Allstar

[!IMPORTANT] L'application GitHub Allstar hébergée par l'OpenSSF a été retirée. Allstar, le sous-projet OpenSSF Scorecard, continue quant à lui d'être maintenu — vous devez désormais l'exécuter vous-même, soit en tant qu'action GitHub, soit en tant que démon de service.

Voir ossf/allstar#881 pour plus de détails.

Si votre organisation dépendait de l'application hébergée, voir Migration depuis l'application hébergée.

Vue d'ensemble

• Qu'est-ce qu'Allstar ?

Nouveautés d'Allstar

• whats-new.md

Désactiver les problèmes indésirables

• Aide ! Allstar crée des problèmes que je ne veux pas !

Pour commencer

• Contexte
• Options au niveau de l'organisation
• Options d'installation
  • Créer votre application GitHub
  • Créer votre dépôt de contrôle .allstar
  • Exécuter Allstar en tant qu'action GitHub
  • Exécuter Allstar en tant que démon de service
• Migration depuis l'application hébergée

Politiques et actions

• Actions
• Politiques

Avancé

• Définitions de configuration
• Exemples de configurations
• Exécuter votre propre instance d'Allstar

Contribuer

• Contribuer

---

---

Vue d'ensemble

Qu'est-ce qu'Allstar ?

Allstar est une application GitHub qui surveille en continu les organisations ou dépôts GitHub pour vérifier leur conformité aux bonnes pratiques de sécurité. Si Allstar détecte une violation de politique de sécurité, il crée un problème pour alerter le propriétaire du dépôt ou de l'organisation. Pour certaines politiques de sécurité, Allstar peut également modifier automatiquement le paramètre du projet à l'origine de la violation, en le rétablissant à l'état attendu.

L'objectif d'Allstar est de vous offrir un contrôle fin sur les fichiers et les paramètres qui affectent la sécurité de vos projets. Vous pouvez choisir les politiques de sécurité à surveiller au niveau de l'organisation et du dépôt, ainsi que la manière de gérer les violations de politique. Vous pouvez également développer ou contribuer à de nouvelles politiques.

Allstar est développé dans le cadre du projet OpenSSF Scorecard.

Nouveautés d'Allstar

Désactiver les problèmes indésirables

Si Allstar crée des problèmes que vous ne souhaitez pas, suivez ces instructions pour vous désengager.

Pour commencer

Contexte

Allstar est hautement configurable. Il existe trois principaux niveaux de contrôle :

• Niveau organisation : Les administrateurs d'organisation peuvent choisir d'activer Allstar sur :
  • tous les dépôts de l'organisation ;
  • la plupart des dépôts, à l'exception de certains qui sont désengagés ;
  • seulement quelques dépôts qui sont engagés.

Ces configurations sont effectuées dans le dépôt .allstar de l'organisation.

• Niveau dépôt : Les mainteneurs de dépôts dans une organisation qui utilise Allstar peuvent choisir d'engager ou de désengager leur dépôt des mesures d'application au niveau de l'organisation. Remarque : ces contrôles au niveau du dépôt ne sont fonctionnels que lorsque la « substitution au niveau du dépôt » est autorisée dans les paramètres de l'organisation. Ces configurations sont effectuées dans le répertoire .allstar du dépôt.

• Niveau politique : Les administrateurs ou mainteneurs peuvent choisir les politiques activées sur des dépôts spécifiques et les actions qu'Allstar entreprend lorsqu'une politique est violée. Ces configurations sont effectuées dans un fichier yaml de politique situé soit dans le dépôt .allstar de l'organisation (administrateurs), soit dans le répertoire .allstar du dépôt (mainteneurs).

Options au niveau de l'organisation

Avant d'installer Allstar au niveau de l'organisation, vous devez décider approximativement sur combien de dépôts vous souhaitez qu'Allstar s'exécute. Cela vous aidera à choisir entre les stratégies d'engagement et de désengagement.

• La stratégie d'engagement (Opt In) vous permet d'ajouter manuellement les dépôts sur lesquels vous souhaitez qu'Allstar s'exécute. Si vous ne spécifiez aucun dépôt, Allstar ne s'exécutera pas malgré son installation. Choisissez la stratégie d'engagement si vous souhaitez appliquer des politiques uniquement sur un petit nombre de vos dépôts totaux, ou si vous souhaitez essayer Allstar sur un seul dépôt avant de l'activer sur d'autres. Depuis la version v4.3, les globs sont pris en charge pour ajouter facilement plusieurs dépôts avec un nom similaire.

• La stratégie de désengagement (Opt Out) (recommandée) active Allstar sur tous les dépôts et vous permet de sélectionner manuellement les dépôts à désengager des mesures d'application d'Allstar. Vous pouvez également choisir de désengager tous les dépôts publics, ou tous les dépôts privés. Choisissez cette option si vous souhaitez exécuter Allstar sur tous les dépôts d'une organisation, ou si vous souhaitez désengager seulement un petit nombre de dépôts ou un type spécifique (c'est-à-dire public ou privé) de dépôt. Depuis la version v4.3, les globs sont pris en charge pour ajouter facilement plusieurs dépôts avec un nom similaire.