユーザーについて

管理者 ロールを持つ組織の所有者、セキュリティ マネージャー、および組織メンバー

この記事で

          custom security configurations

の概要

          custom security configurationsを使用すると、組織の特定のセキュリティ ニーズを満たすために、GitHubのセキュリティ製品の有効化設定のコレクションを作成できます。 たとえば、組織または組織のグループごとに異なる custom security configuration を作成して、固有のセキュリティ要件とコンプライアンスの義務を反映させることができます。



          GitHub Code Security機能とGitHub Secret Protection機能のどちらを構成に含めるかを選択することもできます。

その場合は、プライベート リポジトリと内部リポジトリに適用すると、これらの機能によって使用コストが発生する (または GitHub Advanced Security ライセンスが必要) ことに注意してください。 詳しくは、「GitHub Advanced Security について」をご覧ください。

          >[!IMPORTANT]
          > 一部の設定の順序と名前は、お使いのライセンスが、元の GitHub Advanced Security 製品用のものか、それとも GitHub Code Security と GitHub Secret Protection の 2 つの新しい製品用のものかによって異なります。
          [
          GitHub Advanced Security構成の作成](#creating-a-github-advanced-security-configuration)または[Secret Protection and Code Security構成の作成を](#creating-a-secret-protection-and-code-security-configuration)参照してください。


          Secret Protection and Code Security構成の作成

  1. GitHub の右上隅にあるプロフィール画像をクリックしてから、[ Your organizations] をクリックします。

  2. Organization 名の下で、[ Settings] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウン メニューを選び、 [設定] をクリックします。

    組織のプロファイルのタブのスクリーンショット。 [設定] タブが濃いオレンジ色の枠線で囲まれています。

  3. サイドバーの [セキュリティ] セクションで、 Advanced Security ドロップダウン メニューを選択し、[ 構成] をクリックします。

  4. [Security configurations] セクションで、[ 新しい構成] をクリックします。

  5. リポジトリのセキュリティ機能のグループを構成するには、[ カスタム構成] をクリックします。

  6.        custom security configurationを特定し、[Security configurations] ページでその目的を明確にするには、構成に名前を付けて説明を作成します。

  7. 必要に応じて、プライベート Secret Protectionと内部 リポジトリの有料機能である "" を有効にします。 Secret Protectionを有効にすると、secret scanningのアラートが有効になります。 さらに、次の secret scanning 機能の既存の設定を有効、無効、または保持するかどうかを選択できます。

    メモ

    拡張メタデータ チェックは、有効性チェックが有効になっている場合にのみ有効にできます。

  8. 必要に応じて、プライベート Code Securityと内部 リポジトリの有料機能である "" を有効にします。 次の code scanning 機能の既存の設定を有効、無効、または保持するかどうかを選択できます。

メモ

code scanning の現在のセットアップに関係なく、すべてのリポジトリに適用できる構成を作成するには、[Enabled with advanced setup allowed] を選びます。 この設定では、既定のセットアップは CodeQL 分析がアクティブに実行されていないリポジトリでのみ有効になります。 GitHub Enterprise Server 3.19 以降で利用できるオプション。__

  1. [Code Security] の下の [依存関係スキャン] テーブルで、次の依存関係スキャン機能の既存の設定を有効、無効、または保持するかどうかを選択します。

           Malware alerts
       **. 詳細については、 [AUTOTITLE](/code-security/concepts/supply-chain-security/dependabot-malware-alerts) を参照してください。

  2. [プライベート脆弱性レポート] で、既存の設定を有効化、無効化、または保持するかどうかを選択します。 プライベート脆弱性レポートの詳細については、 リポジトリのプライベート脆弱性レポートの構成 を参照してください。

  3. 必要に応じて、[ポリシー] セクションで、追加のオプションを使用すると、構成の適用方法を制御できます。

    • 新しく作成されたリポジトリの既定値として使用します。 [ なし ドロップダウン メニューを選択し、[ パブリック]、[ プライベート]、[内部]、[ すべてのリポジトリ] の順にクリックします。

