# Dependabot クイックスタート ガイド
Dependabotで依存している脆弱な依存関係を見つけて修正します。
## Dependabot の概要
このクイック スタート ガイドでは、依存関係のセキュリティで保護されたバージョンを使用するように、 Dependabotの設定と有効化、 Dependabot alertsの表示、リポジトリの更新について説明します。
Dependabot は、依存関係の管理に役立つ 3 つの異なる機能で構成されています。
* Dependabot alerts: リポジトリで使われている依存関係の脆弱性についてユーザーに通知します。
* Dependabot security updates: 使われている依存関係のうち、既知のセキュリティ脆弱性があるものを更新するための pull request を自動的に生成します。
* Dependabot version updates: 依存関係を最新に保つための pull request を自動的に生成します。
## 前提条件
Dependabot alertsでGitHub機能を使用する前に、エンタープライズ管理者がインスタンスのDependabotを有効にする必要があります。 詳細については、「[エンタープライズ向けの Dependabot の有効化](/ja/enterprise-server@3.20/admin/configuration/configuring-github-connect/enabling-dependabot-for-your-enterprise#enabling-dependabot-alerts)」を参照してください。
このガイドでは、デモ リポジトリを使用して、依存関係の脆弱性Dependabot検出する方法、Dependabot alertsのGitHubを確認する方法、およびこれらのアラートを調査、修正、または無視する方法を説明します。
まず、デモ リポジトリをフォークする必要があります。
1. [
https://github.com/dependabot/demo
](https://github.com/dependabot/demo?ref_product=supply-chain-security\&ref_type=engagement\&ref_style=text) に移動します。
2. ページの右上にある\*\*\*\* フォークをクリックします。
3. 所有者を選択し ( GitHub 個人アカウントを選択できます)、リポジトリ名を入力します。 リポジトリのフォークについて詳しくは、「[リポジトリをフォークする](/ja/enterprise-server@3.20/pull-requests/collaborating-with-pull-requests/working-with-forks/fork-a-repo#forking-a-repository)」を参照してください。
4. **\[フォークの作成]** をクリックします。
## リポジトリの Dependabot を有効にする
「[前提条件](#prerequisites)」でフォークしたリポジトリで、以下の手順に従う必要があります。
1. GitHub で、リポジトリのメイン ページに移動します。
2. リポジトリ名の下にある ** \[Settings]** をクリックします。 \[設定] タブが表示されない場合は、 **\[]** ドロップダウン メニューを選び、 **\[設定]** をクリックします。
![タブを示すリポジトリ ヘッダーのスクリーンショット。 \[設定\] タブが濃いオレンジ色の枠線で強調表示されています。](/assets/images/help/repository/repo-actions-settings.png)
3. サイドバーの \[Security] セクションで、**\[ Advanced Security]** をクリックします。
4. \[Dependabot] で、\*\*\*\*、Dependabot alerts、および Dependabot security updates を Dependabot version updates をクリックします。
5. **有効化**をクリックした場合、リポジトリ内のDependabot version updatesディレクトリに`dependabot.yml`によって自動的に作成される既定のGitHub構成ファイルを編集できます。
リポジトリの Dependabot version updates を有効にするには、通常、既定のファイルを編集して変更をコミットすることで、ニーズに合わせてこのファイルを構成します。 例として、「[Dependabot バージョンの更新の構成](/ja/enterprise-server@3.20/code-security/dependabot/dependabot-version-updates/configuring-dependabot-version-updates#example-dependabotyml-file)」で提供されるスニペットを参照できます。
> \[!NOTE]
> 依存関係グラフがリポジトリに対してまだ有効になっていない場合、 GitHub は、 Dependabotを有効にすると自動的に有効になります。
これらの各 Dependabot 機能の構成の詳細については、「 [Dependabot アラートの構成](/ja/enterprise-server@3.20/code-security/dependabot/dependabot-alerts/configuring-dependabot-alerts)、 [Dependabot セキュリティの更新の構成](/ja/enterprise-server@3.20/code-security/dependabot/dependabot-security-updates/configuring-dependabot-security-updates)、 [Dependabot バージョンの更新の構成](/ja/enterprise-server@3.20/code-security/dependabot/dependabot-version-updates/configuring-dependabot-version-updates)」を参照してください。
## リポジトリの Dependabot alerts の表示
リポジトリDependabot alerts有効になっている場合は、リポジトリの \[Dependabot alerts] タブで Securityを表示できます。 前のセクションで有効にしたフォークされたリポジトリ Dependabot alerts 使用できます。
