はじめに
このガイドは、Organizationでのセキュリティ機能の設定方法を紹介します。 Organizationのセキュリティの要件は固有のものであり、すべてのセキュリティの機能を有効化する必要はないかもしれません。 詳しい情報については「GitHubのセキュリティ機能」を参照してください。
Some security features are only available for public repositories, and for private repositories owned by organizations with an Advanced Security license. 詳しい情報については、「GitHub Advanced Security について」を参照してください。
Organizationへのアクセス管理
You can use roles to control what actions people can take in your organization. For example, you can assign the security manager role to a team to give them the ability to manage security settings across your organization, as well as read access to all repositories. For more information, see "Roles in an organization."
デフォルトのセキュリティポリシーの作成
独自のセキュリティポリシーを持たないOrganization内のパブリックリポジトリで表示される、デフォルトのセキュリティポリシーを作成できます。 詳しい情報については「デフォルトのコミュニティ健全性ファイルを作成する」を参照してください。
Dependabotアラート及び依存関係グラフの管理
By default, GitHub detects vulnerabilities in public repositories and generates Dependabotアラート and a dependency graph. You can enable or disable Dependabotアラート and the dependency graph for all private repositories owned by your organization.
- 自分のプロフィール写真をクリックし、続いて Organizationsをクリックしてください。
- Organizationの隣の Settings（設定）をクリックしてください。
- Security & analysis（セキュリティと分析）をクリックしてください。
- 管理したい機能の隣のEnable all（すべてを有効化）あるいはDisable all（すべてを無効化をクリックしてください。
- あるいはAutomatically enable for new repositories（自動的に新しいリポジトリで有効化を選択してください。
詳しい情報については「脆弱な依存関係に対するアラートについて」、「リポジトリの依存関係の調査」、「Organizationのセキュリティと分析設定の管理」を参照してください。
依存関係レビューの管理
依存関係レビューを使うと、Pull Requestがリポジトリにマージされる前に、Pull Request内での依存関係の変化を可視化できます。 Dependency review is available in all public repositories. For private and internal repositories you require a license for Advanced Security. To enable dependency review for an organization, enable the dependency graph and enable Advanced Security.
詳しい情報については「依存関係レビューについて」を参照してください。
Dependabotセキュリティアップデートの管理
Dependabotアラートを使用するリポジトリでは、Dependabotセキュリティアップデートを有効化して脆弱性が検出された際にセキュリティ更新でPull Requestを発行させることができます。 Organization全体で、すべてのリポジトリでDependabotセキュリティアップデートを有効化あるいは無効化することもできます。
- 自分のプロフィール写真をクリックし、続いて Organizationsをクリックしてください。
- Organizationの隣の Settings（設定）をクリックしてください。
- Security & analysis（セキュリティと分析）をクリックしてください。
- Dependabotセキュリティアップデートの隣のEnable all（すべてを有効化）あるいはDisable all（すべてを無効化）をクリックしてください。
- あるいはAutomatically enable for new repositories（自動的に新しいリポジトリで有効化を選択してください。
詳しい情報については「Dependabotセキュリティアップデートについて」及び「Organizationのセキュリティ及び分析設定の管理」を参照してください。
Dependabotバージョンアップデートの管理
Dependabotを有効化して、依存関係を最新の状態に保つためのPull Requestを自動的に発行するようにできます。 詳しい情報については「Dependabotバージョンアップデートについて」を参照してください。
Dependabotバージョンアップデートを有効化するには、設定ファイルのdependabot.ymlを作成しなければなりません。 詳しい情報については「バージョンアップデートの有効化と無効化」を参照してください。
GitHub Advanced Securityの管理
OrganizationがAdvanced Securityのライセンスを持っているなら、Advanced Securityの機能を有効化あるいは無効化できます。
- 自分のプロフィール写真をクリックし、続いて Organizationsをクリックしてください。
- Organizationの隣の Settings（設定）をクリックしてください。
- Security & analysis（セキュリティと分析）をクリックしてください。
- GitHub Advanced Securityの隣のEnable all（すべてを有効化）あるいはDisable all（すべてを無効化）をクリックしてください。
- あるいはAutomatically enable for new private repositories（自動的に新しいプライベートリポジトリで有効化を選択してください。
詳しい情報については「GitHub Advanced Securityについて」及び「Organizationのセキュリティ及び分析設定の管理」を参照してください。
secret scanningの設定
Secret scanning is available for all public repositories, and for private repositories owned by organizations with an Advanced Security license.
Advanced Securityが有効化されているOrganizationのすべてのリポジトリで、secret scanningを有効化あるいは無効化できます。
- 自分のプロフィール写真をクリックし、続いて Organizationsをクリックしてください。
- Organizationの隣の Settings（設定）をクリックしてください。
- Security & analysis（セキュリティと分析）をクリックしてください。
- Secret scanningの隣のEnable all（すべてを有効化）あるいはDisable all（すべてを無効化）をクリックしてください（GitHub Advanced Securityリポジトリのみ）。
- あるいはAutomatically enable for private repositories added to Advanced Securityを選択してください。
詳しい情報については「Organizatonのためのセキュリティ及び分析設定の管理」を参照してください。
次のステップ
You can view, filter, and sort security alerts for repositories owned by your organization in the security overview. For more information, see "About the security overview."
セキュリティの機能からのアラートを表示及び管理して、コード中の依存関係と脆弱性に対処できます。 For more information, see "Viewing and updating vulnerable dependencies in your repository," "Managing pull requests for dependency updates," "Managing code scanning for your repository," and "Managing alerts from secret scanning."
If you have a security vulnerability, you can create a security advisory to privately discuss and fix the vulnerability. 詳しい情報については「GitHub Security Advisoriesについて」及び「セキュリティアドバイザリの作成」を参照してください。