GitHub Advanced Security について
GitHub には、コードの質を改善し維持できる多くの機能があります。 依存関係グラフや Dependabot alertsなど、これらの一部はすべてのプランに含まれています。
他のセキュリティ機能では、GitHub Advanced Security (GHAS) ライセンスが必要です。 GitHub Advanced Security のライセンスの購入については、「GitHub Advanced Security の課金について」を参照してください。
GitHub Advanced Security 機能について
GitHub Advanced Security ライセンスでは、以下の追加機能が提供されます。
-
Code scanning - CodeQL またはサードパーティ ツールを使用して、潜在的なセキュリティの脆弱性とコーディング エラーを検索してください。 「コード スキャンについて」と「CodeQL によるコード スキャンについて」を参照してください。
-
CodeQL CLI - ソフトウェア プロジェクトで CodeQL プロセスをローカル実行したり、code scanning の結果を生成し、GitHub にアップロードしたりします。 「CodeQL CLI について」を参照してください。
-
Secret scanning - リポジトリ にチェックインしている、キーやトークンなど、シークレットを検出します。 プッシュ保護が有効な場合、シークレットがリポジトリにプッシュされたときにも GitHub によって検出されます。 「シークレット スキャンについて」と「プッシュ保護について」を参照してください。
-
カスタム自動トリアージ ルール - 大規模な Dependabot alerts の管理に役立ちます。 カスタム自動トリアージ ルール を使用すると、無視、スヌーズ、または Dependabot のセキュリティ アップデートをトリガーするアラートを制御できます。 詳細については、「Dependabot アラートについて」および「自動トリアージ ルールをカスタマイズして Dependabot アラートの優先度を設定する」を参照してください。
-
依存関係の確認 プル要求をマージする前に、依存関係に対する変更の影響をすべて示し、脆弱なバージョンの詳細を表示します。 「依存関係の確認について」を参照してください。
Enterprise 内で GitHub Advanced Security をデプロイする
GitHub Advanced Security をデプロイするために知っておくべきことの概要を学び、Microsoft が推奨するロールアウト フェーズを確認するには、「GitHub Advanced Security を大規模に導入する」を参照してください。
機能の有効化
この機能を使用する前に、サイト管理者が お使いの GitHub Enterprise Server インスタンス 用に Advanced Security を有効化する必要があります。 「アプライアンス上で GitHub Advanced Security 機能を設定する」を参照してください。
システムを設定すると、organization レベルまたはリポジトリ レベルでこの機能を有効化または無効化できます。 「組織のセキュリティおよび分析設定を管理する」と「リポジトリのセキュリティと分析設定を管理する」をご覧ください。
GitHub Team プランまたは GitHub Enterprise プランを使用している場合は、チーム全体または Enterprise 全体のライセンス使用がライセンス ページに表示されます。 「Advanced Security のライセンスに基づく使用状況の表示とダウンロード」を参照してください。
GitHub Advanced Security と Azure Repos について
GitHub Advanced Security を Azure Repos と共に使用する場合は、リソース サイトの「GitHub Advanced Security と Azure DevOps」を参照してください。 ドキュメントについては、Microsoft Learn で「GitHub Advanced Security for Azure DevOps を構成する」を参照してください。