1. GitHub で、リポジトリのメイン ページに移動します。
2. リポジトリ名の下にある \[ ** Security** ] タブをクリックします。\[ Security] タブが表示されない場合は、 **** ドロップダウン メニューを選択し、\[ ** Security**] をクリックします。
3. セキュリティの概要の \[脆弱性アラート] サイドバーで、 **Dependabot** をクリックします。 このオプションがない場合は、セキュリティ アラートにアクセスできないため、アクセス権を付与する必要があることを意味します。 詳細については、「[リポジトリのセキュリティと分析設定を管理する](/ja/enterprise-server@3.20/repositories/managing-your-repositorys-settings-and-features/enabling-features-for-your-repository/managing-security-and-analysis-settings-for-your-repository#granting-access-to-security-alerts)」を参照してください。
![\[Dependabot\] タブが濃いオレンジ色のアウトラインで強調表示されている、セキュリティの概要のスクリーンショット。](/assets/images/enterprise/repository/dependabot-alerts-tab.png)
1. Dependabot alerts ページで開いているアラートを確認します。 既定では、このページに、未解決のアラートが一覧表示される **\[未解決]** タブが表示されます ( **\[解決済み]** をクリックすると、解決済みのアラートを表示できます)。
さまざまなフィルターまたはラベルを使用して、リスト内の Dependabot alerts をフィルター処理できます。 詳細については、「[Dependabot アラートの表示と更新](/ja/enterprise-server@3.20/code-security/dependabot/dependabot-alerts/viewing-and-updating-dependabot-alerts#prioritizing-dependabot-alerts)」を参照してください。 また、 Dependabot 自動トリアージ ルール を使用して、関心のない誤検知アラートやアラートを除外することもできます。 詳細については、「[Dependabot 自動優先順位設定ルール](/ja/enterprise-server@3.20/code-security/dependabot/dependabot-auto-triage-rules/about-dependabot-auto-triage-rules)」を参照してください。
2. `javascript/package-lock.json` ファイルの「Command Injection in lodash」というアラートをクリックします。 アラートの詳細ページに、次の情報が表示されます (情報によっては、すべてのアラートに適用されない場合があることに注意してください)。
* Dependabot脆弱性を修正するプル要求を作成したかどうか。
**\[セキュリティ更新プログラムの確認]** をクリックして、推奨されるセキュリティ更新プログラムを確認できます。
* 関連するパッケージ
* 影響を受けるバージョン
* 修正プログラムが適用されたバージョン
* 脆弱性の簡単な説明
3. 必要に応じて、ページの右側にある情報を調べることもできます。 スクリーンショットに示されている情報の一部は、すべてのアラートに適用されない場合があります。
* Severity
* CVSS metrics: CVSS レベルを使って重大度レベルを割り当てています。 詳細については、「[GitHub Advisory database](/ja/enterprise-server@3.20/code-security/security-advisories/working-with-global-security-advisories-from-the-github-advisory-database/about-the-github-advisory-database#about-cvss-levels)」を参照してください。
* タグ
* Weaknesses: 脆弱性に関連する CWE の一覧 (該当する場合)
* CVE ID: 脆弱性の一意の CVE 識別子 (該当する場合)
* GHSA ID: GitHub Advisory Databaseの対応するアドバイザリの一意識別子。 詳細については、「[GitHub Advisory database](/ja/enterprise-server@3.20/code-security/security-advisories/working-with-global-security-advisories-from-the-github-advisory-database/about-the-github-advisory-database#about-ghsa-ids)」を参照してください。
* オプションでGitHub Advisory Databaseのアドバイザリに移動することができます。
* この脆弱性の影響を受けるすべてのリポジトリを表示するオプション
* このアドバイザリの改善を提案するオプション GitHub Advisory Database
Dependabot alertsの表示、優先順位付け、並べ替えの詳細については、「[Dependabot アラートの表示と更新](/ja/enterprise-server@3.20/code-security/dependabot/dependabot-alerts/viewing-and-updating-dependabot-alerts)」を参照してください。
## Dependabotアラートの修正または無視
Dependabot alertsでGitHubを修正または無視できます。 引き続き、フォークしたリポジトリを例として、前のセクションで説明した「Command Injection in lodash」のアラートを使います。
