Dependabot に対する暗号化されたシークレットについて
Dependabot シークレットとは、Organization レベルまたはリポジトリレベルで作成する、暗号化された資� �情� �のことです。 シークレットを Organization レベルで追� した� �合、そのシークレットにどのリポジトリがアクセスできるかを指定できます。 シークレットを使用して、プライベートパッケージレジストリにある依存関係を Dependabot が更新できるようにすることができます。 シークレットを追� すると、それが GitHub に届く前に暗号化され、それを Dependabot がプライベートパッケージレジストリにアクセスするために使用するまで暗号化されたままとなります。
Dependabot シークレットを追� 後は、dependabot.yml 設定ファイルで ${{secrets.NAME}} のように参照できます。「NAME」は、シークレットに付けた名前としてく� さい。 たとえば次のような点です。
password: ${{secrets.MY_ARTIFACTORY_PASSWORD}}
詳細については、「dependabot.yml ファイルの構成オプション」を参照してく� さい。
シークレットに名前を付ける
Dependabot シークレットの名前には、以下の制限があります。
- 英数字 (
[A-Z]、[0-9]) またはアンダースコア (_) のみを含めることができます。 スペースは使用できません。 小文字を入力すると、大文字に変換されます。 GITHUB_プレフィックスで始めることはできません。- 最初を数字にすることはできません。
Dependabot にリポジトリシークレットを追� する
個人アカウントのリポジトリにシークレットを作成するには、そのリポジトリのオーナーでなければなりません。 組織リポジトリのシークレットを作成するには、admin アクセス権が必要です。
-
で、リポジトリのメイン ページへ移動します。 1. リポジトリ名の下の [ 設定] をクリックします。
-
サイドバーで、 [Dependabot] をクリックします。
-
[新しいリポジトリ シークレット] をクリックします。
-
[名前] 入力ボックスにシークレットの名前を入力します。
-
シークレットの値を入力します。
-
[シークレットの追� ] をクリックします。
シークレットの名前が、Dependabot シークレットのページに一覧表示されます。 [更新] をクリックしてシークレットの値を変更できます。 [削除] をクリックしてシークレットを削除できます。
Dependabot に Organization シークレットを追� する
Organizationでシークレットを作成する� �合、ポリシーを使用して、そのシークレットにアクセスできるリポジトリを制限できます。 たとえば、すべてのリポジトリにアクセスを許可したり、プライベート リポジトリまたは指定したリポジトリ のリストのみにアクセスを制限したりできます。
組織レベルでシークレットを作成するには、admin アクセス権が必要です。
-
で、Organization のメイン ページへ移動します。 1. Organization 名の下で、 [設定] をクリックします。
-
サイドバーで、 [Dependabot] をクリックします。
-
[新しい組織シークレット] をクリックします。
-
[名前] 入力ボックスにシークレットの名前を入力します。
-
シークレットの [値] を入力します。
-
[リポジトリアクセス] ドロップダウンリストから、アクセスポリシーを選びます。
-
[選択したリポジトリ] を選択した� �合は、次のようにします。
- をクリックします。
- このシークレットにアクセスできるリポジトリを選択します。
- [選択の更新] をクリックします。
-
[シークレットの追� ] をクリックします。
シークレットの名前が、Dependabot シークレットのページに一覧表示されます。 [更新] をクリックしてシークレット値またはそのアクセスポリシーを変更できます。 [削除] をクリックしてシークレットを削除できます。
レジストリのIP許可リストへのDependabotの追�
プライベートレジストリが IP 許可リストとともに設定されているなら、Dependabotがレジストリへのアクセスに使う IP アドレスは、メタ API エンドポイントで dependabot の下にあります。 詳細については、「メタ」を参照してく� さい。