Azure DevOps GitHub Advanced Security を構成する

GitHub Advanced Security for Azure DevOps では、GitHub Advanced Security の一連のセキュリティ機能がAzure Reposに追加され、次の機能が含まれています。

• シークレット スキャン プッシュ保護: コード プッシュに資格情報などのシークレットを公開するコミットが含まれているかどうかを検査する
• シークレット スキャン リポジトリのスキャン: リポジトリをスキャンし、誤ってコミットされた公開済みのシークレットを探す
• 依存関係のスキャン – オープンソース依存関係の既知の脆弱性を検索する (直接および推移的)
• コード スキャン – CodeQL 静的分析エンジンを使用して、SQL インジェクションや認証バイパスなどのコード レベルのアプリケーションの脆弱性を特定する

リポジトリに対して適切なレベルの保護を可能にする柔軟性を備えた Advanced Security の保護を企業に提供できます。 Azure DevOpsのGitHub Advanced Security は、Azure DevOpsおよび GitHub Code Security for Azure DevOps の GitHub Secret Protection として利用できます。

シークレット保護には、次の機能が含まれています。

• プッシュ保護:シークレットリークが発生する前に防ぐ
• 通知を含むシークレット スキャン アラートを使用して、問題になる前に既存の露出をキャッチする
• セキュリティの概要。組織のリスクとセキュリティ保護のレベルに関する分析情報を提供します

コード セキュリティには、次の機能が含まれています。

• オープン ソースの依存関係の脆弱性を見つけるための依存関係アラート
• コード内の脆弱性を直接検出するための CodeQL スキャン
• サード パーティ製ツールのセキュリティに関する調査結果
• セキュリティの概要。組織のリスクとセキュリティ保護のレベルに関する分析情報を提供します

組織、プロジェクト、またはリポジトリのレベルで Advanced Security を有効にすることができます。 各スキャン ツールと結果にアクセスするには、まず Advanced Security を有効にする必要があります。 Advanced Security を有効にすると、このポリシーが有効になっているリポジトリへのシークレットを含む今後のプッシュはブロックされ、リポジトリ シークレットのスキャンはバックグラウンドで実行されます。

リポジトリレベルの導入プロセス

1. Azure DevOps projectの Project 設定に移動します。
2. Repos>Repositories を選択します。
3. Advanced Security を有効にするリポジトリを選択します。
4. [有効] を選択し、課金を開始して Advanced Security をアクティブにします。 Advanced Security が有効になっているリポジトリのリポジトリ ビューにシールド アイコンが表示されるようになりました。

GitHub Advanced Securityを有効にする際のスクリーンショット。

プロジェクトレベルのオンボーディング

1. Azure DevOps projectの Project 設定に移動します。
2. Repos を選択します。
3. [Settings](設定) タブを選択します。
4. [すべて有効にする] を選択すると、プロジェクトのアクティブなコミッターの数の見積もりが表示されます。 このアクションでは、既存のリポジトリに対してのみ製品が有効になります。
5. [課金の開始] を選択して、プロジェクト内のすべての既存のリポジトリに対して Advanced Security をアクティブにします。
6. 必要に応じて、[ 新しいリポジトリに対して Advanced Security を自動的に有効にする ] を選択して、今後新しく作成されたリポジトリの作成時に Advanced Security を有効にします。 この設定は [すべてのアクションを有効にする] とは別のものであり、個別に選択する必要があります。

組織全体のオリエンテーション

1. Azure DevOps組織の Organization 設定に移動します。
2. [リポジトリ] を選択します。
3. [すべて有効にする] を選択すると、組織のアクティブなコミッターの数の見積もりが表示されます。 このアクションでは、既存のリポジトリに対してのみ製品が有効になります。
4. [課金の開始] を選択して、組織の各プロジェクトで、すべての既存のリポジトリに対して Advanced Security をアクティブにします。
5. 必要に応じて、[ 新しいプロジェクトに対して Advanced Security を自動的に有効にする ] を選択して、今後新しく作成されたプロジェクトの作成時に Advanced Security を有効にします。 この設定は [すべてのアクションを有効にする] とは別のものであり、個別に選択する必要があります。

