シークレット スキャンからのアラートの解決

アラートの修正

シークレットがリポジトリにコミットされたら、シークレットが侵害されたと考える必要があります。 GitHub では、侵害されたシークレットに対して次のアクションが推奨されます。

1. GitHubにコミットされたシークレットが有効であることを確認します。

** GitHub トークンにのみ適用されます**。 シークレットの有効性の確認とオンデマンドの有効性チェックの実行を参照してください。

1. プライベート リポジトリで検出されたシークレットの場合は、漏洩したシークレットを GitHubに報告します。このシークレットは、パブリックに漏洩したシークレットと同様に扱い、取り消します。 アクティブまたは未確認の GitHubpersonal access tokenにのみ適用されます。 プライベート リポジトリでの漏洩したシークレットの報告を参照してください。
2. 古いトークンを使用するすべてのサービスを確認して更新します。 GitHub personal access tokenの場合は、侵害されたトークンを削除し、新しいトークンを作成します。 「個人用アクセス トークンを管理する」を参照してください。
3. シークレット プロバイダーに応じて、承認されていないアクティビティがないかセキュリティ ログを確認します。

プライベート リポジトリで漏洩したシークレットを報告する

1. GitHub で、リポジトリのメイン ページに移動します。

2. リポジトリ名の下にある [ Security and quality ] タブをクリックします。[ Security and quality] タブが表示されない場合は、 ドロップダウン メニューを選択し、[ Security and quality] をクリックします。

3. 左側のサイドバーの [脆弱性アラート] で、[ Secret scanning] をクリックします。

4. アラートの一覧から、表示したいアラートをクリックします。

5. 漏洩したシークレットのアラート ビューで、[漏洩の報告] をクリックします。

   メモ

   ワークフローが中断しないように、シークレットを公開するとそのシークレットが取り消される可能性があるため、続行する前に、まずローテーションすることを検討してください。 可能であれば、トークン所有者に連絡して、漏洩について通知し、修復計画を調整する必要もあります。

6. ダイアログ ボックスの情報を確認し、[結果を理解し、このシークレットを報告する] をクリックします。

アラートを閉じる

1. GitHub で、リポジトリのメイン ページに移動します。

2. リポジトリ名の下にある [ Security and quality ] タブをクリックします。[ Security and quality] タブが表示されない場合は、 ドロップダウン メニューを選択し、[ Security and quality] をクリックします。

3. 左側のサイドバーの [脆弱性アラート] で、[ Secret scanning] をクリックします。

4. [Secret scanning] で、表示するアラートをクリックします。

5. アラートを無視するには、[次の状態として閉じる] ドロップダウン メニューを選び、アラートを解決する理由をクリックします。

   

6. 必要に応じて、[コメント] フィールドに無視のコメントを追加します。 無視のコメントはアラート タイムラインに追加され、監査と報告の間に正当な理由として使用できます。

7. [アラートをクローズする] をクリックします。

次のステップ

• シークレット スキャンからのアラートを監視する