À propos de custom security configurations
Avec custom security configurations, vous pouvez créer des regroupements de paramètres d’activation pour GitHubles produits de sécurité de l’organisation afin de répondre aux besoins de sécurité spécifiques de votre organisation. Par exemple, vous pouvez créer une différence custom security configuration pour chaque organisation ou groupe d’organisations afin de refléter leurs exigences de sécurité uniques et leurs obligations de conformité.
Lors de la création d’une configuration de sécurité, gardez à l’esprit les points suivants :
- Seules les fonctionnalités installées par un administrateur de site sur votre GitHub Enterprise Server instance apparaissent dans l’interface utilisateur.
-
GitHub Advanced Security ne seront visibles que si votre organisation ou GitHub Enterprise Server instance possède une GitHub Advanced Security licence. - Certaines fonctionnalités, tels que Dependabot security updates et la configuration par défaut code scanning, nécessitent également l’installation de GitHub Actions sur l’instance GitHub Enterprise Server.
Création d’un custom security configuration
Remarque
Le statut d’activation de certaines fonctionnalités de sécurité dépend d’autres fonctionnalités de sécurité de niveau supérieur. Par exemple, la Alertes de détection de secrets désactivation désactive également les modèles non fournisseurs et la protection push.
-
Dans le coin supérieur droit de GitHub, cliquez sur votre photo de profil, puis sur Vos organisations.
-
Sous le nom de votre organisation, cliquez sur Settings. Si vous ne voyez pas l’onglet « Paramètres », sélectionnez le menu déroulant , puis cliquez sur Paramètres.
-
Dans la section « Sécurité » de la barre latérale, sélectionnez le Code security menu déroulant, puis cliquez sur Configurations.
-
Dans la section « Configurations de la sécurité du code », cliquez sur Nouvelle configuration.
-
Pour vous aider à identifier votre custom security configuration et à clarifier son objectif sur la page « Code security configurations », nommez votre configuration et créez une description.
-
Dans la ligne « GitHub Advanced Security caractéristiques », choisissez d'inclure ou d'exclure GitHub Advanced Security (GHAS). Si vous envisagez d’appliquer un custom security configuration avec des fonctionnalités GHAS à des référentiels, vous devez disposer de licences GHAS disponibles pour chaque contributeur unique actif sur ces référentiels, faute de quoi les fonctionnalités ne seront pas activées. Consultez « GitHub Advanced Security facturation des licences ».
-
Dans la section « Graphique des dépendances et Dependabot » de la table des paramètres de sécurité, indiquez si vous souhaitez activer, désactiver ou conserver les paramètres existants pour les fonctionnalités de sécurité suivantes : * Dependabot alerts. Pour en savoir Dependabotplus, consultez À propos des alertes Dependabot.
- Mises à jour de sécurité. Pour en savoir plus sur les mises à jour de sécurité, consultez À propos des mises à jour de sécurité Dependabot.
Remarque
Vous ne pouvez pas modifier manuellement le paramètre d’activation pour le graphique des dépendances. Ce paramètre est installé et géré par un administrateur de site au niveau de l’instance.
-
Dans la section «Code scanning » de la table des paramètres de sécurité, choisissez si vous souhaitez activer, désactiver ou conserver les paramètres existants pour code scanning la configuration par défaut. Pour en savoir plus sur la configuration par défaut, consultez Définition de la configuration par défaut pour l’analyse du code.
-
Dans la section «Secret scanning » de la table des paramètres de sécurité, choisissez si vous souhaitez activer, désactiver ou conserver les paramètres existants pour les fonctionnalités de sécurité suivantes :
- Alertes. Pour en savoir Alertes de détection de secretsplus, consultez À propos de l’analyse des secrets.
- Modèles non fournisseurs. Pour en savoir plus sur l’analyse des modèles non fournisseurs, consultez Modèles de détection de secrets pris en charge et Affichage et filtrage des alertes à partir de l’analyse des secrets.
- Protection push. Pour en savoir plus sur la protection push, consultez À propos de la protection lors du push.
-
Si vous le souhaitez, sous « Protection Push », choisissez si vous souhaitez accorder des privilèges de contournement ou des exemptions de votre organisation. En affectant des privilèges de contournement, les membres de l’organisation sélectionnés peuvent contourner la protection Push, et il existe un processus d’examen et d’approbation pour tous les autres contributeurs. Pour obtenir des conseils supplémentaires sur la configuration de ce paramètre, consultez Activation du contournement délégué pour la protection d’envoi.
-
Si vous le souhaitez, dans la section « Politique », vous pouvez choisir d'appliquer automatiquement le security configuration aux référentiels nouvellement créés selon leur visibilité. Sélectionnez le menu déroulant Aucun , puis cliquez sur Public ou Privé et interne, ou Tous les référentiels.
Remarque
La security configuration par défaut d’une organisation est uniquement appliquée automatiquement aux nouveaux référentiels créés dans votre organisation. Si un référentiel est transféré dans votre organisation, vous devez toujours appliquer manuellement une security configuration au référentiel.
-
Dans la section « Stratégie », vous pouvez également appliquer la configuration et empêcher les propriétaires de dépôts de modifier les fonctionnalités activées ou désactivées par la configuration. (Les fonctionnalités non définies ne sont pas appliquées.) En regard d’« Appliquer la configuration », sélectionnez Appliquer dans le menu déroulant.
Remarque
Certaines situations peuvent perturber l’application des security configurations. Consultez « Mise en œuvre de la configuration de sécurité ».
-
Pour terminer la création de votre custom security configuration, cliquez sur Enregistrer la configuration.
Étapes suivantes
Pour appliquer votre custom security configuration aux dépôts de votre organisation, consultez Application d’une configuration de sécurité personnalisée.
Pour savoir comment modifier votre custom security configuration, consultez Modification d’une configuration de sécurité personnalisée.