Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
日々の開発フローにプラスする GitHub Actions ~ セキュリティ対策を取り込む
Search
Kazumi OHIRA
December 06, 2022
Technology
2
200
日々の開発フローにプラスする GitHub Actions ~ セキュリティ対策を取り込む
Go fast and robust with GitHub 第一弾でお話したセッション資料です。
https://micug.jp/event/gofastandrobustwithgithub/
Kazumi OHIRA
December 06, 2022
Tweet
Share
More Decks by Kazumi OHIRA
See All by Kazumi OHIRA
【再】#2 GitHub Copilot Enterprise&GitHub Actionsナレッジ オープニング資料
dzeyelid
0
96
GitHub最新情報キャッチアップ 2024年3月
dzeyelid
17
5.6k
GitHub dockyardコミュニティ 竣工イベント!オープニング資料
dzeyelid
0
300
地味だけど劇的に便利になるGitHubリポジトリ設定あれこれ
dzeyelid
1
2.4k
GitHub最新情報キャッチアップ 2023年6月
dzeyelid
2
3.2k
GitHub と Azure でアプリケーションとインフラストラクチャの守りを固めるDevSecOps
dzeyelid
1
230
高さ比べじゃない、キャリアは歩んできた道
dzeyelid
0
580
GitHub Copilotとともに次の開発体験へ
dzeyelid
1
380
突如登場したAzure Developer CLIでなにができるのか?検証してみる
dzeyelid
0
120
Other Decks in Technology
See All in Technology
生成AIで小説を書くためにプロンプトの制約や原則について学ぶ / prompt-engineering-for-ai-fiction
nwiizo
3
710
20250623 Findy Lunch LT Brown
3150
0
840
Witchcraft for Memory
pocke
1
210
OpenHands🤲にContributeしてみた
kotauchisunsun
1
390
250627 関西Ruby会議08 前夜祭 RejectKaigi「DJ on Ruby Ver.0.1」
msykd
PRO
2
220
Navigation3でViewModelにデータを渡す方法
mikanichinose
0
220
Кто отправит outbox? Валентин Удальцов, автор канала Пых
lamodatech
0
330
Welcome to the LLM Club
koic
0
160
CI/CD/IaC 久々に0から環境を作ったらこうなりました
kaz29
1
150
Oracle Cloud Infrastructure:2025年6月度サービス・アップデート
oracle4engineer
PRO
2
200
製造業からパッケージ製品まで、あらゆる領域をカバー!生成AIを利用したテストシナリオ生成 / 20250627 Suguru Ishii
shift_evolve
PRO
1
120
ひとり情シスなCTOがLLMと始めるオペレーション最適化 / CTO's LLM-Powered Ops
yamitzky
0
420
Featured
See All Featured
Why Our Code Smells
bkeepers
PRO
337
57k
Six Lessons from altMBA
skipperchong
28
3.8k
Design and Strategy: How to Deal with People Who Don’t "Get" Design
morganepeng
130
19k
CoffeeScript is Beautiful & I Never Want to Write Plain JavaScript Again
sstephenson
161
15k
Rebuilding a faster, lazier Slack
samanthasiow
81
9k
What's in a price? How to price your products and services
michaelherold
246
12k
Learning to Love Humans: Emotional Interface Design
aarron
273
40k
個人開発の失敗を避けるイケてる考え方 / tips for indie hackers
panda_program
107
19k
Stop Working from a Prison Cell
hatefulcrawdad
270
20k
The Myth of the Modular Monolith - Day 2 Keynote - Rails World 2024
eileencodes
26
2.9k
RailsConf & Balkan Ruby 2019: The Past, Present, and Future of Rails at GitHub
eileencodes
138
34k
GraphQLとの向き合い方2022年版
quramy
47
14k
Transcript
日々の開発フローにプラスする GitHub Actions ~ セキュリティ対策を取り込む Go fast and robust with
GitHub 第一弾
岩永かづみ / Kazumi IWANAGA • Microsoft MVP for Azure •
ZEN Architects 所属 • GitHub公認トレーナー • 得意な領域 • Infrastructure as Code • GitHub Actions による自動化 • 技術コミュニティ • Code Polaris / Hack Everything. • @dz_ • @dzeyelid • @dzeyelid
業務における開発フロー
開発フロー • GitHubフローをベースに、プルリクエストを用いてレビューを受けて マージ 実装 プルリクエスト作成 レビュー マージ
開発フロー 実装 プルリクエスト作成 レビュー マージ 人によるレビュー
開発フローに CI/CD を加える
開発フロー 実装 プルリクエスト作成 レビュー マージ 人によるレビュー
開発フローに機械的なチェックをプラス 実装 プルリクエスト作成 レビュー マージ 人によるレビュー 機械によるレビュー
開発フローに機械的なチェックをプラス 実装 プルリクエスト作成 レビュー マージ 人によるレビュー 機械によるレビュー CI/CD
開発フローに機械的なチェックをプラス 実装 プルリクエスト作成 レビュー マージ 人によるレビュー 機械によるレビュー CI/CD GitHub Actions
GitHub Actions で CI/CD を構成する
