Démarrer

info

Il s'agit du parcours mono-machine : il utilise une connexion interactive via le navigateur et ne nécessite aucun token de compte de service. Pour un déploiement sur un parc de machines, gérez plutôt l'installation et les identifiants via votre MDM avec un token de compte de service (voir Déployer à grande échelle avec un token de compte de service).

Prérequis

• Un compte business GitGuardian avec Endpoint Protection activé.

Étape 1 : Installer ggshield et activer le scan machine

Linux / macOS

curl -sSfL \
  https://raw.githubusercontent.com/GitGuardian/ggshield/main/scripts/install/install.sh |
  bash -s -- --plugin machine_scan

Windows (PowerShell)

& ([scriptblock]::Create((irm https://raw.githubusercontent.com/GitGuardian/ggshield/main/scripts/install/install.ps1))) `
  -Plugin machine_scan

remarque

L'exécution du script vous connecte automatiquement et enrôle votre endpoint dans le workspace. Vous serez invité à confirmer les portées du token que ggshield utilisera pour interagir avec l'API GitGuardian.

Par défaut, le script cible le workspace US. Pour le workspace EU ou une instance Self-Hosted, exportez l'URL de votre instance avant d'exécuter la commande. Elle s'applique alors à l'installation ainsi qu'à toutes les commandes ci-dessous (même shell) :

export GITGUARDIAN_INSTANCE=https://dashboard.eu1.gitguardian.com   # or your self-hosted instance URL

Étape 2 : Exécuter votre premier scan

ggshield machine report

Votre machine apparaît alors sous Endpoint protection → Endpoints dans le dashboard GitGuardian. Consultez Concepts clés pour savoir ce qu'affiche chaque vue.

Les résultats du scan peuvent également être examinés localement à l'aide de :

ggshield machine dashboard

Étape 3 : Activer les protections endpoint

Le scan vous indique quels identifiants sont déjà présents sur la machine. Cette étape empêche les nouveaux de fuiter et détecte tout ce qui vient les chercher.

Le script d'installation vous a authentifié avec les portées par défaut (scan, honeytokens:check, endpoints:send et ai-discover:send). Cela couvre le scan, les AI Hooks et les git hooks. Planter un honeytoken nécessite également honeytokens:write, alors reconnectez-vous avec cette portée supplémentaire avant la configuration :

ggshield auth logout
ggshield auth login --scopes honeytokens:write
ggshield machine setup

honeytokens:write requiert un rôle Manager du workspace. Si votre compte ne l'a pas, la connexion échoue et vous pouvez soit demander à un Manager de planter le honeytoken, soit l'ignorer avec --no-honeytokens ci-dessous. Sur un parc de machines, la plantation reste une tâche d'admin : voir Déployer à grande échelle avec un token de compte de service.

remarque

Git est facultatif. ggshield machine setup et ggshield machine doctor ne l'utilisent que pour les git hooks pre-commit et pre-push ; sur une machine sans git, cette étape est ignorée avec un avertissement, et doctor la signale comme ignorée sans échouer.

Une seule exécution idempotente configure les trois protections :

• AI Hooks pour chaque agent de codage IA qu'il trouve, afin que les secrets soient bloqués avant d'atteindre un modèle.
• Git hooks, pre-commit et pre-push, dans votre configuration git globale.
• Un honeytoken, un profil d'identifiants AWS leurre qui alerte GitGuardian si quoi que ce soit le lit.

Si vous ignorez le honeytoken, conservez le token du script d'installation et exécutez ggshield machine setup --no-honeytokens. Désactivez les AI Hooks ou les git hooks de la même manière avec --no-ai-hooks ou --no-git-hooks. Nécessite ggshield 1.53.0 ou version ultérieure.

Vérifier votre configuration

Confirmez l'installation et le plugin à tout moment :

ggshield --version
ggshield plugin list   # machine_scan should be listed and enabled

Pour les protections de l'Étape 4, exécutez la vérification en lecture seule :

ggshield machine doctor

Il indique, pour chaque agent IA qu'il trouve, si le hook est installé, si les git hooks sont en place, et si votre token atteint GitGuardian avec les portées dont ces protections ont besoin. Nécessite ggshield 1.53.0 ou version ultérieure.

Notes

Le script installe le build autonome par utilisateur (sans admin ni sudo requis), et chaque artefact de release téléchargé est vérifié par checksum par rapport au condensé que GitHub publie pour cette release. Cette vérification couvre les binaires, et non le script d'installation lui-même, qui est récupéré depuis main. Pour un contrôle plus strict de la chaîne d'approvisionnement, épinglez le script à un commit révisé ou servez-le depuis un package interne/hébergé par MDM (voir Déployer à grande échelle avec un token de compte de service).

Supprimer ggshield

Pour désinstaller ultérieurement, suivez Uninstall dans le README des scripts d'installation.

Étapes suivantes

• Déployer sur un parc de machines : Déployer à grande échelle avec un token de compte de service
• Ce qui est scanné : Ce qui est scanné
• Bloquer les secrets dans les outils de codage IA : Prévenir les fuites avec les AI Hooks
• Détecter la collecte d'identifiants : Protéger les endpoints avec les Honeytokens
• Gérer le plugin : Commandes du plugin ggshield