Informationen zu custom security configurations
Mit custom security configurations können Sie Sammlungen von Aktivierungseinstellungen für die Sicherheitsprodukte von GitHub erstellen, um die spezifischen Sicherheitsanforderungen Ihrer Organisation zu erfüllen. Du kannst beispielsweise für jede Organisation oder Gruppe von Organisationen eine andere custom security configuration erstellen, um ihre einzigartigen Sicherheitsanforderungen und Complianceverpflichtungen widerzuspiegeln.
Wenn du eine Sicherheitskonfiguration erstellst, solltest du Folgendes beachten:
- Auf der Benutzeroberfläche werden nur Features angezeigt, die von einem Siteadministrator in deiner GitHub Enterprise Server-Instanz installiert wurden.
- GitHub Advanced Security-Features werden nur angezeigt, wenn deine Organisation oder GitHub Enterprise Server-Instanz über eine GitHub Advanced Security-Lizenz verfügt.
- Bestimmte Features wie Dependabot security updates und das Standardsetup für code scanning erfordern, dass GitHub Actions in der GitHub Enterprise Server-Instanz installiert ist.
Erstellen einer custom security configuration
Hinweis
Der Aktivierungsstatus einiger Sicherheitsfeatures hängt von anderen Sicherheitsfeatures auf höherer Ebene ab. Wenn du z. B. Warnungen zur Geheimnisüberprüfung deaktivierst, werden auch Nichtanbietermuster und Push-Schutz deaktiviert.
-
Klicke in der rechten oberen Ecke von GitHub auf dein Profilbild und dann auf Your organizations.
-
Klicke unter dem Organisationsnamen auf Settings. Wenn die Registerkarte „Einstellungen“ nicht angezeigt wird, wähle im Dropdownmenü die Option Einstellungen aus.
-
Im Abschnitt "Sicherheit" der Randleiste wählen Sie das Code security Dropdown-Menü aus und klicken dann auf Configurations.
-
Klicken Sie im Abschnitt „Codesicherheitskonfigurationen“ auf Neue Konfiguration.
-
Um Ihre custom security configuration zu identifizieren und ihren Zweck auf der Seite „Code security configurations“ zu erläutern, geben Sie Ihrer Konfiguration bitte einen Namen und erstellen Sie eine Beschreibung.
-
Wähle in der Zeile „GitHub Advanced Security features“ aus, ob GitHub Advanced Security-Features (GHAS) ein- oder ausgeschlossen werden sollen. Wenn du planst, eine custom security configuration mit GHAS-Funktionen auf Repositories anzuwenden, musst du über verfügbare GHAS-Lizenzen für jeden aktiven eindeutigen Committer dieser Repositories verfügen, sonst werden die Funktionen nicht aktiviert. Weitere Informationen findest du unter GitHub Advanced Security-Lizenzabrechnung.
-
Wähle im Abschnitt „Dependency graph and Dependabot“ der Tabelle mit den Sicherheitseinstellungen, ob du die folgenden Funktionen aktivieren, deaktivieren oder die bestehenden Einstellungen beibehalten möchtest:
- Dependabot alerts. Weitere Informationen zu Dependabot findest du unter Informationen zu Dependabot-Warnungen.
- Sicherheitsupdates. Weitere Informationen zu Sicherheitsupdates findest du unter Informationen zu Dependabot-Sicherheitsupdates.
Hinweis
Du kannst die Einstellung für die Aktivierung des Abhängigkeitsgraphen nicht manuell ändern. Diese Einstellung wird von einem Administrator auf Instanz-Ebene installiert und verwaltet.
-
Wählen Sie im Abschnitt „Code scanning“ der Sicherheitseinstellungstabelle aus, ob Sie die vorhandenen Einstellungen für das code scanning-Standardsetup aktivieren, deaktivieren oder beibehalten möchten. Informationen zur Standardeinrichtung findest du unter Configuring default setup for code scanning.
-
Wählen Sie im Abschnitt „Secret scanning“ der Sicherheitseinstellungstabelle aus, ob Sie die vorhandenen Einstellungen für die folgenden Sicherheitsfeatures aktivieren, deaktivieren oder beibehalten möchten:
- Benachrichtigungen. Um mehr über Warnungen zur Geheimnisüberprüfung zu erfahren, siehe Informationen zur Geheimnisüberprüfung.
- Nicht-Anbieter-Muster Um mehr über das Scannen nach Nicht-Anbieter-Mustern zu erfahren, siehe Unterstützte Scanmuster für Secrets und Anzeigen und Filtern von Warnungen aus der Secrets-Überprüfung.
- Push-Schutz. Weitere Informationen zum Push-Schutz findest du unter Informationen zum Pushschutz.
-
Optional kannst du unter „Push-Schutz“ auswählen, ob du ausgewählten Akteuren in deiner Organisation Umgehungsberechtigungen zuweisen möchtest. Durch Zuweisen von Umgehungsrechten können ausgewählte Organisationsmitglieder den Push-Schutz umgehen, und es gibt einen Überprüfungs- und Genehmigungsprozess für alle anderen Mitwirkenden. Eine Anleitung, wie du diese Einstellung festlegst, findest du unter Aktivieren der delegierten Umgehung für den Pushschutz.
-
Optional können Sie im Abschnitt „Richtlinie“ die security configuration automatisch auf neu erstellte Repositorys anwenden, sofern diese sichtbar sind. Wähle das Dropdownmenü None aus, und klicke anschließend auf Public oder Private and internal oder All repositories.
Hinweis
Die Standardeinstellung security configuration für eine Organisation wird nur automatisch auf neue Repositorys angewendet, die in deiner Organisation erstellt werden. Wenn ein Repository in Ihre Organisation übertragen wird, müssen Sie immer noch eine entsprechende security configuration manuell auf das Repository anwenden.
-
Optional können Sie im Abschnitt „Richtlinie“ die Konfiguration erzwingen und Repositorybesitzer*innen daran hindern, Features zu ändern, die durch die Konfiguration aktiviert oder deaktiviert sind (Features, die nicht festgelegt sind, werden nicht erzwungen). Wählen Sie neben „Konfiguration erzwingen“ im Einblendmenü Erzwingen aus.
Hinweis
In einigen Fällen kann die Erzwingung von security configurations unterbrochen werden. Weitere Informationen findest du unter Erzwingung der Sicherheitskonfiguration.
-
Klicken Sie auf "custom security configuration, um die Erstellung abzuschließen****.
Nächste Schritte
Um deine custom security configuration auf Repositories in deiner Organisation anzuwenden, siehe Anwenden einer benutzerdefinierten Sicherheitskonfiguration.
Informationen zum Bearbeiten deiner custom security configuration findest du unter Bearbeiten einer angepassten Sicherheitskonfiguration.