Styr adgang til og brug af handlinger i din virksomhed

  • 8 minutter

Kontrollér adgangen til handlinger i virksomheden

Adgangskontrol i GitHub-handlinger bestemmer:

  • Hvem kan køre arbejdsprocesser, der bruger handlinger.
  • Hvilke handlinger kan bruges i en organisation.
  • Sådan udfører selvværtsløbere arbejdsprocesser sikkert.
  • Hvem kan ændre og opdatere delte GitHub-handlinger.

Virksomhedsadministratorer skal finde en balance mellem at give udviklere fleksibilitet og sikre sikkerhed og styring i forbindelse med automatiseringsarbejdsprocesser.

Politikker for hele organisationen til styring af handlinger

GitHub Enterprise gør det muligt for administratorer at angive politikker for hele organisationen , der styrer, hvordan handlinger bruges på tværs af alle lagre i en organisation. Disse politikker hjælper organisationer med at begrænse brugen af handlinger fra tredjepart, gennemtvinge sikkerhedsforanstaltninger og standardisere automatiseringsarbejdsprocesser.

Tilladelser på lagerniveau til handlinger

Selvom indstillinger for hele organisationen gælder globalt, giver tilladelser på lagerniveau detaljeret kontrol over , hvem der kan køre arbejdsprocesser og ændre handlinger.

Administration af arbejdsprocestilladelser på lagerniveau

Hvert lager kan definere , hvem der kan oprette, redigere og udføre arbejdsprocesser.

Tilladelsesniveau egenskaber for
Læs Få vist arbejdsprocesser, men de kan ikke udløses eller redigeres.
Skriv Rediger arbejdsprocesser, men kan ikke oprette nye.
administrator Opret, rediger og administrer arbejdsprocestilladelser.

GitHub angiver som standard arbejdsprocestilladelser til "Læs og skriv", men virksomheder bør begrænse den til "Læs", medmindre det udtrykkeligt kræves for at forhindre uautoriserede ændringer.

Begrænsning af, hvem der kan ændre organisationsejede handlinger

Hvis en organisation hoster GitHub-handlinger, der kan genbruges , i et dedikeret lager, skal adgangen begrænses til godkendte brugere.

  • Brug beskyttelsesregler for forgreninger til at forhindre uautoriserede ændringer.
  • Kræv godkendelse af pullanmodninger for opdateringer til handlinger.
  • Begræns skriveadgang ved hjælp af GitHub Teams & Role-Based Access Control (RBAC).

Dette sikrer, at eventuelle ændringer af kerneautomatiseringshandlingergennemses før udrulningen.

Begrænsning af adgang til eksterne handlinger

GitHub-handlinger gør det muligt at bruge handlinger fra tredjepart, men eksterne handlinger kan udgøre en sikkerhedsrisiko , hvis de ikke kontrolleres korrekt. Organisationer skal styre, hvilke eksterne handlinger der kan bruges.

Risici ved brug af eksterne handlinger

  • Udførelse af skadelig kode: En ekstern handling, der ikke er tillid til, kan medføre sikkerhedsrisici.
  • Afhængigheds-manipulation: En handling fra tredjepart kan introducere angreb i forsyningskæden.
  • Eksponering af hemmeligheder: Eksterne handlinger kan utilsigtet logføre hemmeligheder.

Konfiguration af begrænsninger for eksterne handlinger

Administratorer kan tillade eller blokere eksterne handlinger i Organisationsindstillinger → Handlinger → politikker.

Indstillingerne omfatter:

  1. Tillad kun GitHub-bekræftede handlinger (anbefales af sikkerhedshensyn).
  2. Tillad specifikke eksterne handlinger via en tilladelsesliste.
  3. Bloker alle eksterne handlinger (den strengeste sikkerhedstilgang).

Eksempel: Tillad kun bekræftede eksterne handlinger

  • Gå til Organisationsindstillinger → Handlinger → politikker.
  • Under "Tilladte handlinger og arbejdsprocesser, der kan genbruges" skal du vælge:
    • Tillad kun handlinger, der er oprettet af GitHub.
    • Godkend eventuelle handlinger fra tredjepart manuelt, før de bruges.
  • Gem indstillingerne.

Implementering af en tilladelsesliste for eksterne handlinger

Organisationer, der har brug for specifikke handlinger fra tredjepart, kan oprette en tilladelsesliste ved at angive pålidelige lagre.

Eksempel: Tillad kun GitHubs officielle checkout handling:

- name: Checkout Repository
  uses: actions/checkout@v4

Administratorer kan definere denne tilladelsesliste i Organisationsindstillinger → Handlinger → politikker.

