Guide complet de la connexion GitHub et GitLab

Réponse courte

L’administrateur configure l’intégration Git de l’organisation ; les contributeurs sélectionnent un dépôt autorisé pour un scan connecté en lecture seule.

Disponibilité produit : Disponible en édition complète, sous réserve de configuration et d’accès au fournisseur. Les tests avec un fournisseur réel restent à rejouer en UAT documentaire.

Objectif et périmètre

L’intégration lit les informations nécessaires à un scan depuis un dépôt autorisé. Elle ne remplace pas un import manuel de SBOM et n’écrit pas dans le dépôt Git. Ne confondez pas l’intégration de l’organisation avec la connexion d’un produit à un dépôt précis.

Un dépôt accessible ne garantit pas qu’un SBOM existe pour la branche ou la version recherchée. Un résultat de scan n’atteste pas l’exhaustivité de la composition logicielle ni la conformité CRA.

Droits et préparation

La configuration et Tester la connexion exigent la gestion des paramètres organisation et la capacité d’intégration de l’édition complète. La consultation des dépôts et le scan utilisent les droits métier correspondants sur le produit. Une personne autorisée dans CRA Manager doit aussi disposer d’un accès approprié côté fournisseur.

Préparez le fournisseur, l’URL d’instance lorsqu’elle est demandée, le périmètre des dépôts et un secret conservé dans le champ prévu. Les droits minimaux dépendent du fournisseur et des fonctions utilisées. Faites les vérifier dans la documentation officielle de votre instance ; ce guide ne demande pas de droits d’écriture sur le code.

Configurer et tester

1. Ouvrez Administration organisation, puis Intégrations.
2. Choisissez GitHub ou GitLab et renseignez la configuration demandée.
3. Enregistrez le secret dans son champ dédié. Ne le mettez jamais dans le nom, une description, une URL de dépôt ou une preuve.
4. Utilisez Tester la connexion.
5. Relisez le résultat et corrigez la configuration si la connexion reste à vérifier.
6. Vérifiez la liste des dépôts accessibles. Un dépôt d’une autre organisation CRA Manager n’est pas exposé par cette intégration.

Un test réussi valide une connexion dans son périmètre ; il ne prouve pas que toutes les branches, tous les fichiers SBOM et toutes les dépendances sont accessibles.

Lancer le scan connecté

Depuis le parcours Scans, choisissez le produit et le mode connecté disponible. Sélectionnez l’intégration, le dépôt et la référence demandée. Vérifiez la version réellement ciblée avant de lancer le scan.

Relisez la synthèse et les composants proposés. Confirmez les éléments pertinents dans l’inventaire plutôt que traiter chaque détection comme un fait déjà qualifié. Les références de sécurité collectées restent des signaux externes et des points de sécurité à vérifier.

Si le SBOM recherché n’existe pas ou si l’accès ne permet pas sa lecture, utilisez un fichier exporté et autorisé dans le parcours d’import SBOM, en documentant sa provenance. Cet import ne configure pas automatiquement une synchronisation Git.

Maintenir l’intégration

Après rotation d’un token ou changement de droits fournisseur, faites mettre à jour la configuration par l’administrateur, puis testez de nouveau. Réexaminez les accès quand un dépôt change d’organisation ou qu’un collaborateur quitte l’équipe.

Une automatisation ou une relance n’est pas implicite dans tout scan. Vérifiez les règles effectivement configurées et leurs exécutions. En CRA Light, les connecteurs avancés et les scans restent hors périmètre.

Dépannage

Token invalide ou expiré. Vérifiez son état côté fournisseur, le compte concerné et les droits sur le dépôt. Ne demandez pas à un utilisateur de copier le token dans un ticket de support.

Dépôt absent. Contrôlez l’instance, le propriétaire du dépôt, les droits et les filtres de recherche. L’accès à un dépôt dans le navigateur d’une personne ne prouve pas l’accès du secret configuré.

Scan vide. Vérifiez branche, version, présence et format du SBOM. Un résultat vide et une erreur de connexion sont deux situations différentes. Conservez le message utile et l’heure, puis transmettez des noms de dépôt anonymisés.

Résultat attendu et limites

Le scan documente sa provenance et alimente l’inventaire autorisé. L’administrateur peut configurer et tester ; le contributeur ne doit pas modifier les secrets pour obtenir davantage de dépôts. Aucun guide ne promet une analyse du code source exhaustive ou une correction automatique.

Articles liés

• Importer un SBOM
• Diagnostiquer un résultat vide
• Corriger une connexion

Article issu de la base de connaissance CRA Manager.