ossf/allstarGitHub App pour définir et appliquer des politiques de sécurité
[!IMPORTANT] L'application GitHub Allstar hébergée par l'OpenSSF a été retirée. Allstar, le sous-projet d'OpenSSF Scorecard, continue d'être maintenu — vous devez désormais l'exécuter vous-même, soit en tant que GitHub Action, soit en tant que daemon de service.
Consultez ossf/allstar#881 pour plus de détails.
Si votre organisation dépendait de l'application hébergée, consultez Migrating off the hosted app.
Allstar est une application GitHub qui surveille en continu les organisations ou dépôts GitHub pour vérifier le respect des bonnes pratiques de sécurité. Si Allstar détecte une violation de politique de sécurité, il crée une issue pour alerter le propriétaire du dépôt ou de l'organisation. Pour certaines politiques de sécurité, Allstar peut également modifier automatiquement le paramètre du projet à l'origine de la violation, en le rétablissant dans l'état attendu.
L'objectif d'Allstar est de vous offrir un contrôle finement ajusté sur les fichiers et paramètres qui affectent la sécurité de vos projets. Vous pouvez choisir les politiques de sécurité à surveiller au niveau de l'organisation comme du dépôt, et la manière de gérer les violations de politique. Vous pouvez également développer ou contribuer de nouvelles politiques.
Allstar est développé dans le cadre du projet OpenSSF Scorecard.
Si vous recevez des issues indésirables créées par Allstar, suivez ces instructions pour vous désinscrire.
Allstar est hautement configurable. Il existe trois principaux niveaux de contrôle :
Ces configurations sont effectuées dans le dépôt .allstar de l'organisation.
Niveau dépôt : les mainteneurs de dépôts d'une organisation qui utilise
Allstar peuvent choisir d'inscrire ou de désinscrire leur dépôt des applications
au niveau de l'organisation. Remarque : ces contrôles au niveau du dépôt ne fonctionnent que lorsque « repo
override » est autorisé dans les paramètres au niveau de l'organisation. Ces configurations sont
effectuées dans le répertoire .allstar du dépôt.
Niveau politique : les administrateurs ou mainteneurs peuvent choisir quelles politiques
sont activées sur des dépôts spécifiques et quelles actions Allstar entreprend lorsqu'une politique
est violée. Ces configurations sont effectuées dans un fichier yaml de politique, soit dans
le dépôt .allstar de l'organisation (administrateurs), soit dans le répertoire
.allstar du dépôt (mainteneurs).
Avant d'installer Allstar au niveau de l'organisation, vous devez décider approximativement sur combien de dépôts vous souhaitez qu'Allstar s'exécute. Cela vous aidera à choisir entre les stratégies Opt-In et Opt-Out.
La stratégie Opt In vous permet d'ajouter manuellement les dépôts sur lesquels vous souhaitez qu'Allstar s'exécute. Si vous ne spécifiez aucun dépôt, Allstar ne s'exécutera pas malgré son installation. Choisissez la stratégie Opt In si vous souhaitez appliquer des politiques sur seulement un petit nombre de vos dépôts totaux, ou si vous souhaitez essayer Allstar sur un seul dépôt avant de l'activer sur davantage. Depuis la version v4.3, les globs sont pris en charge pour ajouter facilement plusieurs dépôts portant un nom similaire.
La stratégie Opt Out (recommandée) active Allstar sur tous les dépôts et vous permet de sélectionner manuellement les dépôts à exclure des applications d'Allstar. Vous pouvez également choisir d'exclure tous les dépôts publics, ou tous les dépôts privés. Choisissez cette option si vous souhaitez exécuter Allstar sur tous les dépôts d'une organisation, ou si vous souhaitez exclure seulement un petit nombre de dépôts ou un type spécifique (c'est-à-dire public vs privé) de dépôt. Depuis la version v4.3, les globs sont pris en charge pour ajouter facilement plusieurs dépôts portant un nom similaire.
