Konfigurieren der Code-Analyse für Ihr Gerät

Informationen zum code scanning

Code scanning ist ein Feature, das du zum Analysieren des Codes in einem GitHub-Repository verwendest, um Sicherheitsrisiken und Codefehler zu finden. Alle von der Analyse ermittelten Probleme werden im Repository angezeigt.

Sie können code scanning konfigurieren, um CodeQL und Drittanbieter-Analysen durchzuführen. Code scanning unterstützt auch das native Ausführen der Analyse mithilfe von GitHub Actions oder extern mithilfe der vorhandenen CI/CD-Infrastruktur. Im Folgenden sind die Optionen zusammengefasst, die Benutzern zur Verfügung stehen, wenn Sie deine GitHub Enterprise Server-Instanz konfigurieren, um code scanning durch Aktionen zu erlauben.

• CodeQL: Verwendet GitHub Actions entweder mit der Standardeinrichtung (Konfigurieren des Standardsetups für das Code-Scanning) oder der erweiterten Einrichtung (Konfigurieren des erweiterten Setups für das Code-Scanning) oder führt eine CodeQL-Analyse in einem Continuous Integration-System (CI) eines Drittanbieters aus (Verwenden der Codeüberprüfung mit deinem vorhandenen CI-System)
• Drittanbieter: Verwendet GitHub Actions oder Drittanbietertools und lädt Ergebnisse zu GitHub hoch (Hochladen einer SARIF-Datei in GitHub)

Überprüfen, ob Ihre Lizenz Advanced Security

enthält.

Du kannst ermitteln, ob dein Unternehmen über eine Lizenz für Advanced Security -Produkte verfügt, indem du die Einstellungen für dein Unternehmen überprüfst. Weitere Informationen finden Sie unter Aktivieren von GitHub Advanced SecurityProdukten für Ihr Unternehmen.

Voraussetzungen für code scanning

• Eine Lizenz für GitHub Code Security oder GitHub Advanced Security, (siehe GitHub Advanced Security Lizenzabrechnung)

• Code scanning in der Verwaltungskonsole aktiviert (siehe Aktivieren von GitHub Advanced SecurityProdukten für Ihr Unternehmen)

• Eine VM oder ein Container für die code scanning Analyse, in der sie ausgeführt werden kann.

Das Ausführen von code scanning mit GitHub Actions

Bereitstellen eines selbst gehosteten Runners

          GitHub kann code scanning mit einem GitHub Actions Workflow laufen. Zuerst müssen Sie einen oder mehrere selbst gehostete GitHub Actions Läufer in Ihrer Umgebung bereitstellen. Du kannst selbstgehostete Runner auf Repository-, Organisations- oder Unternehmenskontoebene bereitstellen. Informationen findest du unter [AUTOTITLE](/actions/hosting-your-own-runners/managing-self-hosted-runners/about-self-hosted-runners) und [AUTOTITLE](/actions/hosting-your-own-runners/managing-self-hosted-runners/adding-self-hosted-runners).

Sie müssen sicherstellen, dass Git in der PATH-Variablen aller von Ihnen zum Ausführen von CodeQL Aktionen verwendeten selbst gehosteten Runner enthalten ist.

Bereitstellen einer Runner-Skalierungsgruppe

Sie können eine dedizierte Runner-Skalierungsgruppe für Ihre Actions Runner Controller-Instanz mit GitHub Enterprise Server erstellen. Weitere Informationen findest du unter Bereitstellen von Runner-Skalierungssets mit Actions Runner Controller.

Bereitstellen der Aktionen für code scanning

Wenn Sie Aktionen verwenden möchten, um code scanning auf GitHub Enterprise Server auszuführen, müssen die Aktionen in Ihrer Appliance verfügbar sein.

Die Aktion CodeQL ist in Ihrer GitHub Enterprise Server Installation enthalten. Wenn sowohl GitHub Enterprise Server3.21 als auch Ihr GitHub Actions Runner Zugriff auf das Internet haben, lädt die Aktion automatisch das CodeQL2.24.3-Bündel herunter, das zum Ausführen einer Analyse erforderlich ist. Alternativ können Sie ein Synchronisierungstool verwenden, um die neueste veröffentlichte Version des CodeQL Analysepakets lokal verfügbar zu machen. Siehe Konfigurieren der CodeQL Analyse auf einem Server ohne Internetzugang weiter unten.

Sie können Benutzern auch Aktionen von Drittanbietern code scanning zur Verfügung stellen, indem Sie GitHub Connect einrichten. Siehe Konfigurieren der Code-Analyse für Ihr Gerät unten.

Konfigurieren der CodeQL Analyse auf einem Server ohne Internetzugriff

Wenn der Server, auf dem Sie GitHub Enterprise Server ausführen, nicht mit dem Internet verbunden ist und Sie Benutzern ermöglichen möchten, CodeQLcode scanning für ihre Repositories zu aktivieren, müssen Sie das CodeQL-Synchronisationstool verwenden, um das CodeQL-Analysepaket von GitHub.com auf Ihren Server zu kopieren. Das Tool und Einzelheiten zu seiner Verwendung findest du unter https://github.com/github/codeql-action-sync-tool.

Wenn Sie das CodeQL Synchronisierungstool für Aktionen konfigurieren, können Sie es verwenden, um die neuesten Versionen der Aktion und des CodeQL zugehörigen CodeQL Analysebundles zu synchronisieren. Diese sind kompatibel mit GitHub Enterprise Server.

Konfigurieren Sie GitHub Connect, um GitHub Actions zu synchronisieren.

1. Wenn Sie Aktionsworkflows von GitHub.com bei Bedarf herunterladen möchten, müssen Sie GitHub Connect aktivieren. Weitere Informationen findest du unter Aktivieren von GitHub Connect für GitHub.com.
2. Sie müssen auch GitHub Actions aktivieren. Weitere Informationen findest du unter Erste Schritte mit GitHub Actions für GitHub Enterprise Server.
3. Der nächste Schritt besteht darin, den Zugriff auf Aktionen auf GitHub.com mithilfe von GitHub Connect zu konfigurieren. Weitere Informationen findest du unter Aktivieren des automatischen Zugriffs auf GitHub.com Aktionen mithilfe von GitHub Connect.
4. Füge deinem Repository-, Organisations- oder Unternehmenskonto einen selbstgehosteten Runner hinzu. Weitere Informationen findest du unter Selbst-gehostete Runner hinzufügen.

Ausführen von Code-Scannen mithilfe der CodeQL CLI

Wenn Sie GitHub Actions nicht verwenden möchten, sollten Sie code scanning mit CodeQL CLI ausführen.

Das CodeQL CLI ist ein Befehlszeilentool, mit dem Sie Codebasen auf jedem beliebigen Computer analysieren können, einschließlich eines CI/CD-Systems eines Drittanbieters. Weitere Informationen findest du unter Verwenden der Codeüberprüfung mit deinem vorhandenen CI-System.