はじめに
このガイドは、リポジトリでのセキュリティ機能の設定方法を紹介します。 リポジトリのセキュリティ設定を構成するには、リポジトリ管理者かOrganizationのオーナーでなければなりません。
セキュリティの要件はリポジトリに固有のものなので、リポジトリですべての機能を有効化する必要はないかもしれません。 詳しい情報については「GitHubのセキュリティ機能」を参照してください。
セキュリティの機能の中には、Advanced Securityライセンスを持っている場合にのみ利用できるものがあります。 詳しい情報については、「GitHub Advanced Security について」を参照してください。
リポジトリへのアクセスの管理
リポジトリを保護するための最初の手順は、コードを表示および変更できるユーザを設定することです。 詳しい情報については、「リポジトリ設定を管理する」を参照してください。
リポジトリのメインページから、Settings（設定）をクリックし、続いて"Danger Zone（危険区域）"まで下へスクロールしてください。
- リポジトリを見ることができる人を変更するにはChange visibility（可視性を変更）をクリックしてください。 詳しい情報については「リポジトリの可視性の設定」を参照してください。
依存関係グラフの管理
Once you have enabled the dependency graph, it is automatically generated for all public repositories, and you can choose to enable it for private repositories.
- リポジトリのメインページから、 Settings（設定）をクリックしてください。
- Security & analysis（セキュリティと分析）をクリックしてください。
- 依存関係グラフの隣でEnable（有効化）もしくはDisable（無効化）をクリックしてください。
詳しい情報については、「リポジトリの依存関係を調べる」を参照してください。
Dependabotアラートの管理
デフォルトで、GitHubはパブリックリポジトリ内の脆弱性を検出し、Dependabotアラートを生成します。 Dependabotアラートは、プライベートリポジトリでも有効化できます。
- 自分のプロフィール写真をクリックし、続いて Settings（設定）をクリックしてください。
- Security & analysis（セキュリティと分析）をクリックしてください。
- Dependabotアラートの隣のEnable all（すべて有効化）をクリックしてください。
詳しい情報については「脆弱な依存関係に対するアラートについて」を参照してください。
code scanning を設定する
Code scanningは、Advanced Securityライセンスを持つOrganizationが所有するリポジトリで利用できます。
CodeQL分析ワークフローもしくはサードパーティのツールを使い、リポジトリ中に保存されたコードの脆弱性やエラーを自動的に特定するよう、code scanningをセットアップできます。 詳しい情報については、「リポジトリに対する code scanning をセットアップする」を参照してください。
secret scanningの設定
Secret scanningは、Advanced Securityライセンスを持つOrganizationが所有するリポジトリで利用できます。
Secret scanningはOrganizationの設定によって、デフォルトでリポジトリに対して有効にできます。
- リポジトリのメインページから、 Settings（設定）をクリックしてください。
- Security & analysis（セキュリティと分析）をクリックしてください。
- まだGitHub Advanced Securityが有効化されていなければ、Enable（有効化）をクリックしてください。
- Secret scanningの隣でEnable（有効化）をクリックしてください。
次のステップ
セキュリティの機能からのアラートを表示及び管理して、コード中の依存関係と脆弱性に対処できます。 詳しい情報については「リポジトリ中の脆弱な依存関係の表示と更新」、「リポジトリのcode scanningの管理」、「secret scanningからのアラートの管理」を参照してください。