依存関係のセキュリティの管理

依存関係管理の機能をカスタマイズして構成します。

自動トリアージルールをカスタマイズして Dependabot アラートの優先度を設定する

独自の自動トリアージルールを作成して、どのアラートを無視またはスヌーズするか、および Dependabot で pull request を開くアラートを制御できます。

GitHub プリセットルールを使用して Dependabot アラートに優先順位を付ける

GitHub によってキュレーションされた既定ルールである GitHub プリセットを使用すると、npm 依存関係の影響度の低い開発アラートを自動的に無視できます。

Dependabot セキュリティ更新プログラム用に pull request をカスタマイズする

プロジェクトのセキュリティの優先順位とワークフローに合わせて、セキュリティ更新プログラム用に Dependabot の pull request をカスタマイズする方法について説明します。

Dependabot で更新する依存関係を制御する

定義した方法で、指定したパッケージが Dependabot で自動的に更新されるように dependabot.yml ファイルを構成する方法について説明します。

依存関係レビューアクションの構成

依存関係レビューアクションを使うと、プロジェクトに追加される前に脆弱性を検出できます。

Dependabot の更新のための Java パッケージの最適化

          `pom.xml` ファイルにメタデータを含めると、Java パッケージを更新するためにユーザーが Dependabot の pull request で使用できる情報を強化できます。

Dependabot のプライベートレジストリへのアクセスの構成

プライベートレジストリに格納されている依存関係にアクセスするように Dependabot を構成できます。パスワードやアクセストークンなどの認証情報を暗号化されたシークレットとして格納し、これらを Dependabot 構成ファイルで参照できます。プライベートネットワークにレジストリがある場合は、セルフホステッドランナーで Dependabot を実行するときに、Dependabot アクセスを構成することもできます。

パブリックレジストリへの Dependabot アクセスの削除

パブリックレジストリへの呼び出しを削除することで、プライベートレジストリにのみアクセスするように Dependabot を構成する方法の例です。

依存関係の更新に関するPull Requestを管理する

Dependabot によって生成されたPull Requestは、他のPull Requestとほぼ同じ方法で管理しますが、いくつかの追加オプションがあります。

セルフホステッドランナーでの Dependabot の管理

Dependabot がプライベートレジストリと内部ネットワークリソースにアクセスするために使用するセルフホステッドランナーを構成できます。

バージョン更新用に設定された依存関係を一覧表示する

Dependabot が更新を監視している依存関係を表示できます。

Dependabot のプライベートレジストリの構成に関するガイダンス

この記事では、プライベートレジストリの構成に関する詳細情報と、コマンドラインから実行してパッケージマネージャーをローカルで構成できるコマンドについて説明します。