Сведения об управлении параметрами безопасности и анализа
GitHub помогает защитить репозитории в организации. Вы можете контролировать функции безопасности и анализа для всех уже существующих и новых репозиториев, создаваемых членами вашей организации. Если у вас есть лицензия на GitHub Advanced Security, вы также можете управлять доступом к этим функциям. Дополнительные сведения см. в разделе О GitHub Advanced Security.
Отображение параметров безопасности и анализа
-
В правом верхнем углу GitHub, щелкните рисунок профиля, а затем выберите октикона "организация" aria-hidden="true" aria-label="organization" %} Ваши организации.
-
Выберите организацию, кликнув по ней.
-
Под именем организации щелкните Settings. Если вкладка "Параметры" не отображается, выберите раскрывающееся меню и нажмите кнопку "Параметры".
-
В разделе "Безопасность" боковой панели щелкните Code security and analysis.
Отображаемая страница позволяет включать или отключать все функции безопасности и анализа для репозиториев в вашей организации.
Если у вас есть лицензия на GitHub Advanced Security, страница также будет содержать параметры включения и отключения функций GitHub Advanced Security. Все репозитории, использующие GitHub Advanced Security, перечислены в нижней части страницы.
Включение или отключение функции для всех существующих репозиториев
Вы можете включать и отключать функции для всех репозиториев.
Общие сведения о безопасности можно использовать для поиска набора репозиториев и включения или отключения функций безопасности для них одновременно. Дополнительные сведения см. в разделе Включение функций безопасности для нескольких репозиториев.
Примечание.
Если включить функции GitHub Advanced Security активные фиксации в этих репозиториях будут использовать лицензии GitHub Advanced Security. Этот параметр деактивирован, если вы превысили емкость лицензии.
Примечание.
Если возникает ошибка, которая считывает "GitHub Advanced Security не может быть включена из-за параметра политики для организации", обратитесь к администратору предприятия и попросите их изменить политику GitHub Advanced Security для вашего предприятия. Дополнительные сведения см. в разделе Применение политик безопасности кода и анализа для вашего предприятия.
-
Перейдите к параметрам безопасности и анализа для вашей организации. Дополнительные сведения см. в разделе "Отображение параметров безопасности и анализа".
-
В разделе "Code security and analysis" справа от функции нажмите кнопку "Отключить все" или "Включить все", чтобы отобразить диалоговое окно подтверждения. Элемент управления "GitHub Advanced Security" отключен, если у вас нет доступных лицензий для GitHub Advanced Security.
-
Просмотрите сведения в диалоговом окне.
-
При необходимости, если вы включаете отчеты о частных уязвимостях, граф зависимостей или Dependabot, выберите "Включить по умолчанию" для новых репозиториев.
-
Когда вы будете готовы внести изменения, нажмите кнопку "Отключить функцию" или "Включить функцию ", чтобы отключить или включить функцию для всех репозиториев в организации.
-
При необходимости в разделе параметров безопасности и анализа функции выберите дополнительные параметры включения. Дополнительные параметры включения могут включать:
-
Автоматическое включение для определенного типа репозитория
-
Параметры, относящиеся к функциям, например рекомендуется использовать расширенный набор запросов для code scanning по умолчанию, или автоматическую проверку секретов для secret scanning
Примечание.
- Если отключить CodeQL code scanning для всех репозиториев, это изменение не отражается в сведениях о охвате, показанных в обзоре безопасности для организации. Репозитории по-прежнему будут включать code scanning в представлении "Покрытие безопасности".
- Включение code scanning для всех подходящих репозиториев в организации не переопределяет существующие конфигурации code scanning . Сведения о настройке настройки по умолчанию с различными параметрами для определенных репозиториев см. в разделе [AUTOTITLE и Настройка настройки по умолчанию для сканирования кода](/code-security/code-scanning/enabling-code-scanning/configuring-default-setup-for-code-scanning-at-scale#configuring-default-setup-for-a-subset-of-repositories-in-an-organization).
-
При включении одной или нескольких функций безопасности и анализа для существующих репозиториев результаты появятся на GitHub в течение нескольких минут:
- Все существующие репозитории будут иметь выбранную конфигурацию.
- Новые репозитории будут следовать выбранной конфигурации, если вы включили флажок для новых репозиториев.
