はじめに
こんにちは、ACS事業部の田中（@shuhey1220）です。
管理を担当している Organization でセキュリティ担当者に Security Manager の権限を付与するにあたり、Organization のロールと権限について見直しました。
詳しい仕様は公式ドキュメントに載っていますが、一事例として書き留めておきます。
Security Manager の概要
Security Manager は、Organization レベルで定義できる管理ロールです。
このロールを付与されたユーザーは以下の操作を行えます。
- すべてのリポジトリのセキュリティアラート閲覧・管理
- Organization内のすべてのリポジトリが対象
- セキュリティアラート（Dependabot, Secret Scanning など）の詳細を閲覧可能
- セキュリティアラートの Triage（Close, Dismissなど）可能
- Security Overviewダッシュボードの利用
- Organization全体のセキュリティリスク状況を俯瞰できる「Security Overview」へフルアクセス
- ソースコードの変更権限（Write）の制限
- リポジトリのファイル作成・編集・削除、コミットのプッシュ、PRのマージなどのコード変更操作は行えない
Security Manager は Organization Team 単位でも付与できるため、セキュリティ担当者をまとめた Organization Team を作成し、そのチームに対して付与しました。
権限と Organization ロールの対応一覧
Security Manager のロールを付与するにあたって、Organization レベルのロールがどのような権限を持つのかを再調査・整理しました。
今回注目した権限と各ロールの対応は下表のとおりです。
| 操作内容 / ロール名 | Org Owner | Security Manager | Repo Admin | Repo Write |
|---|---|---|---|---|
| Org 設定の変更 | Yes | No | No | No |
| Org のメンバー・Team の管理 | Yes | No | No | No |
| セキュリティアラートの閲覧 | Yes | Yes | Yes | Yes |
| セキュリティアラートの操作 | Yes | Yes | Yes | Yes |
| セキュリティ関連設定の変更 | Yes | Yes | Yes | No |
| ソースコードの閲覧 | Yes | Yes | Yes | Yes |
| ソースコードの変更、 コミットのプッシュ |
Yes | No | Yes | Yes |
| ブランチ保護ルールや Ruleset の変更 |
Yes | No | Yes | No |
| Repo のユーザー・Team の管理 | Yes | No | Yes | No |
より詳細な仕様は下記の公式ドキュメントをご確認ください。
Roles in an organization - GitHub Enterprise Cloud Docs
部門・役職と Organization ロールの対応一覧
各部門・役職の主な責務と Organization ロールの権限を照らし合わせ、最終的な紐付けは下表のようになりました。
部門名や役職名は一般的なものに置換していますが、参考になれば幸いです。
| 部門 | 役職 | Org ロール | 主な責務 | 考え方 |
|---|---|---|---|---|
| 情報システム部門 | GitHub 管理者 | Org Owner | ・Organization 設定 ・メンバー管理 ・緊急時対応 |
人数を最小限に絞る（最小2名） |
| セキュリティ部門 | セキュリティ担当者 | Security Manager | ・Security Overview の確認 ・セキュリティアラートの確認 |
Org のセキュリティ監督 ※管理ではなく監督 |
| 開発部門 | リーダー開発者 | Repo Admin | ・対象リポジトリの設定変更 ・ブランチ保護 ・メンバー調整 |
担当リポジトリの管理 |
| 開発部門 | 開発者 | Repo Write | ・日常的な開発 ・ブランチ作成 ・プッシュ ・Pull Request 対応 |
開発に必要な最小権限 |
ACS 事業部のご紹介
わたしたち ACS 事業部は、Microsoft Azure や GitHub ソリューションを中心とした、DevOps や SRE・Platform Engineering の支援をしております。
導入に向けた具体的なご相談はもちろん、「自社の開発環境にどう適用すべきか分からない」といった壁打ち段階のご相談も大歓迎です。
いつでもお気軽にお問い合わせください。
www.ap-com.co.jp
www.ap-com.co.jp
www.ap-com.co.jp
また、一緒に働いていただける仲間も募集中です！
興味を持っていただけましたらぜひお声がけください。
www.ap-com.co.jp
