Skip to main content

​
Über GitHub

Der GitHub-Connector liest Repository-Metadaten, Branch-Schutz, Teammitgliedschaften, Organisationseinstellungen, Audit-Logs und zugehörige Sicherheitskonfigurationen aus Ihrer GitHub-Organisation. Diese Daten erscheinen in Iru Compliance als Artefakte, die Sie Aktionen und Kontrollen zuordnen können. Die Integration ist schreibgeschützt. Iru öffnet keine Pull Requests, ändert keine Einstellungen und modifiziert keine Repositorys über das hinaus, was die GitHub-API für die von Ihnen erteilten Scopes zulässt.

​
So funktioniert es

Iru ruft die GitHub REST API mit einem Personal Access Token (PAT) auf, das als Bearer-Token gesendet wird:
Mit Fine-grained PATs (empfohlen) können Sie Repositorys und Berechtigungen eng eingrenzen. Classic PATs funktionieren ebenfalls, sind jedoch breiter gefasst und lassen sich schwerer nach dem Least-Privilege-Prinzip einschränken. Wenn Ihre Organisation SAML SSO erzwingt, müssen Sie das PAT nach dem Erstellen für die Organisation autorisieren, da API-Aufrufe für Daten auf Organisationsebene sonst fehlschlagen. Offizielle Referenzen: Verwalten von Personal Access Tokens, REST-Authentifizierung und Ratenbegrenzungen.

​
Voraussetzungen

  • GitHub-Zugriff als Mitglied (oder Owner) der Organisation, die Iru lesen soll.
  • Besitzer-Zugriff auf diese Organisation, wenn Sie Audit-Logs und organisationsweite Sicherheitseinstellungen benötigen (je nachdem, was Ihr Compliance-Programm erwartet).
  • Ein PAT mit Leseberechtigungen gemäß den folgenden Tabellen (dargestellt für ein Fine-grained PAT).
Minimale Berechtigungen für Fine-grained PATs (typisch) Erweitern Sie die Berechtigungen nur, wenn Ihre Kontrollen zusätzliche Lese-Scopes erfordern.

​
GitHub mit Iru verbinden

​
Fine-grained Personal Access Token erstellen

1

Developer settings öffnen

Melden Sie sich bei GitHub an. Wählen Sie Ihr Profilbild → Einstellungen → Developer settings → Personal access tokens → Fine-grained tokens.
2

Neues Token erstellen

Wählen Sie Generate new token.
3

Name, Ablaufdatum und Ressourcenumfang festlegen

Legen Sie einen eindeutigen Namen (zum Beispiel Iru Compliance) und ein Ablaufdatum fest (Fine-grained PATs können bis zu 366 Tage gültig sein – richten Sie eine Erinnerung ein, um sie frühzeitig zu rotieren). Wählen Sie unter Resource owner Ihre Organisation, wenn Sie Daten auf Organisationsebene benötigen. Wählen Sie unter Repository access die Option All repositories oder nur die Repositorys, die Compliance abdeckt.
4

Repository- und Organisationsberechtigungen festlegen

Aktivieren Sie unter Berechtigungen mindestens die oben unter Voraussetzungen aufgeführten Leseberechtigungen für Repository und Organisation.
5

Token generieren und kopieren

Generieren Sie das Token und kopieren Sie es sofort. Es wird nur einmal angezeigt.
6

Für SAML SSO autorisieren (falls erforderlich)

Wenn Ihre Organisation SAML SSO verwendet, öffnen Sie Einstellungen → Developer settings → Personal access tokens, suchen Sie das Token, wählen Sie Configure SSO und autorisieren Sie es für Ihre Organisation.

​
Connector in Iru abschließen

1

Quellen öffnen

Erweitern Sie in Iru Compliance in der linken Navigationsleiste Compliance und wählen Sie Quellen.
Linke Navigation: Compliance erweitert, Sources ausgewählt
2

GitHub aktivieren

Suchen Sie GitHub (verwenden Sie Kategorie oder Nach Name oder Beschreibung suchen). Aktivieren Sie auf dieser Karte den Schalter. In einer neuen Registerkarte wird der Connector-Assistent geöffnet.
3

Personal Access Token einfügen

Wenn der Schritt für das Bearer-Token angezeigt wird, fügen Sie Ihr PAT in das Feld Token ein und übermitteln Sie es.
4

Verbindung abschließen

Wählen Sie Bearer-Token senden. Wenn die Verbindung erfolgreich ist, zeigt der Assistent Verbindung konfiguriert an.
5

Bestätigen, dass die Quelle aktiv ist

Schließen Sie die Browser-Registerkarte Iru fordert Zugriff auf externe Dienste an, kehren Sie dann zu Compliance → Quellen zurück und bestätigen Sie, dass die Karte GitHub den Status Aktiv hat.

​
Fehlerbehebung

Prüfen Sie die Einstellungen des Pop-up-Blockers für die Iru-Website und versuchen Sie es erneut.
Bestätigen Sie, dass das PAT vollständig kopiert wurde, nicht abgelaufen ist und nicht widerrufen wurde.
Für organisationsweite Lesevorgänge muss der Resource owner des PAT die Organisation sein – nicht nur Ihr persönliches Konto. Erstellen Sie bei Bedarf ein neues PAT.
Autorisieren Sie das PAT für SAML SSO (siehe Fine-grained Personal Access Token erstellen).
Generieren Sie das PAT mit den Repository- und Organisationsberechtigungen neu, die Ihre Kontrollen erfordern.
Authentifizierte REST-Anfragen unterliegen den Ratenbegrenzungen von GitHub (siehe GitHub-Dokumentation). Iru bündelt die Arbeit innerhalb dieser Grenzen; anhaltende Spitzen können die Synchronisierung verzögern.

​
Hinweise

Bevorzugen Sie Fine-grained PATs mit dem kleinstmöglichen…

Bevorzugen Sie Fine-grained PATs mit der kleinstmöglichen Repository-Auswahl und den Lese-Scopes, die Ihre Kontrollen dennoch erfüllen.

Rotieren Sie PATs vor dem Ablauf und aktualisieren Sie den Connector…

Rotieren Sie PATs vor dem Ablauf und aktualisieren Sie den Connector, damit die Nachweiserfassung nicht ins Stocken gerät.

Iru liest Metadaten und Konfigurationen, die von den…

Iru liest Metadaten und Konfigurationen, die von den von Ihnen zugelassenen APIs bereitgestellt werden – GitHub-Berechtigungen, die Ihre Organisation durchsetzt, werden nicht umgangen.

​
Verwandte Artikel

Quellenverwaltung

Alle Compliance-Quellen durchsuchen und verwalten.

Erste Schritte mit Compliance

Frameworks, Aktionen und Artefakte.

Iru-Übersicht

Wie Endpoint, Compliance und Identity zusammenwirken.

Artifacts-Verwaltung

Nachweise aus Quellen und Aktionen hochladen, prüfen und organisieren.