Legit-Labs/legitify

これは何？

主な機能

• 01GitHubおよびGitLabの組織、リポジトリ、メンバー、Actionsの設定に対し、組み込みポリシーを適用してスキャンします。
• 02結果を人が読みやすいテキスト、JSON、SARIFで出力します。
• 03検出結果をnamespace、リソース、重大度ごとに分類します。
• 04単体バイナリ、Homebrewパッケージ、GitHub CLI拡張機能、GitHub Actionとして実行できます。
• 05SERVER_URLを指定することで、GitHub Enterprise Serverとセルフホスト型GitLabに対応します。
• 06オプションで、GitHubリポジトリに対してOpenSSF Scorecardのチェックを実行できます。

ユースケース

• 保護されていないブランチや未検証のActionsなど、リスクのある設定がないか、GitHub組織を定期的に監査する。
• リポジトリのポリシーにドリフトが生じた際に失敗または報告する、スケジュール実行のCIチェックを行う。
• コンプライアンスレビューの前に、GitLabのグループやプロジェクトの設定不備を監査する。
• SARIFの出力をコードスキャンのダッシュボードに取り込む。

クイックスタート

1. 1

   Homebrewでlegitifyをインストールする

   brew install legitify
2. 2

   Personal access tokenを使ってGitHub organizationを分析する

   SCM_TOKEN=<your_token> legitify analyze --org org1,org2 --namespace organization,member

使う前に知っておきたいこと

• !完全な分析には、admin:orgやrepoなど、広範なスコープを持つpersonal access tokenがGitHubで必要です。
• !Fine-grained personal access tokenには対応していません。
• !GPTベースの分析では、リポジトリとorganizationのメタデータがOpenAIのサーバーに送信されます。

収録されている特集

トピック

よくある質問

legitify とは？

GitHubやGitLabの組織、リポジトリ、メンバーをスキャンし、セキュリティ設定の不備やコンプライアンス上の不備を検出するCLIツール。 Legitifyは、GitHubとGitLab上のソースコード管理リソースのセキュリティ設定を分析します。組織、リポジトリ、メンバー、GitHub Actionsの設定、Runnerグループに組み込みポリシーを適用し、違反を重大度とともに報告します。結果は人が読みやすいテキスト、JSON、SARIFで出力でき、namespace、リソース、重大度ごとに分類できます。

legitify は無料で使えますか？ライセンスは？

legitify は Apache-2.0 ライセンスのオープンソースです。商用製品で使う前にライセンス条件を確認してください。

legitify は今もメンテナンスされていますか？

半年以内に更新あり。legitify の最終コミットは 2026年8月31日 です。

legitify は何に使えますか？

保護されていないブランチや未検証のActionsなど、リスクのある設定がないか、GitHub組織を定期的に監査する。 リポジトリのポリシーにドリフトが生じた際に失敗または報告する、スケジュール実行のCIチェックを行う。 コンプライアンスレビューの前に、GitLabのグループやプロジェクトの設定不備を監査する。 SARIFの出力をコードスキャンのダッシュボードに取り込む。

legitify のインストール方法は？

Homebrewでlegitifyをインストールする: brew install legitify Personal access tokenを使ってGitHub organizationを分析する: SCM_TOKEN=<your_token> legitify analyze --org org1,org2 --namespace organization,member

legitify はどこで入手できますか？

ソースコードとインストール手順は GitHub にあります：https://github.com/Legit-Labs/legitify