Zusammenfassung

  • GitHub beschreibt bypass_actors als Akteure, die ein Repository-Ruleset umgehen können; das Feld ist Konfiguration, kein Ereignisprotokoll.
  • Rule Suites bilden eine andere Evidenzfläche: Die dokumentierten Beispiele verbinden eine Auswertung mit Akteur, Ref, vorherigem und nachherigem SHA, Ergebnis und einzelnen Regelprüfungen.
  • Ein belastbarer Ausnahmebeleg hält Policy-Version, Fähigkeit, ausgewerteten Übergang, getrennte Genehmigung und spätere Auslieferungsbeobachtung auseinander.

Der Satz „dieser Akteur kann die Regel umgehen“ wird leicht wie ein abgeschlossener Vorgang gelesen. Er beschreibt aber nur eine Fähigkeit. GitHub erlaubt es, in einem Ruleset Akteure mit Bypass-Berechtigung festzulegen. Das kann für Notfälle, Betriebsfortführung oder klar zugewiesene Verantwortung sinnvoll sein. Die Aufnahme eines Nutzers, Teams, einer App, Rolle oder eines Schlüssels in bypass_actors beweist trotzdem weder einen Push noch einen Pull Request, weder einen bestimmten Ref noch eine Auswertung, einen tatsächlichen Bypass oder eine Genehmigung.

Die Konfiguration ist nicht wertlos; sie beantwortet nur eine engere Frage. Ein Ruleset kann Quelle, Ziel, Bedingungen, Durchsetzungsstatus, Regeln und berechtigte Akteure zeigen. GitHub stellt zudem eine Versionshistorie bereit. Damit lässt sich feststellen, welche Policy zu einem Zeitpunkt gespeichert war und wer sie geändert hat. Was bei einem bestimmten Übergang geschah, folgt daraus nicht. Eine versionierte Policy ist kein Transaktionsbeleg.

Die dokumentierten Modi verdeutlichen die Grenze. GitHub unterscheidet always, pull_request und exempt. Bei exempt werden die Regeln nicht ausgeführt und es entsteht kein Bypass-Auditeintrag. Das macht eine Ausnahme nicht verdächtig. Es verhindert lediglich, eine aktuelle Berechtigungsliste als Liste aller vergangenen Umgehungen zu lesen oder aus einem fehlenden Eintrag sicher auf das Ausbleiben jeder relevanten Handlung zu schließen.

Für einen konkreten Übergang ist die Rule Suite ein anderes, begrenztes Dokument. GitHub beschreibt sie als Sammlung von Regelauswertungen, die nach Ref, Zeitraum, Akteur, Ergebnis und Auswertungsstatus gefiltert werden kann. Die Beispiele enthalten Akteur, Repository, Ref, SHAs davor und danach, Zeit, Ergebnis, Auswertungsergebnis und einzelne Regelbewertungen. Eine Suite mit result: bypass kann daher belegen, wie die Plattform genau diesen Übergang behandelt hat. Sie belegt nicht automatisch eine erforderliche menschliche Freigabe, die Angemessenheit des Grundes, einen Merge oder einen Produktionsbetrieb.

Auch die Schichtung der Schutzmechanismen verlangt Sorgfalt. GitHub erklärt, dass Rulesets und Branch-Protection-Regeln nebeneinander gelten können und alle anwendbaren Regeln durchgesetzt werden. Ein einzelnes Ruleset kann also für ein Ref unvollständig sein. Umgekehrt kann eine Suite mehrere Regelquellen ausweisen, ohne ein vollständiges Review- oder Governance-Dossier zu sein. Zu trennen ist: Welche Policy-Version galt für welchen Ref- und SHA-Übergang, was bewertete die Plattform, und welches andere Dokument belegt die behauptete Freigabe oder Wirkung?

Daniel Kade empfiehlt einen kleinen Ausnahmebeleg: Repository-Kennung, exaktes Ref, vorheriger und nachheriger SHA, beobachteter Zeitpunkt, Ruleset-Quelle und -Version oder sicher hinterlegter Policy-Snapshot, Akteur und Bypass-Modus, Suite-Ergebnis, Auswertungsergebnis sowie die zur Erklärung nötigen Einzelregeln. Eine erforderliche Freigabe behält Kennung, Entscheider, Umfang und Zeitpunkt in einem eigenen Nachweis. Ein späterer Merge, Tag, Release oder ein Deployment bleibt eine gesonderte Beobachtung. Sensible Einzelheiten können geschützt werden, ohne Fähigkeit, Handlung, Freigabe und Ergebnis in einem Feld zu verschmelzen.

So bleiben auch gewöhnliche Zustände ehrlich beschreibbar. Ein Akteur kann berechtigt sein und nie umgehen. Ein Bypass kann in einer getrennten Akte ordnungsgemäß genehmigt sein. Eine Policy kann sich ändern, ohne dass ein geschütztes Ref bewegt wird. Ein Ref kann sich ändern, ohne ausgeliefert zu werden. Nicht der Ausnahmeweg ist das Problem, sondern die Überdehnung eines Dokuments über das hinaus, was es tatsächlich festhält.

Quellen

  1. GitHub Docs — Über Rulesets
  2. GitHub Docs — REST-API-Endpunkte für Regeln
  3. GitHub Docs — REST-API-Endpunkte für Rule Suites