GitHubで扱うPersonal access tokenの利用方法をセキュアにする - 10X Product Blog

こんにちは、セキュリティチームの@sota1235です。 セキュリティチームでは昨年の夏頃からGitHub上のセキュリティリスクを洗い出し、順に対応や改善を行っています。 そのうちの1つとして、昨年の秋ごろからGitHubのPersonal Access Tokenの取り扱いの改善を行ってきました。 具体的には以下の取り組みを行いました。 CI等で利用されているPersonal Access Tokenの利用廃止 OrganizationにおけるPersonal Access Token(classic)の利用禁止設定 今回はこの2つの取り組みについて、どのような課題設定を行い、どんな手順で完了したのかをお話しします。 以下のような課題感、疑問をお持ちの方に対する1つの回答になりうると思うので該当する方はぜひご一読ください🙏 GitHubにおけるPersonal Access Token

[sota1235]

書いた

[diveintounlimit]

patを規制されると利用できないものもあるのでトレードオフだな。組織統制を優先したいならこういう動き方になるんだろう。

[efcl]

GitHubのPAT(classsic)について

[Kesin]

使われてそうなPATの洗い出してgithub.token、Github Apps、fine grained tokenのいずれか適切なものに置き換える作業の実例。fine grainedがGitHub Container Registryに使えないのは本当に惜しすぎるので何とかしてほしいところ

[k12u]

助かる〜

[als_uz]

パット無くせるといいんですけどねー