إدارة الوصول إلى GitHub Advanced Security
في الوحدة السابقة، تعلمت كيفية تمكين GitHub Advanced Security وفقا لخطة مؤسستك.
ترشدك هذه الوحدة إلى كيفية تكوين GitHub Advanced Security لمشروع ما. وهو يشرح كيفية إدارة الوصول إلى تنبيهات الأمان وإعداد نهج الأمان على مستوى المؤسسة والمستودع.
إدارة الوصول إلى تنبيهات الأمان
عند إعداد GitHub Advanced Security لمشروع ما، تريد التأكد من أن الأشخاص المناسبين في مؤسستك يمكنهم عرض أي تنبيهات وحلها. تعتمد الأدوار والأذونات المطلوبة لعرض هذه التنبيهات على نوع التنبيه.
يعرض هذا الجدول الحد الأدنى من الأدوار والأذونات اللازمة لعرض كل نوع من أنواع التنبيه في علامة التبويب Security الخاصة بالمستودع:
| نوع تنبيه الأمان | الأدوار والأذونات المطلوبة |
|---|---|
| تنبيهات فحص التعليمات البرمجية | إذن الكتابة على المستودع |
| تنبيهات مسح البيانات السرية | مسؤولو المستودع ومالكو المؤسسة |
| تنبيهات Dependabot | مسؤولو المستودع ومالكو المؤسسة |
بالإضافة إلى ذلك، يمكن لمسؤولي المستودع ومالكي المؤسسة منح مسح البيانات السرية ووصول تنبيه Dependabot للمستخدمين والفرق الذين لديهم إذن الكتابة على مستودعاتهم من المستودع إعدادات الأمان والتحليل.
باستخدام المجموعة الصحيحة من الأدوار والأذونات، يمكن للمطورين المشاركين في سير عمل الأمان اتخاذ الإجراءات التالية:
- بالنسبة لتنبيهات فحص التعليمات البرمجية: قم بتثبيت تصحيحات للتعليمات البرمجية، أو تجاهل التنبيهات التي لا تتطلب أي إجراء، أو حذف التنبيهات لتنظيف نتائج فحص التعليمات البرمجية.
- لتنبيهات مسح البيانات السرية: حذف الأسرار المكتشفة، وإنشاء رموز مميزة جديدة، وتحديث التعليمات البرمجية التي تستخدم الأسرار المكتشفة، أو تجاهل التنبيهات التي لا تتطلب أي إجراء.
- بالنسبة إلى تنبيهات Dependabot: قم بتحديث التبعيات الضعيفة أو تجاهل التنبيهات التي لا تتطلب أي إجراء.
تعيين نهج أمان على مستوى المؤسسة
هناك طريقة جيدة للتأكد من أن كل شخص في مؤسستك يستخدم GitHub Advanced Security وهي إعداد نهج أمان على مستوى المؤسسة. على سبيل المثال، يمكنك تعيين نهج يسمح لجميع مسؤولي المستودع في مؤسستك بتمكين ميزات الأمان المتقدم لمستودعاتهم.
يمكن تكوين النهج لجميع المؤسسات المملوكة لحساب المؤسسة الخاص بك، أو للمؤسسات الفردية التي تختارها.
اتبع هذه الخطوات لإعداد نهج أمان على مستوى المؤسسة:
في الشريط الجانبي لمؤسستك، انتقل إلى Policies > Advanced Security.
ضمن GitHub Advanced Security، حدد القائمة المنسدلة وحدد نهج للمؤسسات المملوكة لمؤسستك.
اختياريا، إذا اخترت السماح للمؤسسات المحددة إلى يمين المؤسسة، فحدد القائمة المنسدلة للسماح بالأمان المتقدم للمؤسسة أو عدم السماح به. يمنع عدم السماح للأمان المتقدم لمؤسسة مسؤولي المستودعات من تمكين ميزات الأمان المتقدم للمستودعات الأخرى، ولكنه لا يعطل ميزات المستودعات التي تم تمكين الميزات فيها بالفعل.
ملاحظه
ضع في اعتبارك أن GitHub يفواتير للأمان المتقدم على أساس كل التزام عند إعداد نهج على مستوى المؤسسة.
تعيين نهج أمان على مستوى المستودع
بنفس القدر من الأهمية عند إعداد مشروع GitHub هو توثيق كيفية الإبلاغ عن الثغرات الأمنية للمشروع. للقيام بذلك، يمكنك إضافة ملف SECURITY.md إلى مجلدات الجذر أو docsأو .github لمستودع المشروع. بعد ذلك، عندما ينشئ شخص ما مشكلة في مستودع، يرى ارتباطا بنهج أمان مشروعك.
بعد أن يبلغ شخص ما عن ثغرة أمنية في مشروعك، يمكنك استخدام GitHub Security Advisories للكشف عن معلومات حول الثغرة الأمنية وإصلاحها ونشرها.
اتبع هذه الخطوات لإعداد نهج أمان على مستوى المستودع:
- في المستودع الخاص بك، انتقل إلى Security > Security policy.
- حدد بدء الإعداد.
- في ملف
SECURITY.mdالجديد، أضف معلومات حول الإصدارات المدعومة من مشروعك وكيفية الإبلاغ عن ثغرة أمنية. - تثبيت التغيير إلى المستودع.