Erstellen einer benutzerdefinierten Sicherheitskonfiguration

Erstellen Sie ein custom security configuration, um die spezifischen Sicherheitsanforderungen von Repositories in Ihrer Organisation zu erfüllen.

Wer kann dieses Feature verwenden?

Organisationsbesitzerinnen, Sicherheitsmanagerinnen und Organisationsmitglieder mit der Administratorrolle

In diesem Artikel

Informationen zum custom security configurations

Mit custom security configurations, können Sie Sammlungen von Aktivierungseinstellungen für die Sicherheitsprodukte erstellen GitHub, um die spezifischen Sicherheitsanforderungen Ihrer Organisation zu erfüllen. Sie können beispielsweise für jede Organisation oder Gruppe von Organisationen eine andere custom security configuration erstellen, um ihre eindeutigen Sicherheitsanforderungen und Complianceverpflichtungen widerzuspiegeln.

Sie können auch auswählen, ob Sie die Funktionen GitHub Code Security oder GitHub Secret Protection in eine Konfiguration aufnehmen möchten oder nicht.

Wenn Sie dies tun, sollten Sie bedenken, dass diese Features Nutzungskosten verursachen (oder Lizenzen erfordern), wenn sie auf private und interne Repositories angewendet werden GitHub Advanced Security. Weitere Informationen findest du unter Informationen zu GitHub Advanced Security.

Wenn du eine Sicherheitskonfiguration erstellst, solltest du Folgendes beachten:

  • Nur features, die von einem Websiteadministrator auf Ihrer GitHub Enterprise Server Instanz installiert wurden, werden in der Benutzeroberfläche angezeigt.
  •           Einige Funktionen sind nur sichtbar, wenn Ihre Organisation oder GitHub Enterprise Server-Instanz das entsprechende GitHub Advanced Security-Produkt (GitHub Code Security oder GitHub Secret Protection) erworben hat.  verfügt.
  • Bestimmte Features, wie Dependabot security updates und das code scanning-Standardsetup, erfordern, dass GitHub Actions auf der GitHub Enterprise Server Instanz installiert ist.

Wichtig

Die Reihenfolge und die Namen einiger Einstellungen unterscheiden sich je nachdem, ob du Lizenzen für das ursprüngliche GitHub Advanced Security-Produkt oder für die beiden neuen Produkte verwendest: GitHub Code Security und GitHub Secret Protection. Siehe Erstellen einer GitHub Advanced Security Konfiguration oder Erstellen einer Secret Protection and Code Security Konfiguration.

Erstellen einer Secret Protection and Code Security Konfiguration

  1. Klicke in der rechten oberen Ecke von GitHub auf dein Profilbild und dann auf Your organizations.

  2. Klicke unter dem Organisationsnamen auf Settings. Wenn die Registerkarte „Einstellungen“ nicht angezeigt wird, wähle im Dropdownmenü die Option Einstellungen aus.

    Screenshot der Registerkarten im Profil einer Organisation. Die Registerkarte „Einstellungen“ ist dunkelorange umrandet.

  3. Wählen Sie im Abschnitt "Sicherheit" der Randleiste das Advanced Security Dropdownmenü aus, und klicken Sie dann auf "Konfigurationen".

  4. Klicken Sie im Abschnitt "Security configurations" auf "Neue Konfiguration".

  5. Um Gruppen von Sicherheitsfeatures für Ihre Repositorys zu konfigurieren, klicken Sie auf "Benutzerdefinierte Konfiguration".

  6. Um Ihren custom security configuration Zweck auf der Seite "Security configurations" zu identifizieren und zu klären, benennen Sie Ihre Konfiguration, und erstellen Sie eine Beschreibung.

  7. Aktivieren Sie optional "Secret Protection", ein kostenpflichtiges Feature für private Repositorys. Das Aktivieren von Secret Protection aktiviert Warnungen für secret scanning. Darüber hinaus können Sie auswählen, ob die vorhandenen Einstellungen für die folgenden secret scanning Features aktiviert, deaktiviert oder beibehalten werden sollen:

  8. Aktivieren Sie optional "Code Security", ein kostenpflichtiges Feature für private Repositorys. Sie können auswählen, ob die vorhandenen Einstellungen für die folgenden code scanning Features aktiviert, deaktiviert oder beibehalten werden sollen:

Hinweis

Um eine Konfiguration zu erstellen, die du unabhängig von den aktuellen code scanning-Setups auf alle Repositorys anwenden kannst, wähle „Enabled with advanced setup allowed“ aus. Diese Einstellung aktiviert das Standardsetup nur in Repositorys, in denen die CodeQL-Analyse nicht aktiv ausgeführt wird. Option in GitHub Enterprise Server 3.19 verfügbar.

  1. Wählen Sie weiterhin unter "Code Security" in der Tabelle "Abhängigkeitsscan" aus, ob Sie die vorhandenen Einstellungen für die folgenden Abhängigkeitsscanfeatures aktivieren, deaktivieren oder beibehalten möchten:

    • Abhängigkeitsdiagramm Weitere Informationen zum Abhängigkeitsdiagramm findest du unter Abhängigkeitsdiagramm.

      Tipp

      Wenn sowohl "Code Security" als auch Abhängigkeitsdiagramm aktiviert sind, aktiviert dies die Abhängigkeitsüberprüfung, siehe Abhängigkeitsüberprüfung.

    • Dependabot Warnungen. Weitere Informationen Dependabotfinden Sie unter Dependabot alerts.
    • Sicherheitsupdates. Weitere Informationen zu Sicherheitsupdates finden Sie unter Dependabot-Sicherheitsupdates.

