このバージョンの GitHub Enterprise サーバーはこの日付をもって終了となります: 2026-04-09. 重大なセキュリティの問題に対してであっても、パッチリリースは作成されません。 パフォーマンスの向上、セキュリティの向上、新機能の向上を図るために、最新バージョンの GitHub Enterprise サーバーにアップグレードしてください。 アップグレードに関するヘルプについては、GitHub Enterprise サポートにお問い合わせください。

リポジトリを保護するためのクイック スタート

コードへのアクセスを管理します。 脆弱なコードと依存関係を自動的に見つけて修正します。

この機能を使用できるユーザーについて

リポジトリの所有者、組織の所有者、セキュリティ マネージャー、および 管理者 ロールを持つユーザー

この記事で

概要

このガイドは、リポジトリでのセキュリティ機能の設定方法を紹介します。

セキュリティの要件はリポジトリに固有のものなので、リポジトリですべての機能を有効化する必要はないかもしれません。 詳しくは、「GitHub セキュリティ機能」をご覧ください。

一部の機能は、すべてのリポジトリに使用できます。 GitHub Advanced Security を使う organization や Enterprise は、その他の機能を使用できます。 詳しくは、「GitHub Advanced Security について」をご覧ください。

リポジトリへのアクセスの管理

リポジトリを保護するための最初の手順は、誰がコードを表示および変更できるかを確立することです。 詳しくは、「リポジトリの設定と機能の管理」をご覧ください。

リポジトリのメイン ページで、[設定] をクリックし、[危険ゾーン] まで下にスクロールします。

依存関係グラフの管理

Enterprise 所有者は、Enterprise の依存関係グラフと Dependabot alerts を構成できます。 詳細については、「企業の依存関係グラフの有効化」と「エンタープライズ向けの Dependabot の有効化」を参照してください。

詳しくは、「リポジトリの依存関係を調べる」をご覧ください。

管理 Dependabot alerts

          Dependabot alerts は、 GitHub が脆弱性を持つ依存関係グラフ内の依存関係を識別するときに生成されます。

さらに、Dependabot 自動トリアージ ルール を使用してアラートを大規模に管理できるため、アラートを自動的に閉じたりスヌーズしたりして、pull requestを開く Dependabot アラートを指定できます。 さまざまな種類の自動トリアージ ルールと、リポジトリが適格かどうかについては、「Dependabot 自動トリアージ ルールについて」を参照してください。

Dependabot によって提供されるさまざまな機能の概要と、開始方法の手順については、「Dependabot クイックスタート ガイド」を参照してください。

エンタープライズ所有者は、エンタープライズの依存関係グラフと Dependabot alerts を構成する必要があります。

Dependabot alerts が構成されたら、リポジトリ管理者と organization 所有者は、[Code security and analysis] 設定ページで、プライベートと内部のリポジトリに対して Dependabot alerts を有効にできます。 パブリック リポジトリは既定で有効になっています。 詳細については、「企業の依存関係グラフの有効化」、「エンタープライズ向けの Dependabot の有効化」、「Dependabot アラートの構成」を参照してください。

詳細については、 Dependabot アラートについて を参照してください。

依存関係レビューの管理

依存関係レビューを使うと、Pull Requestがリポジトリにマージされる前に、Pull Request内での依存関係の変化を可視化できます。 詳しくは、「依存関係の確認について」をご覧ください。

依存関係の確認は、 GitHub Advanced Security 機能です。

リポジトリの依存関係の確認を有効にするには、依存関係グラフが有効になっていることを確認します。

  1. リポジトリのメインページで、[設定] をクリックします。
  2. [ Code security and analysis] をクリックします。
  3. 依存関係グラフがエンタープライズ用に構成されていることを確認します。

管理 Dependabot security updates

          Dependabot alertsを使用するリポジトリでは、脆弱性が検出されたときにDependabot security updatesを有効にして、セキュリティ更新プログラムを使用してプル要求を発生させることができます。
  1. リポジトリのメインページで、設定 をクリックします。
  2. [ Code security and analysis] をクリックします。
  3.        Dependabot security updatesの横にある [**有効にする**] をクリックします。

