Zugreifen auf die global settings Seite für Ihre Organisation
-
Klicke in der rechten oberen Ecke von GitHub auf dein Profilbild und dann auf Your organizations.
-
Klicke unter dem Organisationsnamen auf Settings. Wenn die Registerkarte „Einstellungen“ nicht angezeigt wird, wähle im Dropdownmenü die Option Einstellungen aus.
-
Wählen Sie im Abschnitt "Sicherheit" der Randleiste das Advanced Security Dropdownmenü aus, und klicken Sie dann auf Global settings.
Konfigurieren globaler Dependabot Einstellungen
Sie können mehrere global settings anpassen für Dependabot:
- Erstellen und Verwalten Dependabot auto-triage rules
- Gruppieren von Sicherheitsupdates Dependabot
- Gewähren des Dependabot Zugriffs auf private und interne Repositorys
Erstellen und Verwalten Dependabot auto-triage rules
Sie können Dependabot auto-triage rules erstellen und verwalten, um Dependabot anzuweisen, Dependabot alerts automatisch zu schließen oder zu verschieben, und sogar Pull-Anfragen öffnen, um zu versuchen, diese zu lösen. Zum Konfigurieren Dependabot auto-triage rules klicken Sie auf und erstellen oder bearbeiten Sie eine Regel:
- Sie können eine neue Regel erstellen, indem Sie auf Neue Regel klicken, dann die Details für Ihre Regel eingeben und auf Regel erstellen klicken.
- Sie können eine vorhandene Regel bearbeiten, indem Sie auf die gewünschten Änderungen klicken und dann auf " Regel speichern" klicken.
Weitere Informationen Dependabot auto-triage rulesfinden Sie unter Über Auto-Triage-Regeln von Dependabot und Anpassen von Auto-Triage-Regeln zum Priorisieren von Dependabot-Warnungen.
Gruppierung Dependabot security updates
Dependabot kann alle automatisch vorgeschlagenen Sicherheitsupdates in einer einzigen Pull-Anforderung gruppieren. Um gruppierte Sicherheitsupdates zu aktivieren, wählen Sie **Gruppierte Sicherheitsupdates**. Weitere Informationen über gruppierte Updates und Anpassungsoptionen finden Sie unter [AUTOTITLE](/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configuring-dependabot-security-updates#grouping-dependabot-security-updates-into-a-single-pull-request).
Gewähren des Dependabot Zugriffs auf private und interne Repositorys
Um private Abhängigkeiten von Repositorys in Ihrer Organisation zu aktualisieren, benötigt Dependabot Zugriff auf diese Repositorys. Um Zugriff auf das gewünschte private Dependabotoder interne Repository zu gewähren, scrollen Sie nach unten zum Abschnitt "Zugriff auf private Repositorys gewährenDependabot", und verwenden Sie dann die Suchleiste, um das gewünschte Repository zu suchen und auszuwählen. Beachten Sie, dass, wenn der Zugriff auf ein Repository gewährt wird, dies bedeutet, dass alle Benutzer Ihrer Organisation durch Dependabot updates Zugriff auf die Inhalte dieses Repositorys haben. Weitere Informationen über die unterstützten Ökosysteme für private Repositories finden Sie unter Von Dependabot unterstützte Ökosysteme und Repositorys.
Konfigurieren globaler code scanning Einstellungen
Code scanning ist ein Feature, das du zum Analysieren des Codes in einem GitHub-Repository verwendest, um Sicherheitsrisiken und Codefehler zu finden. Alle von der Analyse ermittelten Probleme werden im Repository angezeigt.
Sie können empfehlen, dass Repositorys in Ihrer Organisation die Abfragesuite "Erweitert" anstelle der Abfragesuite "Standard" für eine umfassendere code scanning Abdeckung in Ihrer Organisation verwenden. Weitere Informationen finden Sie unter Empfehlung der erweiterten Abfragesuite für die Standardeinrichtung.