Sikring af selvværtsløbere

Virksomheder, der bruger selvværtsløbere til at udføre GitHub-handlinger, skal gennemtvinge yderligere sikkerhedsforanstaltninger.

Risici for løbere, der hostes af sig selv

risiko beskrivelse Afhjælpning
Uautoriseret adgang Hackere kan kapre løbere for at udføre ondsindede handlinger. Begræns adgang ved hjælp af lister over tilladte IP-adresser.
Hemmelig eksponering Følsomme legitimationsoplysninger kan blive lækket til kompromitterede løbere. Gem hemmeligheder i GitHub Secrets Management i stedet for miljøvariabler.
Kompromis mellem løbere Hvis løbere ikke er isoleret, kan arbejdsprocesser fra forskellige teams forstyrre. Brug ephemerale løbere, der nulstilles efter hvert job.

Begrænsning af adgang til selvværtsløbere

  1. Gå til Organisationsindstillinger → Handlinger → løbere.
  2. Opret en løbergruppe for at begrænse adgangen.
  3. Begræns brug af løbere:
    • Tillad kun løbere for interne lagre.
    • Begræns brugen til bestemte teams.

Konfigurer politikker for brug af organisationer for GitHub-handlinger

Denne vejledning indeholder en detaljeret beskrivelse af, hvordan du konfigurerer politikker for organisationsanvendelse for GitHub-handlinger, der dækker:

  1. Tilladte handlinger og arbejdsprocesser, der kan genbruges.
  2. Arbejdsprocestilladelser og sikkerhedspolitikker.
  3. Begrænsninger for løbere, der hostes af sig selv.
  4. Administration af hemmeligheder og adgangskontrol.
  5. Overvågning og overvågning af arbejdsprocesser.

Tilladte handlinger og arbejdsprocesser, der kan genbruges

En af de primære sikkerhedspolitikker , som virksomheder skal gennemtvinge, er at styre , hvilke GitHub-handlinger der kan bruges i en organisation. Administratorer kan konfigurere politikker til:

  • Tillad eller bloker handlinger fra tredjepart.
  • Begræns brugen til organisationsejede handlinger.
  • Opret en liste over tilladte for godkendte eksterne handlinger.

Skærmbillede af skærmbilledet med tilladelser til genralhandlinger, hvor standardindstillingerne er valgt

Konfiguration af politik for tilladte handlinger

  1. Gå til Organisationsindstillinger → Handlinger → politikker.

  2. Under "Tilladte handlinger og arbejdsprocesser, der kan genbruges" skal du vælge en af følgende:

    • Tillad alle handlinger og arbejdsprocesser, der kan genbruges (standard, mindst restriktiv).
    • Tillad kun handlinger, der er oprettet af GitHub (forhindrer handlinger fra tredjepart).
    • Tillad kun handlinger, der er oprettet i organisationen (anbefales af sikkerhedshensyn).
    • Bloker alle handlinger undtagen handlinger på en tilladelsesliste (det strengeste kontrolelement).

  3. Hvis du bruger en tilladelsesliste, skal du angive de eksterne handlinger, der er tilladt:

    - actions/checkout@v4
- actions/setup-node@v3

  4. Gem indstillingerne.

Konfiguration af arbejdsprocestilladelser og sikkerhedspolitikker

Arbejdsprocestilladelser definerer , hvilke adgangsniveauer GitHub-handlinger arbejdsprocesser har i lagre. Disse indstillinger bestemmer, om arbejdsprocesser kan ændre lagerindhold eller kun læse lagerdata.

Konfiguration af standardtilladelser til arbejdsprocesser

GitHub indeholder to muligheder:

  1. Skrivebeskyttet (anbefales til sikkerhed)
    • Arbejdsprocesser kan læse lagerindhold, men kan ikke foretage ændringer.
    • Forhindrer, at handlinger ved et uheld eller skadeligt ændrer kode.
  2. Læs og skriv (højere risiko)
    • Arbejdsprocesser kan sende bekræftelser, oprette problemer og ændre indstillinger.
    • Skal kun aktiveres for arbejdsprocesser, der er tillid til.

Trin til konfiguration af standardtilladelser til arbejdsprocesser

  1. Gå til Organisationsindstillinger → Handlinger → Generelt.
  2. Under "Arbejdsprocestilladelser" skal du vælge:
    • Skrivebeskyttet (anbefales).
    • Læs og skriv (kun for bestemte sager).
  3. Gem indstillingerne.