  2. Optional kannst du im Abschnitt „Policy“ steuern, wie die Konfiguration angewendet werden soll:

    • Als Standard für neu erstellte Repositories verwenden. Wählen Sie das Dropdownmenü "Keine" aus, und klicken Sie dann auf "Öffentlich", " Privat" und "Intern" oder auf "Alle Repositorys".

    Hinweis

    Die Standardeinstellung security configuration für eine Organisation wird nur automatisch auf neue Repositorys angewendet, die in deiner Organisation erstellt werden. Wenn ein Repository in Ihre Organisation übertragen wird, müssen Sie immer noch eine entsprechende security configuration manuell auf das Repository anwenden.

    • Konfiguration erzwingen. Hindere Repositorybesitzer daran, Features zu ändern, die in der Konfiguration aktiviert oder deaktiviert wurden (nicht festgelegte Features werden nicht erzwungen). Wähle im Dropdownmenü die Option Enforce aus.

    Hinweis

    In einigen Fällen kann die Erzwingung von security configurations unterbrochen werden. Weitere Informationen findest du unter Erzwingung der Sicherheitskonfiguration.

  3. Klicken Sie auf "custom security configuration, um die Erstellung abzuschließen****.

Erstellen einer GitHub Advanced Security Konfiguration

  1. Klicke in der rechten oberen Ecke von GitHub auf dein Profilbild und dann auf Your organizations.

  2. Klicke unter dem Organisationsnamen auf Settings. Wenn die Registerkarte „Einstellungen“ nicht angezeigt wird, wähle im Dropdownmenü die Option Einstellungen aus.

    Screenshot der Registerkarten im Profil einer Organisation. Die Registerkarte „Einstellungen“ ist dunkelorange umrandet.

  3. Wählen Sie im Abschnitt "Sicherheit" der Randleiste das Advanced Security Dropdownmenü aus, und klicken Sie dann auf "Konfigurationen".

  4. Klicke im Bereich „Sicherheitskonfigurationen“ auf Neue Konfiguration.

  5. Um Ihren custom security configuration Zweck auf der Seite "Neue Konfiguration" zu identifizieren und zu verdeutlichen, benennen Sie Ihre Konfiguration, und erstellen Sie eine Beschreibung.

  6. Wählen Sie in der Zeile "GitHub Advanced Security Features" aus, ob GitHub Advanced Security (GHAS-Funktionen) eingeschlossen oder ausgeschlossen werden sollen.

  7. Wählen Sie in der Tabelle "Secret scanning" aus, ob Sie die vorhandenen Einstellungen für die folgenden Sicherheitsfeatures aktivieren, deaktivieren oder beibehalten möchten:

  8. Wählen Sie in der Tabelle "Code scanning" aus, ob Sie die vorhandenen Einstellungen für code scanning die Standardeinrichtung aktivieren, deaktivieren oder beibehalten möchten.

Hinweis

Um eine Konfiguration zu erstellen, die du unabhängig von den aktuellen code scanning-Setups auf alle Repositorys anwenden kannst, wähle „Enabled with advanced setup allowed“ aus. Diese Einstellung aktiviert das Standardsetup nur in Repositorys, in denen die CodeQL-Analyse nicht aktiv ausgeführt wird. Option in GitHub Enterprise Server 3.19 verfügbar.

  1. Wähle in der Tabelle „Scannen von Abhängigkeiten“ aus, ob du die bestehenden Einstellungen für die folgenden Funktionen des Scannens von Abhängigkeiten aktivieren, deaktivieren oder beibehalten möchtest:

    • Abhängigkeitsdiagramm Weitere Informationen zum Abhängigkeitsdiagramm findest du unter Abhängigkeitsdiagramm.

      Tipp

      Wenn sowohl "GitHub Advanced Security" als auch Abhängigkeitsdiagramm aktiviert sind, aktiviert dies die Abhängigkeitsüberprüfung, siehe Abhängigkeitsüberprüfung.

    • Dependabot Warnungen. Weitere Informationen Dependabotfinden Sie unter Dependabot alerts.
    • Sicherheitsupdates. Weitere Informationen zu Sicherheitsupdates finden Sie unter Dependabot-Sicherheitsupdates.

  2. Optional kannst du im Abschnitt „Policy“ steuern, wie die Konfiguration angewendet werden soll:

    • Als Standard für neu erstellte Repositories verwenden. Wählen Sie das Dropdownmenü "Keine" aus, und klicken Sie dann auf "Öffentlich", " Privat" und "Intern" oder auf "Alle Repositorys".

    Hinweis

    Die Standardeinstellung security configuration für eine Organisation wird nur automatisch auf neue Repositorys angewendet, die in deiner Organisation erstellt werden. Wenn ein Repository in Ihre Organisation übertragen wird, müssen Sie immer noch eine entsprechende security configuration manuell auf das Repository anwenden.

    • Konfiguration erzwingen. Hindere Repositorybesitzer daran, Features zu ändern, die in der Konfiguration aktiviert oder deaktiviert wurden (nicht festgelegte Features werden nicht erzwungen). Wähle im Dropdownmenü die Option Enforce aus.

  3. Klicken Sie auf "custom security configuration, um die Erstellung abzuschließen****.

Nächste Schritte

Um Ihr custom security configuration auf Repositorys in Ihrer Organisation anzuwenden, siehe Anwenden einer benutzerdefinierten Sicherheitskonfiguration.

Informationen zum Bearbeiten deiner custom security configuration findest du unter Bearbeiten einer angepassten Sicherheitskonfiguration.