Secret Protection または Code Security は、組織、プロジェクト、またはリポジトリ レベルで有効にすることができます。

リポジトリレベルの導入プロセス

1. Azure DevOps projectの Project 設定に移動します。
2. Repos>Repositories を選択します。
3. Advanced Security を有効にするリポジトリを選択します。
4. シークレット保護またはコード セキュリティを切り替えます。
5. [ 請求の開始] を選択します。 いずれかの製品が有効になっているリポジトリのリポジトリ ビューにシールド アイコンが表示されるようになりました。
6. 必要に応じて 、依存関係スキャンの既定のセットアップを有効にするには、[ オプション] を選択し、[依存関係スキャンの既定のセットアップ] チェック ボックスをオンにします。

GitHub Advanced Securityを有効にする際のスクリーンショット。

プロジェクトレベルのオンボーディング

1. Azure DevOps projectの Project 設定に移動します。
2. Repos を選択します。
3. [Settings](設定) タブを選択します。
4. [ すべて有効にする] を 選択すると、プロジェクトの製品あたりのアクティブなコミッターの数の見積もりが表示されます。 このアクションでは、選択した製品が既存のリポジトリに対してのみ有効になります。
5. Secret Protection または Code Security の目的の製品と、関連するすべてのサブ機能を切り替えます。
6. [ 課金の開始 ] を選択して、プロジェクト内のすべての既存のリポジトリに対して Secret Protection や Code Security をアクティブ化します。
7. 必要に応じて、 新しいリポジトリに対して自動的に Advanced Security を有効に して、今後新しく作成されたリポジトリの作成時に Secret Protection または Code Security が有効になるように切り替えます。 この設定は [すべてのアクションを有効にする] とは別のものであり、個別に選択する必要があります。

組織全体のオリエンテーション

1. Azure DevOps組織の Organization 設定に移動します。
2. [リポジトリ] を選択します。
3. [ すべて有効にする] を 選択し、組織の製品ごとのアクティブなコミッターの数の見積もりが表示されます。 このアクションでは、選択した製品が既存のリポジトリに対してのみ有効になります。
4. Secret Protection または Code Security の目的の製品と、関連するすべてのサブ機能を切り替えます。
5. [課金の開始] を選択して、組織の各プロジェクトで、すべての既存のリポジトリに対して Advanced Security をアクティブにします。
6. 必要に応じて、[ 新しいプロジェクトに対して Advanced Security を自動的に有効にする ] を切り替えて、今後新しく作成されたプロジェクトで 作成時にシークレット保護 または コード セキュリティ が有効になるようにします。 この設定は [すべてのアクションを有効にする] とは別のものであり、個別に選択する必要があります。

Advanced Security を有効にすると、シークレット スキャンのプッシュ保護とリポジトリ スキャンが自動的に有効になります。 リポジトリ設定ページからシークレット プッシュ保護を有効または無効にすることができます。

選択したリポジトリに対して Advanced Security を有効にすると、シークレット スキャン リポジトリのスキャンが自動的に開始されます。

シークレットスキャンプッシュ保護とリポジトリスキャンは、シークレット保護を有効にすると自動的に有効になります。 リポジトリ設定ページからシークレット プッシュ保護を有効または無効にすることができます。

シークレット スキャン リポジトリのスキャンは、選択したリポジトリに対して Secret Protection を有効にすると自動的に開始されます。

依存関係スキャン機能にアクセスするには、リポジトリに対して Code Security 製品が有効になっている必要があります。

コード スキャン機能にアクセスするには、リポジトリに対して Code Security 製品が有効になっている必要があります。