    メモ

    Organization での既定の security configuration は、organization で作成された新しいリポジトリにのみ自動的に適用されます。 リポジトリが組織に転送された場合でも、リポジトリに対し適切な security configuration を手動で適用する必要があります。

    • 構成を強制します。 リポジトリ所有者は、構成によって有効または無効になっている機能を変更できなくなります (設定されていない機能は適用されません)。 ドロップダウン メニューから [Enforce] を選択します。

    メモ

    状況によっては、security configurationsの実施が妨げられることがあります。 「セキュリティ構成の適用」を参照してください。

  4.        custom security configurationの作成を完了するには、[**構成の保存]** をクリックします。


          GitHub Advanced Security構成の作成

  1. GitHub の右上隅にあるプロフィール画像をクリックしてから、[ Your organizations] をクリックします。

  2. Organization 名の下で、[ Settings] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウン メニューを選び、 [設定] をクリックします。

    組織のプロファイルのタブのスクリーンショット。 [設定] タブが濃いオレンジ色の枠線で囲まれています。

  3. サイドバーの [セキュリティ] セクションで、 Advanced Security ドロップダウン メニューを選択し、[ 構成] をクリックします。

  4. [セキュリティ構成] セクションで、[新しい構成] をクリックします。

  5.        custom security configurationを特定し、[新しい構成] ページでその目的を明確にするには、構成に名前を付けて説明を作成します。

  6. [GitHub Advanced Security 機能] 行で、 GitHub Advanced Security (GHAS) 機能を含めるか除外するかを選択します。

  7. [Secret scanning] テーブルで、次のセキュリティ機能の既存の設定を有効、無効、または保持するかどうかを選択します。

  8. [Code scanning] テーブルで、既定のセットアップに対して既存の設定 code scanning 有効、無効、または保持するかどうかを選択します。

メモ

code scanning の現在のセットアップに関係なく、すべてのリポジトリに適用できる構成を作成するには、[Enabled with advanced setup allowed] を選びます。 この設定では、既定のセットアップは CodeQL 分析がアクティブに実行されていないリポジトリでのみ有効になります。 GitHub Enterprise Server 3.19 以降で利用できるオプション。__

  1. [依存関係スキャン] テーブルで、次の依存関係スキャン機能の既存の設定を有効にする、無効にする、または保持するかを選択します。

           Malware alerts
       **. 詳細については、 [AUTOTITLE](/code-security/concepts/supply-chain-security/dependabot-malware-alerts) を参照してください。

  2. [プライベート脆弱性レポート] で、既存の設定を有効化、無効化、または保持するかどうかを選択します。 プライベート脆弱性レポートの詳細については、 リポジトリのプライベート脆弱性レポートの構成 を参照してください。

  3. 必要に応じて、[ポリシー] セクションで、追加のオプションを使用すると、構成の適用方法を制御できます。

    • 新しく作成されたリポジトリの既定値として使用します。 [ なし ドロップダウン メニューを選択し、[ パブリック]、[ プライベート]、[内部]、[ すべてのリポジトリ] の順にクリックします。

    メモ

    Organization での既定の security configuration は、organization で作成された新しいリポジトリにのみ自動的に適用されます。 リポジトリが組織に転送された場合でも、リポジトリに対し適切な security configuration を手動で適用する必要があります。

    • 構成を強制します。 リポジトリ所有者は、構成によって有効または無効になっている機能を変更できなくなります (設定されていない機能は適用されません)。 ドロップダウン メニューから [Enforce] を選択します。
  4.        custom security configurationの作成を完了するには、[**構成の保存]** をクリックします。

次のステップ

組織内のリポジトリに custom security configuration を適用するには、 カスタム セキュリティ構成の適用 を参照してください。

custom security configuration の編集方法については、「カスタム セキュリティ構成の編集」を参照してください。