Gennemtvingelse af godkendelse for arbejdsproceskørsler

Administratorer kan kræve manuel godkendelse for at forhindre uautoriseret udførelse af arbejdsprocesser, før arbejdsprocesser kører i kopilagre.

Trin til at kræve godkendelse af eksterne bidrag

  1. Gå til Organisationsindstillinger → Handlinger → politikker.
  2. Under "Arbejdsprocesser for pullanmodninger for kopi" skal du vælge:
    • Kræv godkendelse af arbejdsprocesser, der kører fra gafler.
    • Tillad automatisk udførelse af forked arbejdsprocesser (anbefales ikke).
  3. Gem indstillingerne.

Denne politik forhindrer, at derikke er tillid til de sikkerhedsrisici, der er knyttet til kørende arbejdsprocesser.

Begrænsninger for løbere, der hostes af sig selv

Selvværtsløbere giver mere kontrol over CI/CD-udførelse, men medfører sikkerhedsrisici , hvis de ikke er konfigureret korrekt. Organisationer skal gennemtvinge politikker for at:

  • Begræns, hvilke lagre der kan bruge selv hostede løbere.
  • Begræns adgangen til bestemte teams.
  • Brug midlertidige løbere til sikkerhed.

Konfiguration af løberadgang

Administratorer kan begrænse, hvilke lagre der har adgang til selv hostede løbere.

Trin til at begrænse Self-Hosted brug af løbere

  1. Gå til Organisationsindstillinger → Handlinger → løbere.
  2. Vælg løbergruppen.
  3. Angiv adgangsniveauet:
    • Tillad kun udvalgte lagre at bruge selv hostede løbere.
    • Tillad ikke, at offentlige lagre bruger virksomhedsløbere.
  4. Gem indstillingerne.

Administration af hemmeligheder og adgangskontrol

GitHub-handlinger kræver ofte API-nøgler, legitimationsoplysninger og miljøvariabler. Disse skal gemmes sikkert ved hjælp af GitHub Secrets Management.

Organisationshemmeligheder i forhold til lagerhemmeligheder

Type Område bedste
Lagerhemmeligheder Specifik for ét lager. For lagerspecifikke legitimationsoplysninger.
Organisationshemmeligheder Tilgængelig for flere lagre. For delte virksomhedslegitimationsoplysninger.

Konfiguration af organisationshemmeligheder

  1. Gå til Organisationsindstillinger → Hemmeligheder og Variabler → Handlinger.
  2. Klik på "Ny hemmelighed".
  3. Angiv et hemmeligt navn og en værdi.
  4. Vælg lageradgang:
    • Alle lagre.
    • Valgte lagre.
  5. Gem hemmeligheden.

Bedste fremgangsmåder til administration af hemmeligheder

  • Brug miljøvariabler omhyggeligt for at forhindre hemmelig eksponering.
  • Roter hemmeligheder regelmæssigt for at forbedre sikkerheden.
  • Brug secret managers fra tredjepart (f.eks. AWS Secrets Manager, HashiCorp Vault).

Overvågning og overvågning af brug af GitHub-handlinger

Organisationer skal overvåge brugen af GitHub-handlinger for at sikre overholdelse og registrere uautoriseret aktivitet.

Aktivering af overvågningslogge for GitHub-handlinger

Overvågningslogge giver indsigt i:

  • Hvem kørte arbejdsprocesser.
  • Hvilke handlinger blev udført.
  • Hvilke tilladelser arbejdsprocesser brugte.

Trin til aktivering af overvågningslogge

  1. Gå til Organisationsindstillinger → Overvågningslog for sikkerhed →.
  2. Filtrer logge efter "handlinger" for at få vist historik for udførelse af arbejdsproces.

Gennemtvingelse af politikker for logopbevaring

Virksomheder skal konfigurere logopbevaring for at overholde sikkerhedspolitikker. Hvis du bevarer logfiler, sikrer du, at organisationer kan gennemse historiske udførelser af arbejdsprocesser, registrere mistænkelige aktiviteter og overholde brancheregler.

Trin til konfiguration af politikker for logopbevaring

  1. Gå til Organisationsindstillinger → Overvågningslog for sikkerhed →.
  2. Angiv logopbevaringsperioden, så den opfylder kravene til overholdelse:
    • 30 dage (standard).
    • 90 dage (anbefales til sikkerhedsbevidste organisationer).
    • Brugerdefineret periode (i henhold til juridiske og overholdelsesbehov).
  3. Gem indstillingerne.

Du kan også bruge GitHubs API til at angive logopbevaringsperioden.