組織での GitHub で推奨されるセキュリティ構成の適用

GitHub によって作成、管理、推奨されるセキュリティ有効化設定を使用して、コードを保護します。

この機能を使用できるユーザーについて

管理者 ロールを持つ組織の所有者、セキュリティ マネージャー、および組織メンバー

この記事の内容

GitHub-recommended security configuration は、GitHub の対象分野の専門家によって作成および維持される、GitHub のセキュリティ機能の有効化設定のコレクションです。 GitHub-recommended security configuration は、影響の低いリポジトリと影響の大きいリポジトリのセキュリティ リスクを正常に軽減するように設計されています。 この構成は、組織内のすべてのリポジトリに適用することをお勧めします。

Note

GitHub-recommended security configuration には、GitHub Code Security と GitHub Secret Protection の機能が含まれます。 Organization 内のプライベート リポジトリと内部リポジトリに構成を適用すると、使用コストが発生するか、ライセンスが必要になります。

  1. GitHub の右上隅でプロフィール写真を選んでから、 [Your organizations] をクリックします。1. 組織名の下で、 [設定] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウン メニューを選び、 [設定] をクリックします。

    組織のプロファイルのタブのスクリーンショット。 [設定] タブが濃いオレンジ色の枠線で囲まれています。
    1. サイドバーの [Security] セクションで、 [Advanced Security] ドロップダウン メニューを選び、[Configurations] をクリックします。

  2. 組織の構成テーブルの「GitHub 推奨」行で、「 に適用 」ドロップダウン メニューを選択し、「すべてのリポジトリ」または「構成なしのすべてのリポジトリ」をクリックします。

    Note

    Organization での既定の security configuration は、organization で作成された新しいリポジトリにのみ自動的に適用されます。 リポジトリが組織に転送された場合でも、リポジトリに対し適切な security configuration を手動で適用する必要があります。

  3. 変更が Secret Protection and Code Security ライセンスの消費に与える影響に関する詳細情報を確認します。 security configuration を適用するには、[適用] をクリックします。

security configuration は、アクティブなリポジトリとアーカイブされたリポジトリの両方に適用されます。一部のセキュリティ機能は、アーカイブされたリポジトリ (たとえば、secret scanning) で実行されるためです。 さらに、リポジトリが後にアーカイブされない場合は、選択した security configuration によって確実に保護されます。

  1. GitHub の右上隅でプロフィール写真を選んでから、 [Your organizations] をクリックします。1. 組織名の下で、 [設定] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウン メニューを選び、 [設定] をクリックします。

    組織のプロファイルのタブのスクリーンショット。 [設定] タブが濃いオレンジ色の枠線で囲まれています。
    1. サイドバーの [Security] セクションで、 [Advanced Security] ドロップダウン メニューを選び、[Configurations] をクリックします。

  2. 必要に応じて、[構成の適用] セクションでビューをフィルター処理して、GitHub-recommended security configuration を適用するリポジトリを見つけます。 リポジトリ テーブルをフィルター処理する方法については、「リポジトリ テーブルを使用した組織内のリポジトリのフィルター処理」を参照してください。

  3. リポジトリ テーブルで、次の 3 つの方法のいずれかを使用してリポジトリを選択します。

    • security configuration を適用する各リポジトリを選択します。
    • リポジトリ テーブルの現在のページに表示されているすべてのリポジトリを選択するには、[NUMBER repositories] に関連付けられているチェックボックスをオンにします。
    • リポジトリの現在のページである "25 of NUMBER selected" を選択した後、適用したフィルターに一致する organization の "すべて" のリポジトリを選択するには、[Select all] をクリックします。__

  4. [構成 の適用] ドロップダウン メニューを選択し、[GitHub 推奨] をクリックします。

    Note

    Organization での既定の security configuration は、organization で作成された新しいリポジトリにのみ自動的に適用されます。 リポジトリが組織に転送された場合でも、リポジトリに対し適切な security configuration を手動で適用する必要があります。

  5. 変更が Secret Protection and Code Security ライセンスの消費に与える影響に関する詳細情報を確認します。 security configuration を適用するには、[適用] をクリックします。

security configuration は、アクティブなリポジトリとアーカイブされたリポジトリの両方に適用されます。一部のセキュリティ機能は、アーカイブされたリポジトリ (たとえば、secret scanning) で実行されるためです。 さらに、リポジトリが後にアーカイブされない場合は、選択した security configuration によって確実に保護されます。

  1. GitHub の右上隅でプロフィール写真を選んでから、 [Your organizations] をクリックします。

  2. 組織名の下で、 [設定] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウン メニューを選び、 [設定] をクリックします。

    組織のプロファイルのタブのスクリーンショット。 [設定] タブが濃いオレンジ色の枠線で囲まれています。

  3. サイドバーの [Security] セクションで、 [Advanced Security] ドロップダウン メニューを選び、[Configurations] をクリックします。

  4. [Security configurations] セクションで、[GitHub recommended] を選びます。

  5. [構成の適用] の横にある [ポリシー] セクションで、ドロップダウン メニューから [適用] を選択します。

Note

Organization 内のユーザーが REST API を使用して、適用された構成の機能の有効化状態を変更しようとすると、API コールは成功したように見えますが、有効化状態は変更されません。

状況によっては、リポジトリに対する security configurations の適用が中断される場合があります。 たとえば、次の場合、code scanning の有効化はリポジトリには適用されません。

  • GitHub Actions は、最初はリポジトリで有効になっていますが、その後、リポジトリで無効になります。
  • code scanning 構成に必要な GitHub Actions は、リポジトリで使用できません。
  • code scanning の既存のセットアップを使用して言語を分析することができない定義が変更されます。

次のステップ

GitHub-recommended security configuration を適用した後、global settings を使用して組織レベルのセキュリティ設定をカスタマイズできます。 「組織のグローバル セキュリティ設定の構成」を参照してください。

security configuration を適用しようとすると、エラーが発生することがあります。 詳細については、「構成のアタッチ エラーを見つけて修正する」および「セキュリティ構成のトラブルシューティング」を参照してください。