変更要約: GH-500 第6章を新規作成（大規模ロールアウトとデフォルト構成＝Enterprise→組織→リポ階層と継承・GHEC vs GHES の機能差・各機能の有効化・デフォルトセキュリティ構成[recommended/カスタム]、ガバナンスと自動化＝ポリシー/ルールセットの強制・強制境界/バイパス/例外[承認制＋記録]・役割[管理者/security manager/開発者]とアラート権限・既定/承認済みカスタム CodeQL ワークフロー・API/自動化で数百〜数千リポを統制）
6.2ガバナンス・アクセス・CodeQL ワークフローと自動化
Enterprise/組織のセキュリティポリシーとルールセットの定義、強制境界・バイパス権限・例外の構成、管理者/security manager/開発者の役割、アラート管理/却下の権限、既定/承認済みカスタム CodeQL ワークフローの有効化、そして大規模なセキュリティ構成・ガバナンスのための API と自動化を理解します。
機能を有効化したら、次は 統制（ガバナンス） です。誰が何をでき、どこまで強制し、どこで例外を認めるか——これを ポリシーとルールセット、役割と権限、そして API/自動化 で大規模に運用します。
6.2.1ポリシー・ルールセット・強制境界
Enterprise/組織は セキュリティポリシーとルールセット を定義し、必須機能・必須チェック・修復 SLA などを 強制 します。強制境界（enforcement boundaries） で「どの範囲（Enterprise 全体／特定組織／特定リポ群）に適用するか」を定め、バイパス権限と例外 で「正当な場合に誰がどう外せるか」を承認制で制御します。これにより、一律の強制と現場の柔軟性のバランスを取ります。例外は記録され、後から監査できることが重要です。
6.2.2役割とアラートの権限
役割を明確に分けます——管理者（admin） は機能の有効化・ポリシー・組織設定を統制、security manager（セキュリティ管理者） はセキュリティ方針・アラートの監督・例外承認を担い（コードの書き込み権限とは独立に セキュリティ閲覧/管理 を付与できる）、開発者 は自分のコードのアラートを修復します。アラートの 閲覧・対応・却下（dismiss） の権限は役割ごとに割り当て、不適切な dismiss を防ぎます。最小権限の原則で、必要な人に必要な範囲だけ与えます。