Informationen zum code scanning
[Note: Without actual content provided by "Code scanning ist ein Feature, das du zum Analysieren des Codes in einem GitHub-Repository verwendest, um Sicherheitsrisiken und Codefehler zu finden. Alle von der Analyse ermittelten Probleme werden im Repository angezeigt.", the specific translation cannot be generated. Below is a hypothetical translation based on typical technical content related to code scanning.]
Verbesserungsvorschläge: Code-Scanning einführen Code scanning ist ein Feature, das du zum Analysieren des Codes in einem GitHub-Repository verwendest, um Sicherheitsrisiken und Codefehler zu finden. Alle von der Analyse ermittelten Probleme werden im Repository angezeigt.
Du kannst das code scanning so konfigurieren, dass die CodeQL-Analyse und Drittanbieteranalysen ausgeführt werden. Das Code scanning unterstützt auch das native Ausführen von Analysen mithilfe von GitHub Actions oder das externe Ausführen von Analysen mithilfe vorhandener CI/CD-Infrastrukturen. Die folgenden Punkte fassen die Möglichkeiten zusammen, die den Benutzern zur Verfügung stehen, wenn du deine GitHub Enterprise Server-Instanz so konfigurierst, dass code scanning mit Aktionen möglich ist.
- CodeQL: Verwendet GitHub Actions entweder mit der Standardeinrichtung (Konfigurieren des Standardsetups für das Code-Scanning) oder der erweiterten Einrichtung (Konfigurieren des erweiterten Setups für das Code-Scanning) oder führt eine CodeQL-Analyse in einem Continuous Integration-System (CI) eines Drittanbieters aus (Verwenden der Codeüberprüfung mit deinem vorhandenen CI-System)
- Drittanbieter: Verwendet GitHub Actions oder Drittanbietertools und lädt Ergebnisse zu GitHub hoch (Hochladen einer SARIF-Datei in GitHub)
Überprüfen, ob deine Lizenz Advanced Security
umfasst
Du kannst ermitteln, ob dein Unternehmen über eine Lizenz für Advanced Security verfügt, indem du die Einstellungen für dein Unternehmen überprüfst. Weitere Informationen finden Sie unter Aktivieren von GitHub Advanced Security für dein Unternehmen.
Voraussetzungen für das code scanning
-
Eine Lizenz für GitHub Advanced Security (weitere Informationen unter GitHub Advanced Security-Lizenzabrechnung)
-
Aktivierung des Code scanning in der Verwaltungskonsole (siehe Aktivieren von GitHub Advanced Security für dein Unternehmen)
-
Eine VM oder ein Container für die Ausführung der code scanning-Analyse
Ausführen des code scanning mithilfe von GitHub Actions
Bereitstellen eines selbst gehosteten Runners
GitHub kann code scanning mit einem GitHub Actions Workflow ausführen. Zunächst musst du einen oder mehrere selbstgehostete GitHub Actions-Runner in deiner Umgebung bereitstellen. Du kannst selbstgehostete Runner auf Repository-, Organisations- oder Unternehmenskontoebene bereitstellen. Informationen findest du unter Selbstgehosteten Runnern und Selbst-gehostete Runner hinzufügen.
Du musst sicherstellen, dass sich Git in der PATH-Variablen für alle selbstgehosteten Runner befindet, die du für die Ausführung von CodeQL-Aktionen verwendest.
Bereitstellen einer Runner-Skalierungsgruppe
Sie können Actions Runner Controller verwenden, um eine dedizierte Runner-Skalierungsgruppe für Ihre GitHub Enterprise Server-Instanz zu erstellen. Weitere Informationen findest du unter Bereitstellen von Runner-Skalierungsgruppen mit Actions Runner Controller.
Bereitstellen der Aktionen für das code scanning
Wenn du Aktionen für die Ausführung des code scanning in GitHub Enterprise Server verwenden möchtest, müssen die Aktionen auf deiner Appliance verfügbar sein.
Die CodeQL-Aktion ist in deiner GitHub Enterprise Server-Installation enthalten. Wenn GitHub Enterprise Server 3.14 und dein Runner GitHub Actions Zugriff auf das Internet besitzen, lädt die Aktion automatisch das CodeQL 2.17.6-Bundle herunter, das zum Durchführen der Analyse erforderlich ist. Alternativ kannst du ein Synchronisierungstool verwenden, um die neueste veröffentlichte Version des CodeQL-Analysebundles lokal verfügbar zu machen. Siehe Konfiguration der CodeQL Analyse auf einem Server ohne Internetzugriff unten.
Du kannst für das code scanning auch Aktionen von Drittanbietern für Benutzer*innen zur Verfügung stellen, indem du GitHub Connect einrichtest. Siehe Konfigurieren der Codeüberprüfung für Ihre Anwendung unten.
Konfigurieren der CodeQL-Analyse auf einem Server ohne Internetzugriff
Wenn der Server, auf dem du GitHub Enterprise Server ausführst, nicht mit dem Internet verbunden ist und du Benutzer*innen das Aktivieren des CodeQL-code scanning für ihre Repositorys ermöglichen möchtest, musst du mit dem CodeQL-Aktionssynchronisierungstool das CodeQL-Analysebundle von GitHub.com auf deinen Server kopieren. Das Tool und Einzelheiten zu seiner Verwendung findest du unter https://github.com/github/codeql-action-sync-tool.
Wenn du das CodeQL-Aktionssynchronisierungstool konfigurierst, kannst du damit die neuesten Releases der CodeQL-Aktion und das zugehörige CodeQL-Analysebundle synchronisieren. Diese sind mit GitHub Enterprise Server kompatibel.
Konfigurieren von GitHub Connect zum Synchronisieren von GitHub Actions
- Wenn du bei Bedarf Aktionsworkflows von GitHub.com herunterladen möchtest, musst du GitHub Connect aktivieren. Weitere Informationen findest du unter Aktivieren von GitHub Connect für GitHub.com.
- Außerdem musst du die GitHub Actions aktivieren. Weitere Informationen findest du unter Erste Schritte mit GitHub Actions für GitHub Enterprise Server.
- Der nächste Schritt besteht darin, den Zugriff auf Aktionen auf GitHub.com mithilfe von GitHub Connect zu konfigurieren. Weitere Informationen findest du unter Aktivieren des automatischen Zugriffs auf GitHub.com-Aktionen mit GitHub Connect.
- Füge deinem Repository-, Organisations- oder Unternehmenskonto einen selbstgehosteten Runner hinzu. Weitere Informationen findest du unter Selbst-gehostete Runner hinzufügen.
Ausführen des Codescannings mithilfe der CodeQL CLI
Wenn du GitHub Actions nicht verwenden möchtest, solltest du das code scanning mithilfe der CodeQL CLI ausführen.
Die CodeQL CLI ist ein Befehlszeilentool, das du zum Analysieren von Codebasen auf jedem beliebigen Computer (einschließlich eines CI/CD-Drittanbietersystems) verwenden kannst. Weitere Informationen findest du unter Verwenden der Codeüberprüfung mit deinem vorhandenen CI-System.