ossf/allstarGitHub App pour définir et appliquer des politiques de sécurité
[!IMPORTANT] L'application GitHub Allstar hébergée par l'OpenSSF a été retirée. Allstar, le sous-projet OpenSSF Scorecard, continue quant à lui d'être maintenu — vous devez désormais l'exécuter vous-même, soit en tant qu'action GitHub, soit en tant que démon de service.
Voir ossf/allstar#881 pour plus de détails.
Si votre organisation dépendait de l'application hébergée, voir Migration depuis l'application hébergée.
Allstar est une application GitHub qui surveille en continu les organisations ou dépôts GitHub pour vérifier leur conformité aux bonnes pratiques de sécurité. Si Allstar détecte une violation de politique de sécurité, il crée un problème pour alerter le propriétaire du dépôt ou de l'organisation. Pour certaines politiques de sécurité, Allstar peut également modifier automatiquement le paramètre du projet à l'origine de la violation, en le rétablissant à l'état attendu.
L'objectif d'Allstar est de vous offrir un contrôle fin sur les fichiers et les paramètres qui affectent la sécurité de vos projets. Vous pouvez choisir les politiques de sécurité à surveiller au niveau de l'organisation et du dépôt, ainsi que la manière de gérer les violations de politique. Vous pouvez également développer ou contribuer à de nouvelles politiques.
Allstar est développé dans le cadre du projet OpenSSF Scorecard.
Si Allstar crée des problèmes que vous ne souhaitez pas, suivez ces instructions pour vous désengager.
Allstar est hautement configurable. Il existe trois principaux niveaux de contrôle :
Ces configurations sont effectuées dans le dépôt .allstar de l'organisation.
Niveau dépôt : Les mainteneurs de dépôts dans une organisation qui utilise
Allstar peuvent choisir d'engager ou de désengager leur dépôt des
mesures d'application au niveau de l'organisation. Remarque : ces contrôles au niveau du dépôt ne sont fonctionnels que lorsque la «
substitution au niveau du dépôt » est autorisée dans les paramètres de l'organisation. Ces configurations sont
effectuées dans le répertoire .allstar du dépôt.
Niveau politique : Les administrateurs ou mainteneurs peuvent choisir les politiques
activées sur des dépôts spécifiques et les actions qu'Allstar entreprend lorsqu'une politique
est violée. Ces configurations sont effectuées dans un fichier yaml de politique situé soit dans
le dépôt .allstar de l'organisation (administrateurs), soit dans le
répertoire .allstar du dépôt (mainteneurs).
Avant d'installer Allstar au niveau de l'organisation, vous devez décider approximativement sur combien de dépôts vous souhaitez qu'Allstar s'exécute. Cela vous aidera à choisir entre les stratégies d'engagement et de désengagement.
La stratégie d'engagement (Opt In) vous permet d'ajouter manuellement les dépôts sur lesquels vous souhaitez qu'Allstar s'exécute. Si vous ne spécifiez aucun dépôt, Allstar ne s'exécutera pas malgré son installation. Choisissez la stratégie d'engagement si vous souhaitez appliquer des politiques uniquement sur un petit nombre de vos dépôts totaux, ou si vous souhaitez essayer Allstar sur un seul dépôt avant de l'activer sur d'autres. Depuis la version v4.3, les globs sont pris en charge pour ajouter facilement plusieurs dépôts avec un nom similaire.
La stratégie de désengagement (Opt Out) (recommandée) active Allstar sur tous les dépôts et vous permet de sélectionner manuellement les dépôts à désengager des mesures d'application d'Allstar. Vous pouvez également choisir de désengager tous les dépôts publics, ou tous les dépôts privés. Choisissez cette option si vous souhaitez exécuter Allstar sur tous les dépôts d'une organisation, ou si vous souhaitez désengager seulement un petit nombre de dépôts ou un type spécifique (c'est-à-dire public ou privé) de dépôt. Depuis la version v4.3, les globs sont pris en charge pour ajouter facilement plusieurs dépôts avec un nom similaire.
