「15.4.3. OpenSSF Scorecards」をワークフローとして導入したい

ytak-sagit / hands-on-github-cicd

『GitHub CI/CD実践ガイド』ハンズオン用リポジトリ

Apache License 2.0

0 stars 0 forks source link

OpenSSF Scorecards

リポジトリのセキュリティリスクをチェックするツール

ツールを実行すると、スコアが算出されると同時に推奨事項が表示される

書籍内では、OpenSSF Scorecards を Docker 経由で実行する方法が紹介されていた。

docker run -e GITHUB_AUTH_TOKEN=$(gh auth token) \
gcr.io/openssf/scorecard:stable --repo="<OWNER>/<REPO>"

これを、せっかくなのでワークフローとして導入したい

ossf/scorecard-action として、アクションの用意はある模様

手順3）「Code scanning」>「Tools」>「Other tools」の「Explore workflows」をクリック
手順4）「Workflow templates」ページで、OSSF Scorecard の「Configure」をクリック
手順5）必要に応じて cron の値を変更し、「Commit changes」をクリック
- https://github.com/ytak-sagit/hands-on-github-cicd/commit/603544e239b29cc72bc8865c75197a903cf4c5ff で main ブランチにコミット済
- ワークフローも実行が成功したため、クローズとする

ytak-sagit / hands-on-github-cicd