ossf/allstarGitHub App para definir e aplicar políticas de segurança
[!IMPORTANT] O Allstar GitHub App hospedado pela OpenSSF foi descontinuado. O Allstar, o subprojeto do OpenSSF Scorecard, continua sendo mantido — agora você deve executá-lo por conta própria, seja como uma GitHub Action ou como um daemon de serviço.
Consulte ossf/allstar#881 para mais detalhes.
Se sua organização dependia do app hospedado, consulte Migrando do app hospedado.
Allstar é um GitHub App que monitora continuamente organizações ou repositórios do GitHub quanto à adesão às melhores práticas de segurança. Se o Allstar detectar uma violação de política de segurança, ele cria uma issue para alertar o proprietário do repositório ou da organização. Para algumas políticas de segurança, o Allstar também pode alterar automaticamente a configuração do projeto que causou a violação, revertendo-a ao estado esperado.
O objetivo do Allstar é oferecer a você controle refinado sobre os arquivos e configurações que afetam a segurança dos seus projetos. Você pode escolher quais políticas de segurança monitorar tanto no nível da organização quanto no nível do repositório, e como lidar com violações de política. Você também pode desenvolver ou contribuir com novas políticas.
O Allstar é desenvolvido como parte do projeto OpenSSF Scorecard.
Se você estiver recebendo issues indesejadas criadas pelo Allstar, siga estas instruções para desativá-las.
O Allstar é altamente configurável. Há três níveis principais de controle:
Essas configurações são feitas no repositório .allstar da organização.
Nível do repositório: Os mantenedores de repositórios em uma organização que usa
o Allstar podem optar por incluir ou excluir seu repositório das imposições
no nível da organização. Observação: esses controles no nível do repositório só funcionam quando a "substituição
pelo repositório" é permitida nas configurações no nível da organização. Essas configurações são
feitas no diretório .allstar do repositório.
Nível da política: Administradores ou mantenedores podem escolher quais políticas
estão habilitadas em repositórios específicos e quais ações o Allstar executa quando uma política
é violada. Essas configurações são feitas em um arquivo yaml de política no
repositório .allstar da organização (administradores) ou no diretório
.allstar do repositório (mantenedores).
Antes de instalar o Allstar no nível da organização, você deve decidir aproximadamente em quantos repositórios deseja que o Allstar seja executado. Isso ajudará você a escolher entre as estratégias Opt-In e Opt-Out.
A estratégia Opt In permite que você adicione manualmente os repositórios nos quais deseja que o Allstar seja executado. Se você não especificar nenhum repositório, o Allstar não será executado, apesar de estar instalado. Escolha a estratégia Opt In se quiser aplicar políticas apenas a um pequeno número do total de seus repositórios, ou se quiser testar o Allstar em um único repositório antes de habilitá-lo em mais. Desde a versão v4.3, globs são suportados para adicionar facilmente vários repositórios com nomes semelhantes.
A estratégia Opt Out (recomendada) habilita o Allstar em todos os repositórios e permite que você selecione manualmente os repositórios dos quais deseja excluir o Allstar das aplicações. Você também pode optar por excluir todos os repositórios públicos ou todos os repositórios privados. Escolha esta opção se quiser executar o Allstar em todos os repositórios de uma organização, ou se quiser excluir apenas um pequeno número de repositórios ou um tipo específico (ou seja, público vs. privado) de repositório. Desde a versão v4.3, globs são suportados para adicionar facilmente vários repositórios com nomes semelhantes.
