リポジトリの有効性チェックの有効化

リポジトリで有効性チェックを有効にすると、シークレットがアクティブか非アクティブかを示すアラートの修復に優先度を付けるのに役立ちます。

この機能を使用できるユーザーについて

パートナーパターンの有効性チェックは、GitHub のすべての種類のリポジトリで使用できます。この機能を使用するには、GitHub Advanced Security のライセンスが必要です。

この記事の内容

有効性チェックについて

リポジトリのサービスプロバイダートークンとして識別されるシークレットの有効性チェックを有効にすることができます。有効にすると、GitHub は GitHub のシークレットスキャンパートナーシッププログラムの一環として、シークレットをプロバイダーに直接送信することにより、検出された資格証明の有効性を定期的にチェックします。パートナープログラムについては、「Secret scanningパートナープログラム」を参照してください。

GitHub は、アラートビューにシークレットの有効性の状態を表示するので、シークレットが active、inactive であるか、または有効性の状態が unknown であるかを確認できます。必要に応じて、アラートビューでシークレットの "オンデマンド" 有効性チェックを実行できます。

さらに、パートナーパターンの有効性チェックを有効にすることもできます。有効にすると、GitHubはGitHubの正式なシークレットスキャンパートナーシッププログラムの一環として、シークレットをプロバイダーに直接送信することにより、検出された資格証明の有効性を定期的にチェックします。 GitHubは通常、資格証明の有効性をチェックするために GET 要求を行い、最も侵入性の少ないエンドポイントを選択して個人情報を返さないエンドポイントを選択します。

GitHubは、アラートビューにシークレットの有効性の状態を表示します。

アラートページの検証状態でフィルター処理すると、アクションを実行する必要があるアラートに優先度を付けることができます。

Note

GitHubは通常、資格証明の有効性をチェックするために GET 要求を行い、最も侵入性の少ないエンドポイントを選択して個人情報を返さないエンドポイントを選択します。

有効性チェックの使用の詳細については、「シークレットスキャンからのアラートの評価」を参照してください。

有効性チェックの有効化

GitHub で、リポジトリのメインページに移動します。
リポジトリ名の下にある [設定] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウンメニューを選び、 [設定] をクリックします。
サイドバーの [セキュリティ] セクションで、 [コードのセキュリティと分析] をクリックします。
Secret scanning で、「関連するパートナーに送信することでシークレットが有効かどうかを自動的に検証する」の横のチェックボックスをオンにします。

REST API を使用して、リポジトリのパートナーパターンの有効性チェックを有効にすることもできます。詳しくは、「リポジトリの REST API エンドポイント」を参照してください。

または、組織の所有者とエンタープライズ管理者は、組織またはエンタープライズ設定内のすべてのリポジトリに対してこの機能を有効にすることができます。 Organization レベルでの有効化の詳細については、「Creating a custom security configuration」をご覧ください。 Enterprise レベルでの有効化の詳細については、「Enterprise 用の GitHub Advanced Security 機能の管理」および「エンタープライズコードのセキュリティと分析のための REST API エンドポイント」を参照してください。

参考資料

「シークレットスキャンからのアラートの管理」