1. リポジトリの \[ Dependabot ] タブに移動します。 詳細については、上記の [「リポジトリの Dependabot alerts の表示](#viewing-dependabot-alerts-for-your-repository) 」セクションを参照してください。
2. アラートをクリックします。
3. `javascript/package-lock.json` ファイルの「Command Injection in lodash」というアラートをクリックします。
4. アラートを確認します。 次のようにすることができます。
* 推奨されるセキュリティ更新プログラムを確認するには、 **\[セキュリティ更新プログラムの確認]** をクリックします。 これにより、セキュリティ修正プログラムを使用して Dependabot によって生成されたプル要求が開きます。
* pull request の説明で、 **\[コミット]** をクリックして、pull request に含まれるコミットを調べることができます。
* **また、Dependabotコマンドとオプション**をクリックして、pull request の操作に使用できるコマンドについて学習することもできます。
* 依存関係を更新して脆弱性を解決する準備ができたら、プルリクエストをマージしてください。
* アラートを無視する場合
* アラートの詳細ページに戻ります。
* 右上隅にある **\[アラートを無視]** をクリックします。
![\[Dismiss alert\] ボタン、ドロップダウン メニュー オプション、\[Dismissal comment\] ボックスがオレンジ色の枠線で囲まれたアラートの詳細ページのスクリーンショット。](/assets/images/help/repository/dismiss-alert-demo-repo.png)
* アラートを無視する理由を選びます。
* 必要に応じて、無視のコメントを追加します。 無視のコメントはアラート タイムラインに追加され、監査と報告の間に正当な理由として使用できます。
* **\[アラートを無視]** をクリックします。 このアラートは、アラート リストの **\[未解決]** タブに表示されなくなり、 **\[解決済み]** タブで確認できます。
Dependabot alertsの確認と更新の詳細については、「[Dependabot アラートの表示と更新](/ja/enterprise-server@3.20/code-security/dependabot/dependabot-alerts/viewing-and-updating-dependabot-alerts#reviewing-and-fixing-alerts)」を参照してください。
## Troubleshooting
次の場合、トラブルシューティングが必要になることがあります。
* Dependabot は、アラートを修正するためのプル要求の作成をブロックされます。
* Dependabotによって報告される情報は、期待したものではありません。
詳しくは、「[Dependabot エラー](/ja/enterprise-server@3.20/code-security/dependabot/troubleshooting-dependabot/troubleshooting-dependabot-errors)」と「[脆弱な依存関係の検出](/ja/enterprise-server@3.20/code-security/dependabot/troubleshooting-dependabot/troubleshooting-the-detection-of-vulnerable-dependencies)」をそれぞれ参照してください。
## 次のステップ
Dependabot更新プログラムの構成の詳細については、「[Dependabot セキュリティの更新の構成](/ja/enterprise-server@3.20/code-security/dependabot/dependabot-security-updates/configuring-dependabot-security-updates)」および[「AUTOTITLE](/ja/enterprise-server@3.20/code-security/dependabot/dependabot-version-updates/configuring-dependabot-version-updates)」を参照してください。
組織の Dependabot の構成の詳細については、 [Dependabot アラートの構成](/ja/enterprise-server@3.20/code-security/dependabot/dependabot-alerts/configuring-dependabot-alerts#managing-dependabot-alerts-for-your-organization) を参照してください。
Dependabotによって開かれたプル要求の表示の詳細については、[AUTOTITLE を](/ja/enterprise-server@3.20/code-security/dependabot/working-with-dependabot/managing-pull-requests-for-dependency-updates#viewing-dependabot-pull-requests)参照してください。
Dependabot alertsに貢献するセキュリティ アドバイザリの詳細については、[GitHub Advisory Database でのセキュリティ アドバイザリの参照](/ja/enterprise-server@3.20/code-security/security-advisories/working-with-global-security-advisories-from-the-github-advisory-database/browsing-security-advisories-in-the-github-advisory-database) を参照してください。
Dependabot alertsに関する通知の構成の詳細については、[Dependabot アラートの通知を構成する](/ja/enterprise-server@3.20/code-security/dependabot/dependabot-alerts/configuring-notifications-for-dependabot-alerts) を参照してください。