Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
GitHub Advanced Security for Azure DevOpsと.NET Security
Search
KAMEGAWA Kazushi
July 11, 2023
Programming
0
760
GitHub Advanced Security for Azure DevOpsと.NET Security
GitHub Advanced Security for Azure DevOps(GHAzDo)パブリックプレビューを試してみた話のご紹介スライド
KAMEGAWA Kazushi
July 11, 2023
Tweet
Share
More Decks by KAMEGAWA Kazushi
See All by KAMEGAWA Kazushi
.NET Profiler in 2024.
kkamegawa
2
3.5k
Microsoft Cloudで開発ライフサイクルを保護する
kkamegawa
0
3k
Azure DevOps Online Vol.8 - GitHub Advanced Security
kkamegawa
0
670
About Arm VM on Azure
kkamegawa
0
680
Azure DevOps最新情報 2022/11
kkamegawa
0
790
Azure DevOpsオンライン Vol.7 - テストはExcelから卒業できるのか
kkamegawa
0
750
どっちを選ぶ?Azure DevOpsとGitHub
kkamegawa
0
7.1k
Azure DevOps Online Vol.6 - 業務で必要なCIをみんなで考えよう
kkamegawa
0
710
「何もしないのにCIが失敗した」を防ぐ
kkamegawa
0
1.3k
Other Decks in Programming
See All in Programming
欠陥を早期に発見するための Software Engineer in Test とその重要性 / What is Software Engineer in Test and How they works
orgachem
PRO
16
2k
Three ways to use AI on Android: The Good, the Bad and the Ugly
marxallski
0
120
The grand strategy of Ruby Parser
yui_knk
4
150
TypeScriptのパフォーマンス改善
yajihum
12
4.9k
An adventure of Happy Eyeballs
coe401_
1
130
TypeScriptから始める VR生活
tamagokakeg
2
110
TypeScriptコードの漸進的改善 / Progressive Improvement of TypeScript Code
medley
1
400
WinActorの勉強を継続する方法
tamai_63
0
130
2 週間で Twitter Bot を作ってみた
contour_gara
0
840
freeeのエンジニアが 就活で出そうな コーディングテストを 解説してみる
freee
0
120
Apache Hive 4 on Treasure Data
ryukobayashi
1
470
仕様と実装で学ぶOpenTelemetry
drumato
2
190
Featured
See All Featured
We Have a Design System, Now What?
morganepeng
43
6.8k
The Psychology of Web Performance [Beyond Tellerrand 2023]
tammyeverts
15
1.6k
How to train your dragon (web standard)
notwaldorf
75
5.2k
Principles of Awesome APIs and How to Build Them.
keavy
121
16k
For a Future-Friendly Web
brad_frost
172
9k
The World Runs on Bad Software
bkeepers
PRO
61
6.7k
実際に使うSQLの書き方 徹底解説 / pgcon21j-tutorial
soudai
123
39k
Reflections from 52 weeks, 52 projects
jeffersonlam
345
19k
YesSQL, Process and Tooling at Scale
rocio
165
13k
How GitHub Uses GitHub to Build GitHub
holman
468
290k
Rails Girls Zürich Keynote
gr2m
91
13k
ピンチをチャンスに:未来をつくるプロダクトロードマップ #pmconf2020
aki_iinuma
81
44k
Transcript
GitHub Advanced Security for Azure DevOps と .NET Security かめがわ
かずし(@kkamegawa)
Who am I? personal: name: KAMEGAWA Kazushi(Last-First) alias: kkamegawa community:
MVP: Microsoft MVP for Developer Technologies(2009-) Users Group: Team Foundation Server Users Group URL: https://dev.azure.com/tfsug/tfsuginfo Blog: URL: https://kkamegawa.hatenablog.jp devblog radio: https://devblog.connpass.com/
This contents based on 2023/7/11
GitHub Advanced Security for Azure DevOps(GHAzDo) 2022/11のIgniteでプライベートプレビュー開始 2023/5のBuildでパブリックプレビュー開始 https://aka.ms/advancedsecurity-signup GitHub
Advanced Security for Azure DevOps 機能を構成する - Azure Repos | Microsoft Learn ※ Public Preview申し込んでも音沙汰なかったから、お付き合いのある営業の方いたらその方が早いかも… 機能的にはGitHubと同じ CodeQL Dependency Alert Secret Scanning
課金 90日以内にコミットしている人数x$49でAzure Subscriptionにチャージされる レポジトリ数は無関係(重複課金されない) GitHub Advanced Security for Azure DevOps
への課金 - Azure Repos | Microsoft Learn 2023/7/1 8/1 9/1 10/1 10人 0人 8人 有効 無効 5人 有効 5人 有効 ⊃ ※5人は8人のrepoに含まれる 8人
Secret Scanning アップロードされたコードからアクセスキーの検出 Gitコミット時もチェック AWS S3, Azure Blob, OpenAI API
Key等対象 値をちょっと変えても検出される サポートされているシークレット値 サンプルや誤検出である場合、コミットメッセージに skip-secret-scanning:trueを追加
設定方法 現在レポジトリ単位で設定(めんどくさい) Organization、Project単位の一括設定はない もちろんプレビュー有効にしていないorgでは出てこない
GitHubのSecurity risk view こんなのAzure DevOps側にもほしいねぇ 多分できるとしたらDefender for DevOps?
GitHub Advanced Security for Azure DevOps ソースコード中の不用意なシークレットキー コミットをブロック
CodeQL パッケージ依存関係スキャン NuGet, npm 等 静的コード解析 結構いいスペック必要(hosted Agentではつらいかも) ※100KL以上で16GB RAM/4
or 8 core推奨 ローカルで動かすCLI版もある GitHub Advanced Security for Azure DevOps のコード スキャン アラート - Azure Repos | Microsoft Learn CodeQL によるコード スキャンについて - GitHub Docs CodeQL を実行するための推奨ハードウェア リソース - GitHub Docs
CodeQLでの脆弱性検査 CodeQL によるコード スキャンについて - GitHub Docs
検出されたリスク対処 一つずつやらない/誤判定を決定 今のところwork item連携はない(これは GitHubも同じ)
YAML Pipeline ビルドができるプロジェクトで なくてはならない autobuildタスクで全ビルド カスタムビルドして解析対象のみ languagesに解析対象言語を 指定(, で区切る)。現在11言語 結果はrepos内に表示
FAQ GitHubのレポジトリのスキャンできない? できません。Azure Reposのみ GitHubにあるAdvanced Security使ってください(課金は別) 結果が見えないんだけど?
共同作成者以上の権限を設定してください ちなみにGitHubでもRepo Adminなどの強い権限が必要です Dependabotないの? 今のどころありません 機能差はないの? ほぼないですが、CodeQL CLIは今含まれていないそうです(フィードバック済 み)