Créer une configuration de sécurité personnalisée pour votre entreprise

À propos de custom security configurations

Avec custom security configurations, vous pouvez créer des collections de paramètres d'activation pour les produits de sécurité de GitHub afin de répondre aux besoins de sécurité spécifiques de votre entreprise. Par exemple, vous pouvez créer une custom security configuration différente pour chaque organisation ou groupe d'organisations afin de refléter leurs exigences de sécurité uniques et leurs obligations de conformité.

Lors de la création d’une configuration de sécurité, gardez à l’esprit que :

• Seules les fonctionnalités installées par un administrateur de site sur votre instance GitHub Enterprise Server apparaissent dans l’interface utilisateur.
• Les fonctionnalités GitHub Advanced Security seront uniquement visibles si votre entreprise ou votre instance GitHub Enterprise Server détient une licence GitHub Advanced Security.
• Certaines fonctionnalités, telles que Dependabot security updates et code scanning par défaut, nécessitent également que GitHub Actions soit installé sur l’instance GitHub Enterprise Server .

1. Dans le coin supérieur droit de GitHub Enterprise Server, cliquez sur votre photo de profil, puis sur Paramètres d’entreprise.

   

2. Sur le côté gauche de la page, dans la barre latérale du compte d’entreprise, cliquez sur Paramètres.

3. Dans la barre latérale gauche, cliquez sur Code security.

4. Dans la section « Configurations », cliquez sur Nouvelle configuration.

5. Pour faciliter l'identification de votre custom security configuration et clarifier son objectif sur la page « Configurations », nommez votre configuration et créez une description.

6. Dans la ligne « fonctionnalités prodname_GHAS », choisissez s’il faut inclure ou exclure des fonctionnalités prodname_GHAS (GHAS). Si vous envisagez d’appliquer une custom security configuration avec les fonctionnalités GHAS aux référentiels privés, vous devez disposer de licences GHAS disponibles pour chaque commiteur unique actif sur ces référentiels, ou les fonctionnalités ne seront pas activées. Consultez À propos de la facturation pour GitHub Advanced Security.

7. Dans la section « Graphique de dépendance et Dependabot » du tableau des paramètres de sécurité, choisissez d'activer, de désactiver ou de conserver les paramètres existants pour les fonctions de sécurité suivantes :

   • Dependabot alerts. Pour plus d’informations sur Dependabot, consultez À propos des alertes Dependabot.

   Remarque

   Règles de triage automatique de Dependabot ne sont pas disponibles au niveau de l'entreprise. Si une configuration de sécurité au niveau de l'entreprise est appliquée à un référentiel, celui-ci peut toujours avoir Règles de triage automatique de Dependabot activé, mais vous ne pouvez pas désactiver ces règles au niveau de l'entreprise.

   • Mises à jour de sécurité. Pour en savoir plus sur les mises à jour de sécurité, consultez À propos des mises à jour de sécurité Dependabot.

   Remarque

   Vous ne pouvez pas modifier manuellement le paramètre d’activation pour le graphique de dépendances. Ce paramètre est installé et géré par un administrateur de site au niveau de l’instance.

8. Dans la section « Code scanning » de la table des paramètres de sécurité, choisissez si vous souhaitez activer, désactiver ou conserver les paramètres existants pour la configuration par défaut de code scanning. Pour en savoir plus sur la configuration par défaut, consultez Définition de la configuration par défaut pour l’analyse du code.

9. Dans la section « Secret scanning » de la table des paramètres de sécurité, choisissez si vous souhaitez activer, désactiver ou conserver les paramètres existants pour les fonctionnalités de sécurité suivantes :

   • Alertes. Pour en savoir plus sur , consultez À propos de l’analyse des secrets.
   • Modèles non-fournisseurs. Pour en savoir plus sur l’analyse pour les modèles non fournisseurs, consultez Modèles d’analyse de secrets pris en charge et Affichage et filtrage des alertes à partir de l’analyse des secrets.
   • Protection push. Pour en savoir plus sur la protection d’envoi (push), consultez À propos de la protection push.

10. Si vous le souhaitez, dans la section « Stratégie », vous pouvez choisir d’appliquer automatiquement la security configuration aux référentiels récemment créés en fonction de leur visibilité. Sélectionnez le menu déroulant Aucun , puis cliquez sur Publique ou Privé et interne, ou Tous les référentiels.

11. En option, dans la section « Stratégie », vous pouvez appliquer la configuration et empêcher les propriétaires de référentiels de modifier les fonctionnalités activées ou désactivées par la configuration (les fonctionnalités qui ne sont pas définies ne sont pas appliquées). À côté de « Appliquer la configuration », sélectionnez Appliquer dans le menu déroulant.

    Remarque

    Si un utilisateur de votre entreprise tente de modifier l'état d'activation d'une fonctionnalité dans une configuration imposée à l'aide de l'API REST, l'appel à l'API semblera réussir, mais aucun état d'activation ne sera modifié.

    Certaines situations peuvent compromettre l'application des security configurations pour un référentiel. Par exemple, l'activation de code scanning ne s'appliquera pas à un référentiel si :

    • GitHub Actions est initialement activée sur le référentiel, mais est ensuite désactivée dans le référentiel.
    • Les GitHub Actions requises par les code scanning configurations ne sont pas disponibles dans le référentiel.
    • Les exécuteurs d’auto-hébergement portant le label code-scanning ne sont pas disponibles.
    • La définition des langues qui ne doivent pas être analysées à l'aide de code scanning est modifiée.

12. Pour terminer la création de votre custom security configuration, cliquez sur Enregistrer la configuration.

Étapes suivantes

Pour configurer éventuellement des paramètres supplémentaires secret scanning pour l'entreprise, consultez Configuration des paramètres d’analyse de secrets supplémentaires pour votre entreprise.

Pour appliquer votre custom security configuration aux référentiels de votre organisation, consultez Application d’une configuration de sécurité personnalisée.

Pour savoir comment modifier votre custom security configuration, consultez Modification d’une configuration de sécurité personnalisée.