GitHub Actions • 自動化のためのワークフローを作成できる • プルリクエスト作成・編集時をはじめ、様々な契機で発動できる • 自作、またはオープンソースで公開される"アクション"を利用できる • Marketplace
の他、各々のリポジトリを参照可能 • GitHub-hosted または Self-hosted ランナーを利用できる • GitHub-hosted ランナー • Ubuntu, Windows, MacOS • 最近は、より大きいコア数を搭載したランナーも登場
GitHub Actions
GitHub Actions のいいところ • GitHub の各機能との連携がシームレス • とくにプルリクエストと密に連携でき、既存の開発フローに取り込める • 無料利用枠が多い
• 後述のセキュリティ対策と相性が良い • GitHub Actions Importerで他のプラットフォームから移行も対応 • 参考: Automating migration with GitHub Actions Importer - GitHub Docs
開発フローにセキュリティ対策を 加える
開発フロー 実装 プルリクエスト作成 レビュー マージ 人によるレビュー 機械によるレビュー CI/CD GitHub Actions
開発フローにセキュリティ対策をプラス 実装 プルリクエスト作成 レビュー マージ 人によるレビュー 機械によるレビュー CI/CD GitHub Actions
セキュリティ対策
GitHub でできるセキュリティ対策 依存パッケージに潜む脆弱性の検出・対策 シークレットの混入を検出 コードの静的解析
GitHub でできるセキュリティ対策 "Dependabot" と Dependency review Secret scanning Code scanning
"Dependabot" • リポジトリ(デフォルトブランチ)に含まれるパッケージの依存関係を 解析し、脆弱性の検出や修正の提案を行ってくれる機能群 • 脆弱性の情報は GitHub Advisory Database を参照する(更新
も追随) 機能 説明 Dependabot alerts 依存関係にあるパッケージに脆弱性が検出された場合にア ラートを通知する Dependabot security updates Dependabot alerts で検出された脆弱性に対して、コード の修正をプルリクエストとして提案してくれる Dependabot version updates 依存関係にあるパッケージのバージョンにアップデートがあ る場合に、更新をプルリクエストとして提案してくれる
Dependabot alerts
Dependabot alerts 詳細ページ
Dependabot によるプルリクエストの様子 Dependabot security updates Dependabot version updates
Dependabot security updates
Dependabot version updates
Dependency review • 依存関係内の脆弱性を検出する機能が、GitHub Actions のアク ション actions/dependency-review-action として提供されてい る
• Dependency Review · Actions · GitHub Marketplace 機能 説明 Dependabot alerts (前述) Dependabot alerts は、リポジトリのデフォルトブランチに対する依存関 係が対象なので、マージしないと検出できない Dependency review GitHub Actions で利用できるので、プルリクエストなどの時点でも依存 関係のチェックを行える
Dependency review
Secret scanning • GitHubリポジトリ上の全てのブランチと履歴に対しスキャンを行い、 シークレットの混入を検出してくれる機能 シークレットの種類 説明 パートナープロバイダのパターン パートナープロバイダが発行しているトークンやキーなどのシーク レットパターン(現在、66プロバイダ)
参考: Supported secrets for partner patterns - GitHub Docs カスタムパターン 独自のパターンを定義できる(GitHub Advanced Security が必要(後述)) 参考: Defining custom patterns for secret scanning - GitHub Enterprise Cloud Docs
Code scanning • GitHubリポジトリ上のコードに対する脆弱性を検出・管理できる機能 • GitHub が提供する CodeQL を用いて解析 •
GitHub Actions を利用して容易に導入できる • 各種言語に応じた汎用的なクエリが用意されている、カスタマイズも可能 • 参考: About code scanning with CodeQL - GitHub Docs • サードパーティ製の静的解析ツールであっても、SARIF形式のレポー トで出力できれば、統合して利用できる
Code scanning のレポート一覧
Code scanning のレポート 参考: About code scanning alerts - GitHub
Docs
Code scanning のレポート(tfsec)
GitHub セキュリティ関連機能の対応 機能 Public リポ Private リポ(GHASなし) Private リポ(GHASあり) Dependabot
alerts 〇 〇 〇 Dependabot security updates 〇 〇 〇 Dependabot version updates 〇 〇 〇 Dependency review 〇 × 〇 Secret scanning 〇 × 〇 + カスタマイズ Code scanning 〇 × 〇
GitHub セキュリティ関連機能の対応 機能 Public リポ Private リポ(GHASなし) Private リポ(GHASあり) Dependabot
alerts 〇 〇 〇 Dependabot security updates 〇 〇 〇 Dependabot version updates 〇 〇 〇 Dependency review 〇 × 〇 Secret scanning 〇 × 〇 + カスタマイズ Code scanning 〇 × 〇 GitHub Advanced Security のライセンスを導入すれば、 Private リポジトリでも利用可能
GitHub Advanced Security • GitHub Enterprise Cloud または Server に対して付与できるセ
キュリティライセンス • Privateリポジトリに対しても、下記を利用できる • Dependency review • Secret scanning (パートナーパターンに加え、カスタマイズにも対応) • Code scanning
開発フローにプラスしていく
開発フローにプラスしていく 便利も、安心も