ossf/allstarGitHub-App zum Festlegen und Durchsetzen von Sicherheitsrichtlinien
[!IMPORTANT] Die von der OpenSSF gehostete Allstar-GitHub-App wurde eingestellt. Allstar, das Unterprojekt des OpenSSF Scorecard, wird selbst weiterhin gepflegt — Sie müssen es nun selbst betreiben, entweder als GitHub Action oder als Dienst-Daemon.
Weitere Details finden Sie unter ossf/allstar#881.
Wenn Ihre Organisation auf die gehostete App angewiesen war, lesen Sie Migration von der gehosteten App.
Allstar ist eine GitHub App, die GitHub-Organisationen oder -Repositories kontinuierlich auf die Einhaltung von Sicherheits-Best-Practices überwacht. Wenn Allstar einen Verstoß gegen eine Sicherheitsrichtlinie erkennt, erstellt es ein Issue, um den Repository- oder Organisationsinhaber zu benachrichtigen. Bei einigen Sicherheitsrichtlinien kann Allstar auch automatisch die Projekteinstellung ändern, die den Verstoß verursacht hat, und sie auf den erwarteten Zustand zurücksetzen.
Das Ziel von Allstar ist es, Ihnen eine fein abgestimmte Kontrolle über die Dateien und Einstellungen zu geben, die die Sicherheit Ihrer Projekte beeinflussen. Sie können sowohl auf Organisations- als auch auf Repository-Ebene auswählen, welche Sicherheitsrichtlinien überwacht werden sollen, und wie mit Richtlinienverstößen umgegangen wird. Sie können auch neue Richtlinien entwickeln oder beitragen.
Allstar wird als Teil des Projekts OpenSSF Scorecard entwickelt.
Wenn Allstar unerwünschte Issues erstellt, folgen Sie diesen Anweisungen, um sich abzumelden.
Allstar ist hochgradig konfigurierbar. Es gibt drei Hauptebenen der Steuerung:
Diese Konfigurationen werden im .allstar-Repository der Organisation vorgenommen.
Repository-Ebene: Repository-Maintainer in einer Organisation, die
Allstar verwendet, können ihr Repository für Durchsetzungen auf
Organisationsebene an- oder abmelden. Hinweis: Diese Steuerungen auf
Repository-Ebene funktionieren nur, wenn „Repo-Override" in den
Einstellungen auf Organisationsebene erlaubt ist. Diese Konfigurationen
werden im .allstar-Verzeichnis des Repositories vorgenommen.
Richtlinienebene: Administratoren oder Maintainer können auswählen, welche
Richtlinien auf bestimmten Repositories aktiviert sind und welche Aktionen
Allstar bei einem Richtlinienverstoß ausführt. Diese Konfigurationen werden
in einer Richtlinien-YAML-Datei entweder im .allstar-Repository der
Organisation (Administratoren) oder im .allstar-Verzeichnis des
Repositories (Maintainer) vorgenommen.
Bevor Sie Allstar auf Organisationsebene installieren, sollten Sie entscheiden, auf ungefähr wie vielen Repositories Allstar ausgeführt werden soll. Dies hilft Ihnen bei der Wahl zwischen den Strategien Opt-In und Opt-Out.
Die Opt-In-Strategie ermöglicht es Ihnen, die Repositories manuell hinzuzufügen, auf denen Allstar ausgeführt werden soll. Wenn Sie keine Repositories angeben, wird Allstar trotz Installation nicht ausgeführt. Wählen Sie die Opt-In-Strategie, wenn Sie Richtlinien nur für eine kleine Anzahl Ihrer gesamten Repositories durchsetzen möchten oder Allstar zunächst an einem einzelnen Repository ausprobieren möchten, bevor Sie es für weitere aktivieren. Seit der Version v4.3 werden Globs unterstützt, um mehrere Repositories mit ähnlichem Namen einfach hinzuzufügen.
Die Opt-Out-Strategie (empfohlen) aktiviert Allstar für alle Repositories und ermöglicht es Ihnen, die Repositories manuell auszuwählen, die von den Allstar-Durchsetzungen ausgenommen werden sollen. Sie können auch alle öffentlichen Repositories oder alle privaten Repositories ausnehmen. Wählen Sie diese Option, wenn Sie Allstar für alle Repositories in einer Organisation ausführen möchten oder nur eine kleine Anzahl von Repositories oder einen bestimmten Repository-Typ (d. h. öffentlich vs. privat) ausnehmen möchten. Seit der Version v4.3 werden Globs unterstützt, um mehrere Repositories mit ähnlichem Namen einfach hinzuzufügen.