Empfehlung der erweiterten Abfragesuite für die Standardeinstellung
Code scanning bietet bestimmte Gruppen von CodeQL-Abfragen, die als CodeQL-Abfragesammlungen bezeichnet werden, um sie mit Ihrem Code auszuführen. Standardmäßig wird die Abfragesuite „Standard“ ausgeführt.
GitHub bietet auch die Abfragesuite "Extended", die alle Abfragen in der Abfragesuite "Standard" enthält, sowie zusätzliche Abfragen mit geringerer Genauigkeit und Schweregrad. Um die „Erweiterte“ Abfragesuite in Ihrer Organisation vorzuschlagen, wählen Sie **Empfehlen der erweiterten Abfragesuite für Repositories zur Aktivierung der Standardeinstellungen**. Weitere Informationen zu integrierten Abfragesammlungen für die CodeQL-Standardeinrichtung finden Sie unter [AUTOTITLE](/code-security/concepts/code-scanning/codeql/codeql-query-suites).
Erweiterung der CodeQL Analyse
Sie können die Analyseabdeckung für alle Repositorys in Ihrer Organisation, die das Standardsetup verwenden, erweitern, indem Sie Modellpakete konfigurieren. Modellpakete erweitern die CodeQL Analyse, um zusätzliche Frameworks und Bibliotheken zu erkennen, die nicht in den Standardbibliotheken CodeQL enthalten sind. Diese globale Konfiguration gilt für Repositorys mit Standardsetup und ermöglicht Ihnen die Angabe von Modellpaketen, die über die Containerregistrierung veröffentlicht wurden. Weitere Informationen finden Sie unter Bearbeiten der Konfiguration des Standardsetups.
Konfigurieren globaler secret scanning Einstellungen
Secret scanning ist ein Sicherheitstool, das den gesamten Git-Verlauf von Repositorys sowie Probleme, Pullanforderungen und Diskussionen in diesen Repositorys auf geleakte Geheimnisse, die versehentlich übergeben wurden, z. B. Tokens oder private Schlüssel.
Sie können mehrere global settings für secret scanning anpassen:
- Hinzufügen eines Ressourcenlinks für blockierte Übertragungen
- Definieren von benutzerdefinierten Mustern
Hinzufügen eines Ressourcenlinks für blockierte Übertragungen
Um Entwicklern Kontext zu bieten, wenn secret scanning ein Commit blockiert wird, können Sie einen Link mit weiteren Informationen dazu anzeigen, warum der Commit blockiert wurde. Um einen Link einzubinden, wählen Sie Hinzufügen eines Ressourcenlinks in der CLI und der Web-UI, wenn eine Übertragung blockiert ist. Geben Sie im Textfeld den Link zur gewünschten Ressource ein, und klicken Sie dann auf " Verknüpfung.
Definieren benutzerdefinierter Muster
Sie können benutzerdefinierte Muster für secret scanning mithilfe von regulären Ausdrücken definieren. Benutzerdefinierte Muster können geheime Schlüssel identifizieren, die von den standard unterstützten secret scanningMustern nicht erkannt werden. Um ein benutzerdefiniertes Muster zu erstellen, klicken Sie auf Neues Muster, geben Sie dann die Details für Ihr Muster ein und klicken Sie auf Speichern und Trockenlauf. Weitere Informationen zu benutzerdefinierten Mustern findest du unter Definieren von benutzerdefinierten Mustern für die Geheimnisüberprüfung.
Erstellung von Sicherheitsmanagern für Ihre Organisation
Die Rolle des Sicherheitsmanagers gibt Mitgliedern Ihrer Organisation die Möglichkeit, Sicherheitseinstellungen und Warnmeldungen in Ihrer gesamten Organisation zu verwalten. Sicherheitsverantwortliche können über die Sicherheitsübersicht die Daten für alle Repositories in Ihrer Organisation einsehen.
Weitere Informationen zur Rolle des Sicherheitsmanagers findest du unter Verwalten von Sicherheitsmanagern in deiner Organisation.
Informationen zum Zuweisen der Rolle „Sicherheitsmanager“ findest du unter Verwenden von Organisationsrollen.