詳細については、「Dependabot のセキュリティ アップデート」および「Dependabot セキュリティの更新の構成」を参照してください。

管理 Dependabot version updates

依存関係を最新の状態に維持するために、Dependabot がプルリクエストを自動的に作成することができます。 詳しくは、「GitHub Dependabot のバージョンアップデートについて」をご覧ください。

          Dependabot version updatesを有効にするには、`dependabot.yml`構成ファイルを作成する必要があります。 詳しくは、「[AUTOTITLE](/code-security/dependabot/dependabot-version-updates/configuring-dependabot-version-updates)」をご覧ください。

構成 code scanning

          code scanningまたはサード パーティ製ツールを使用して、リポジトリに格納されているコードの脆弱性とエラーを自動的に識別するようにCodeQL 分析ワークフローを構成できます。 リポジトリ内のプログラミング言語に応じて、既定のセットアップを使用してcode scanningを使用してCodeQLを構成できます。GitHubは、スキャンする言語、実行するクエリ スイート、および新しいスキャンをトリガーするイベントを自動的に決定します。 詳しくは、「[AUTOTITLE](/code-security/code-scanning/enabling-code-scanning/configuring-default-setup-for-code-scanning)」をご覧ください。
  1. リポジトリのトップページで、設定 をクリックします。
  2. サイドバーの「セキュリティ」セクションで、「 Code security and analysis」をクリックします。
  3. [Code scanning] セクションで、[セットアップ]を選択し、[既定値] をクリックします。
  4. 表示されるポップアップ ウィンドウで、リポジトリの既定の構成設定を確認し、[CodeQLを有効にする] をクリックします。

既定のセットアップの代わりに、高度なセットアップを使用して、編集できるワークフロー ファイルを生成し、code scanningを使用してCodeQLをカスタマイズできます。 詳しくは、「コード スキャンの詳細設定を構成する」をご覧ください。

構成 secret scanning

  1. リポジトリのメインページで、[設定] をクリックします。
  2. [ Code security and analysis] をクリックします。
  3. [Advanced Security] または [GitHub Advanced Security] がまだ有効になっていない場合は、[ 有効] をクリックします。
  4. [Secret scanning] オプションが表示されている場合は、[ 有効] をクリックします。

セキュリティポリシーの設定

リポジトリの保守管理者であれば、リポジトリに SECURITY.md という名前のファイルを作成して、リポジトリのセキュリティ ポリシーを指定することをお勧めします。 このファイルは、ユーザーがリポジトリのセキュリティ脆弱性を報告したいときに、リポジトリの保守管理者と連絡を取って共同作業を行うにはどうすれば一番良いかを指示します。 リポジトリのセキュリティ ポリシーは、リポジトリの [ Security ] タブから確認できます。

  1. リポジトリのメイン ページで、 Security をクリックします。
  2. 左側のサイドバーの [レポート] で、[ポリシー] をクリックします。
  3.        **[Start setup] (セットアップの開始)** をクリックします。
  4. プロジェクトのサポートされているバージョンに関する情報と、脆弱性の報告方法に関する情報を追加してください。

詳しくは、「リポジトリへのセキュリティ ポリシーの追加」をご覧ください。

次のステップ

セキュリティの機能からのアラートを表示及び管理して、コード中の依存関係と脆弱性に対処できます。 詳しくは、「Dependabot アラートの表示と更新」、「依存関係の更新に関するPull Requestを管理する」、「リポジトリのコード スキャンのアラートの評価」、「シークレット スキャン アラートの管理」を参照してください。

          GitHubのツールを使用して、セキュリティ アラートへの応答を監査することもできます。 詳しくは、「[AUTOTITLE](/code-security/getting-started/auditing-security-alerts)」をご覧ください。

GitHub Actionsを使用する場合、GitHubのセキュリティ機能を使用して、ワークフローのセキュリティを強化できます。 詳しくは、「セキュリティで保護された使用に関するリファレンス」をご覧ください。