このバージョンの GitHub Enterprise サーバーはこの日付をもって終了となりました: 2024-07-09. 重大なセキュリティの問題に対してであっても、パッチリリースは作成されません。パフォーマンスの向上、セキュリティの向上、新機能の向上を図るために、最新バージョンの GitHub Enterprise サーバーにアップグレードしてください。アップグレードに関するヘルプについては、GitHub Enterprise サポートにお問い合わせください。

コードセキュリティ機能の採用の評価

セキュリティの概要を使うと、どのチームとリポジトリがコードセキュリティ機能が既に有効にしているかを確認し、まだ保護されていないものを特定できます。

この機能を使用できるユーザーについて

組織のセキュリティの概要は、その組織のすべてのメンバーが利用できます。表示されるビューとデータは、組織内のロールと、組織内の個々のリポジトリに対するアクセス許可によって決まります。詳しくは「セキュリティの概要について」をご覧ください。

企業のセキュリティの概要には、組織の所有者とセキュリティ管理者がアクセスできる組織のデータが表示されます。エンタープライズ所有者は、自身が組織の所有者またはセキュリティマネージャーとして追加されている組織のデータのみを表示できます。詳しくは、「Enterprise によって所有される Organization のロールを管理する」をご覧ください。

すべてのエンタープライズとその組織にセキュリティの概要があります。 GitHub Advanced Security の機能追加の情報が表示されます。詳しくは、「GitHub Advanced Security について」を参照してください。

この記事の内容

注: 現在、[セキュリティリスク] ビューと [セキュリティの対象範囲] ビューはベータ版であり、変更される場合があります。

コードセキュリティ機能の採用について

セキュリティの概要を使うと、どのリポジトリとチームが各コードセキュリティ機能を既に有効にしているか、どこのユーザーがこれらの機能の採用をさらに奨励する必要があるかを確認できます。 [セキュリティカバレッジ] ビューには、Organization での機能の有効化に関する概要と詳細情報が表示されます。 [有効] と [有効ではない] のリンク、[チーム] ドロップダウンメニュー、ページヘッダーの検索フィールドを使って、リポジトリのサブセットを表示するようにビューをフィルター処理できます。

Organization の [セキュリティ] タブにある [セキュリティカバレッジ] ビューのヘッダーセクションのスクリーンショット。 [有効] と [有効ではない] のリンク、[チーム] セレクター、検索フィールドなどのフィルター処理オプションが濃いオレンジ色の枠線で囲まれています。

注: "pull request アラート" は、リポジトリに対してアラートが有効になってから、code scanning が少なくとも 1 つの pull request を分析した場合にのみ有効として報告されます。

Organization のコードセキュリティ機能の有効化の表示

Enterprise 内のすべての Organization についてのコードセキュリティ機能の有効化を評価するためのデータを表示できます。セキュリティの概要で示される情報は、リポジトリへのアクセス権、および GitHub Advanced Security がそれらのリポジトリによって使われているかどうかによって異なります。詳しくは、「セキュリティの概要について」を参照してください。

お使いの GitHub Enterprise Server インスタンスで、Organization のメインページへ移動します。
組織名の下で、 [ セキュリティ] をクリックします。
[セキュリティカバレッジ] ビューを表示するには、サイドバーの [カバレッジ] をクリックします。
ページの概要のオプションを使って、評価するリポジトリを表示するように結果をフィルター処理します。ページに表示されるリポジトリとメトリックの一覧は、現在の選択に合わせて自動更新されます。フィルター処理の詳細については、「セキュリティの概要でアラートをフィルター処理する」を参照してください。
- [Teams] ドロップダウンを使用し、1 チームまたは複数のチームが所有するリポジトリの情報のみを表示します。詳しくは、「Organization のリポジトリに対するチームのアクセスを管理する」を参照してください。
- 機能のヘッダーの [NUMBER enabled] または [NUMBER not enabled] をクリックすると、その機能が有効または無効になっているリポジトリのみが表示されます。
- リポジトリの一覧の上部にある [アーカイブされた番号] をクリックして、アーカイブされたリポジトリのみを表示します。
- 検索ボックス内をクリックすると、表示されているリポジトリにさらにフィルターを追加できます。
必要に応じて、 [セキュリティ設定] をクリックしてリポジトリのコードセキュリティ機能を有効にし、 [セキュリティ設定の保存] をクリックして変更を確認します。機能が表示されない場合は、より複雑な構成要件があるため、リポジトリ設定ダイアログを使う必要があります。詳しくは、「リポジトリを保護するためのクイックスタート」を参照してください。

有効化データの解釈と操作

一部のコードセキュリティ機能は、すべてのリポジトリで有効にすることができます (また、推奨されます)。たとえば、シークレットスキャンニングアラートとプッシュ保護によりリポジトリにどのような情報が保存されているかに関係なく、セキュリティリークのリスクが軽減されます。これらの機能をまだ使っていないリポジトリを見つけた場合は、それらを有効にするか、リポジトリを所有するチームと有効化の計画について話し合うことをお勧めします。 Organization 全体で機能を有効にする方法については、「組織のセキュリティおよび分析設定を管理する」を参照してください。 Enterprise 全体で機能を有効にする方法については、「Enterprise 用の GitHub Advanced Security 機能の管理」を参照してください。

その他の機能は、すべてのリポジトリで使用できるわけではありません。たとえば、サポートされていないエコシステムまたは言語のみを使用するリポジトリに対して Dependabot または code scanning を有効にしても意味がありません。そのため、これらの機能が有効ではないリポジトリがあるのは通常のことです。

また、Enterprise では、一部のコードセキュリティ機能の使用を制限するポリシーを構成する場合もあります。詳しくは、「エンタープライズのコードセキュリティと分析のためのポリシーの適用」を参照してください。

コード セキュリティ機能の採用の評価