GitHub 数据驻留企业获得公开监测，覆盖范围有哪些限制

GitHub 在 2026 年 10 月 22 日宣布，带数据驻留的 GitHub Enterprise Cloud（GHEC DR）可以使用公开监测（Public monitoring）预览功能。它把 secret scanning 的观察范围从企业自有仓库扩展到 github.com 上的公开提交，用来发现企业相关凭据是否被公开暴露。

官方地址：https://github.com/

这项能力的关键限制是：数据驻留环境的归因只依赖企业已验证域名匹配，企业成员名单不会跨越数据驻留与 github.com 之间的租户隔离边界。公开监测因此不是“所有公开泄露都能被企业认领”，而是一条受归因条件、地域边界、许可证和企业权限共同约束的监测路径。

这次新增的范围，究竟比原来多了什么

普通的 secret scanning 主要关注企业拥有的仓库及其历史内容；公开监测则把观察面推到任意公开仓库中的公开提交，即使那个仓库并不属于企业。对采用数据驻留的企业来说，这解决的是“凭据已经离开自有仓库，进入公开代码空间后还能不能被发现”的问题。

但这里的关键词是“公开提交”和“企业相关”。公告没有把它表述成对 github.com 全部内容的无限制审计，也没有承诺每次公开泄露都能归因到某个企业。读取范围与归因范围必须分开看：前者是公开代码空间，后者仍受企业身份信号限制。

数据驻留场景最关键的限制：归因只靠已验证域名

GitHub 对数据驻留环境的说明很明确：由于租户与 github.com 之间保持严格隔离，企业成员名册不会跨边界共享。因此，公开提交中的作者身份不能像普通企业场景那样依靠成员关系来匹配，归因由企业已经验证的域名完成。

这会直接影响企业的准备工作。企业需要先确认员工提交时使用的邮箱域名确实属于要纳入监测的企业范围，再在企业设置中完成域名验证。GitHub 的域名验证文档说明，企业所有者可以通过 DNS TXT 记录证明域名控制权；网站域名和邮箱域名如果是不同变体，可能需要分别验证。

换句话说，域名验证不是后台装饰项，而是数据驻留公开监测的身份入口。没有覆盖实际提交邮箱的已验证域名，公开提交即使包含企业使用的凭据，也不能据此推断一定会被归因到该企业。

告警如何回到企业，又有哪些数据没有跨出去

在数据驻留环境中，GitHub 表示告警会被加密，并直接送达企业仪表板，同时让数据留在企业指定的地域内。这个设计把“发现公开泄露”和“跨租户传递身份资料”拆开：企业拿到的是面向自己安全团队的告警，GitHub 不需要把成员名册复制到 github.com 一侧。

采用时要避免两个相反的误读。第一，数据驻留不等于不再监测公开空间；公开提交仍是观察对象。第二，进入企业仪表板也不等于告警自动拥有完整上下文；是否能归因、哪些域名已验证、企业内部如何轮换凭据和处置告警，仍是组织自己的治理责任。

启用前按四个条件做判断

第一，确认企业确实使用的是带数据驻留的 GitHub Enterprise Cloud，而不是把普通 Enterprise Cloud 的公开监测说明直接套过来。第二，确认企业已启用 GitHub Advanced Security 或 GitHub Secret Protection 许可；公告将公开监测列为这两类许可的能力，并说明不额外收费。

第三，确认操作者权限。公告列出的启用角色是企业管理员和企业安全管理器，普通仓库维护者不能据此推断自己可以打开企业级能力。第四，盘点真实会出现在公开提交中的邮箱域名，完成域名验证并把域名变体纳入检查范围。

最后再定义处置闭环：谁接收企业仪表板告警、谁负责立即轮换暴露凭据、谁判断公开提交是否需要进一步调查。公开监测解决的是发现入口，不替代凭据撤销、权限收敛和事件响应。

常见问题

数据驻留企业会监测所有公开仓库吗？

公开监测的观察面扩展到 github.com 的公开提交，但对企业的归因仍依赖已验证域名匹配。不能把“扫描公开空间”理解成“所有公开内容都能被企业确认和接收”。

还需要维护企业成员名单同步吗？

针对这项数据驻留能力，公告强调成员名册不会跨边界共享，归因使用已验证域名。因此更应该维护域名验证和提交邮箱治理，而不是假设成员名单同步可以替代域名匹配。

公开监测预览是否需要额外购买一项功能？

公告称它包含在 GitHub Advanced Security 或 GitHub Secret Protection 许可中，不额外收费；但企业仍需满足 GHEC 数据驻留环境和相应的企业权限条件。

官方资料

功能公告：https://github.blog/changelog/2026-10-22-public-monitoring-now-available-with-data-residency/

Secret scanning 说明：https://docs.github.com/en/code-security/concepts/secret-security/secret-scanning

企业域名验证：https://docs.github.com/en/enterprise-cloud@latest/admin/configuring-settings/configuring-user-applications-for-your-enterprise/verifying-or-approving-a-domain-for-your-enterprise