ossf/allstarAplicación de GitHub para establecer y aplicar políticas de seguridad
[!IMPORTANT] La GitHub App Allstar alojada por OpenSSF ha sido retirada. Allstar, el subproyecto de OpenSSF Scorecard, sigue siendo mantenido — ahora debes ejecutarlo tú mismo, ya sea como una GitHub Action o como un demonio de servicio.
Consulta ossf/allstar#881 para más detalles.
Si tu organización dependía de la app alojada, consulta Migración fuera de la app alojada.
Allstar es una GitHub App que monitorea continuamente organizaciones o repositorios de GitHub para verificar el cumplimiento de las mejores prácticas de seguridad. Si Allstar detecta una violación de una política de seguridad, crea un issue para alertar al propietario del repositorio o de la organización. Para algunas políticas de seguridad, Allstar también puede cambiar automáticamente la configuración del proyecto que causó la violación, revirtiéndola al estado esperado.
El objetivo de Allstar es darte un control finamente ajustado sobre los archivos y configuraciones que afectan la seguridad de tus proyectos. Puedes elegir qué políticas de seguridad monitorear tanto a nivel de organización como de repositorio, y cómo gestionar las violaciones de políticas. También puedes desarrollar o contribuir con nuevas políticas.
Allstar se desarrolla como parte del proyecto OpenSSF Scorecard.
Si estás recibiendo issues no deseados creados por Allstar, sigue estas instrucciones para optar por no participar.
Allstar es altamente configurable. Hay tres niveles principales de controles:
Estas configuraciones se realizan en el repositorio .allstar de la organización.
Nivel de repositorio: Los mantenedores de repositorios en una organización que usa
Allstar pueden optar por incluir o excluir su repositorio de las aplicaciones
a nivel de organización. Nota: estos controles a nivel de repositorio solo funcionan cuando la "anulación
de repositorio" está permitida en la configuración a nivel de organización. Estas configuraciones se
realizan en el directorio .allstar del repositorio.
Nivel de política: Los administradores o mantenedores pueden elegir qué políticas
están habilitadas en repositorios específicos y qué acciones realiza Allstar cuando se
viola una política. Estas configuraciones se realizan en un archivo yaml de política, ya sea en
el repositorio .allstar de la organización (administradores) o en el directorio .allstar
del repositorio (mantenedores).
Antes de instalar Allstar a nivel de organización, deberías decidir aproximadamente en cuántos repositorios quieres que se ejecute Allstar. Esto te ayudará a elegir entre las estrategias Opt-In y Opt-Out.
La estrategia Opt In te permite añadir manualmente los repositorios en los que quieres que se ejecute Allstar. Si no especificas ningún repositorio, Allstar no se ejecutará a pesar de estar instalado. Elige la estrategia Opt In si quieres aplicar políticas solo en un número reducido de tus repositorios totales, o si quieres probar Allstar en un único repositorio antes de habilitarlo en más. Desde la versión v4.3, se admiten globs para añadir fácilmente varios repositorios con un nombre similar.
La estrategia Opt Out (recomendada) habilita Allstar en todos los repositorios y te permite seleccionar manualmente los repositorios de los que quieres excluir la aplicación de Allstar. También puedes optar por excluir todos los repositorios públicos, o todos los repositorios privados. Elige esta opción si quieres ejecutar Allstar en todos los repositorios de una organización, o si quieres excluir solo un número reducido de repositorios o un tipo específico (es decir, público vs. privado) de repositorio. Desde la versión v4.3, se admiten globs para añadir fácilmente varios repositorios con un nombre similar.