- Мы используем разрешения для проверки файлов манифеста с целью применения соответствующих служб.
- Если этот параметр включен, в графе зависимостей отобразятся сведения о зависимостях.
- Если этот параметр включен, GitHub создаст Dependabot alerts для уязвимых зависимостей или вредоносных программ.
- При включении обновления безопасности Dependabot создают запросы на вытягивание для обновления уязвимых зависимостей при активации Dependabot alerts .
Включение или отключение функции автоматически при добавлении новых репозиториев
- Перейдите к параметрам безопасности и анализа для вашей организации. Дополнительные сведения см. в разделе "Отображение параметров безопасности и анализа".
- В разделе "Code security and analysis" найдите функцию, включите или отключите функцию по умолчанию для новых репозиториев в организации.
Разрешение Dependabot доступ к частным или внутренним зависимостей
Dependabot может проверять наличие устаревших ссылок-зависимостей в проекте и автоматически создавать запрос на вытягивание для их обновления. Для этого Dependabot требует наличия доступа ко всем целевым файлам зависимостей. Как правило, если какие-то из зависимостей недоступны, обновление версий не сработает. Дополнительные сведения см. в разделе Сведения об обновлениях версий Dependabot.
По умолчанию Dependabot не может обновлять зависимости, расположенные в частных или внутренних репозиториев или частных или внутренних реестров пакетов . Однако если зависимость находится в закрытом репозитории или internal GitHub в той же организации, что и проект, использующий эту зависимость, можно разрешить Dependabot успешно обновить версию, предоставив ему доступ к репозиторию узлов.
Если код зависит от пакетов в частном или внутреннего реестра , можно разрешить Dependabot обновить версии этих зависимостей, настроив его на уровне репозитория. Для этого добавьте сведения о проверке dependabot.yml подлинности в файл репозитория. Дополнительные сведения см. в разделе registries верхнего уровня".
Чтобы разрешить Dependabot получить доступ к частному или внутреннему репозиторию данных GitHub :
-
Перейдите к параметрам безопасности и анализа для вашей организации. Дополнительные сведения см. в разделе "Отображение параметров безопасности и анализа".
-
В разделе "Предоставление доступа к частному репозиторию "Предоставить Dependabot щелкните "Добавить внутренние и частные репозитории **", **чтобы отобразить поле поиска репозитория.
-
Начните вводить имя репозитория, к которому требуется предоставить доступ Dependabot.
-
Отображается список соответствующих репозиториев в организации, щелкните репозиторий, к которому требуется разрешить доступ, и он добавляет репозиторий в список разрешенных разрешений.
-
Если нужно удалить репозиторий из списка, справа от репозитория щелкните .
Удаление доступа к функциям GitHub Advanced Security из отдельных репозиториев в организации
Вы можете управлять доступом к функциям GitHub Advanced Security для репозитория на вкладке "Параметры". Дополнительные сведения см. в разделе Управление параметрами безопасности и анализа для репозитория. Однако вы также можете отключить функции GitHub Advanced Security для репозитория на вкладке "Параметры" для организации.
- Перейдите к параметрам безопасности и анализа для вашей организации. Дополнительные сведения см. в разделе "Отображение параметров безопасности и анализа".
- Чтобы просмотреть список всех репозиториев в организации с включенными GitHub Advanced Security, прокрутите страницу до раздела "GitHub Advanced Security репозиториев".
В таблице перечислены количество уникальных фиксаций для каждого репозитория. Это количество лицензий, которые можно освободить, удалив доступ к GitHub Advanced Security. Дополнительные сведения см. в разделе GitHub Advanced Security Выставление счетов за лицензии.
- Чтобы удалить доступ к GitHub Advanced Security из репозитория и освободить лицензии, используемые любым активными фиксациями, уникальными для репозитория, щелкните смежный .
- В диалоговом окне подтверждения нажмите кнопку "Удалить репозиторий ", чтобы удалить доступ к функциям GitHub Advanced Security.
Примечание.
Если вы удаляете доступ к GitHub Advanced Security для репозитория, необходимо связаться с затронутой командой разработчиков, чтобы они знали, что это изменение было предназначено. чтобы они не тратили время на отладку из-за неудачных запусков сканирования кода.