Informationen zum Problem
Wenn du die security configuration anwendest und code scanning als „Enabled with advanced setup allowed“ definiert ist, wird jedes Repository überprüft, um festzustellen, ob ein vorhandenes, aktives und erweitertes Setup vorhanden ist.
- Keine Änderung an code scanning, wenn eine aktive erweiterte Setupkonfiguration erkannt wird.
- Das Standardsetup ist für Repositorys aktiviert, bei denen das erweiterte Setup inaktiv oder nicht vorhanden ist.
Inaktives oder nicht vorhandenes erweitertes Setup
Ein erweitertes Setup gilt für ein Repository als inaktiv, wenn das Repository eines der folgenden Kriterien erfüllt:
- Die letzte CodeQL-Analyse ist über 90 Tage alt.
- Alle CodeQL-Konfigurationen wurden gelöscht.
- Die Workflowdatei wurde gelöscht oder deaktiviert (ausschließlich für die erweiterte Setupausführung mithilfe von Aktionen).
Lösen des Problems
Diese Lösung ist zweiteilig:
-
Alle Repositorys, in denen das Standardsetup für code scanning unerwartet angewendet wurde, müssen die CodeQL-Analyse in Intervallen von weniger als 90 Tagen ausführen, z. B. einmal im Monat.
Selbst wenn sich das Repository nicht in der aktiven Entwicklung befindet, können neue Sicherheitsrisiken durch Aktualisierungen der CodeQL-Analyse ermittelt werden.
-
Sobald die CodeQL-Analyse für alle betroffenen Repositorys ausgeführt wird, kannst du die security configuration erneut anwenden.