GitHub Dependabot のバージョンアップデートについて

注: この機能を使用するには、サイト管理者がお使いの GitHub Enterprise Server インスタンスの Dependabot updatesを設定する必要があります。詳しくは、「エンタープライズ向けの Dependabot の有効化」を参照してください。

Dependabot version updates について

Dependabot は、依存関係を維持する手間を省きます。これを使用して、リポジトリが依存するパッケージおよびアプリケーションの最新リリースに自動的に対応できるようにすることができます。

dependabot.yml 構成ファイルをリポジトリにチェックインして、Dependabot version updates を有効にします。設定ファイルは、リポジトリに保存されているマニフェストまたは他のパッケージ定義ファイルの場所を指定します。 Dependabot ではこの情報を使用して、期限切れのパッケージとアプリケーションが検査されます。 Dependabot では、依存関係のセマンティックバージョニング (semver) を調べて、依存関係の新しいバージョンの有無が判断され、そのバージョンへ更新すべきかどうかが決定されます。特定のパッケージマネージャーでは、Dependabot version updates もベンダをサポートしています。ベンダ (またはキャッシュ) された依存関係は、マニフェストで参照されるのではなく、リポジトリ内の特定のディレクトリにチェックインされる依存関係です。パッケージサーバーが利用できない場合でも、ビルド時にベンダ依存関係を利用できます。 Dependabot version updates は、ベンダの依存関係をチェックして新しいバージョンを確認し、必要に応じて更新するように設定できます。

Dependabot で以前の依存関係が特定されると、マニフェストを依存関係の最新バージョンに更新する pull request が発行されます。ベンダーの依存関係の場合、Dependabot はプルリクエストを生成して、古い依存関係を新しいバージョンに直接置き換えます。テストに合格したことを確認し、プルリクエストの概要に含まれている変更履歴とリリースノートを確認して、マージします。詳しくは、「Dependabot のバージョンアップデートの設定」を参照してください。

セキュリティ更新プログラム を有効にすると、Dependabot でも pull request が発行され、脆弱性のある依存関係を更新します。詳しくは、「Dependabot のセキュリティアップデート」を参照してください。

Dependabot によって pull request が発生する場合、その pull request は、"セキュリティ" 更新プログラムか "バージョン" アップデートを対象としたものである可能性があります。

Dependabot security updates は、既知の脆弱性を持つ依存関係を更新するのに役立つ、自動化された pull request です。
Dependabot version updates は、依存関係に脆弱税がなくても、依存関係を最新の状態に維持する、自動化された pull request です。バージョンアップデートの状態をチェックするには、リポジトリのInsights（インサイト）タブ、続いてDependency Graph（依存関係グラフ）、そしてDependabotにアクセスしてください。

GitHub Actions は、GitHub Enterprise Server で Dependabot version updatesと Dependabot security updatesを実行するために必要です。 Dependabot updates を有効にする前に、セルフホステッドランナーで GitHub Actions を使用するようにお使いの GitHub Enterprise Server インスタンスを構成する必要があります。詳細については、「エンタープライズ向けの Dependabot の有効化」を参照してください

Dependabot のプルリクエストの頻度

設定ファイルで、新しいバージョンの各エコシステムをチェックする頻度を、毎日、毎週、毎月の中から指定します。

最初にバージョンアップデートを有効にすると、古くなった依存関係が大量にあり、中には最新バージョンまでにいくつものバージョンが存在しているものもあるかもしれません。 Dependabotは、有効化されるとすぐに古くなった依存関係をチェックします。設定が更新するマニフェストファイルの数に応じて、設定ファイルの追加後数分のうちに、バージョンアップデートの新しいPull Requestが発行されるかもしれません。 Dependabotは、設定ファイルに対するその後の変更に対しても更新を実行します。

Dependabotは、アップデートの失敗後にマニフェストファイルを変更した際にもPull Requestを作成することがあります。これは、アップデート失敗の原因となった依存関係の削除などのマニフェストへの変更によって、新たにトリガーされたアップデートが成功するかもしれないためです。

Pull Requestを管理可能でレビューしやすく保つために、Dependabotは依存関係を最新バージョンにし始めるためのPull Requestを最大で5つまで発行します。次にスケジュールされているアップデートの前にこれらの最初のPull Requestの一部をマージした場合、残りのPull Requestは上限まで次のアップデート時にオープンとなります。オープン pull request の最大数は、open-pull-requests-limit 構成オプションを設定することで変更できます。

セキュリティアップデートを有効にした場合、セキュリティアップデートの追加に対するプルリクエストが表示されることがあります。これらは、デフォルトブランチへの依存関係に対する Dependabot アラートによってトリガーされます。 Dependabot はプルリクエストを自動的に生成し、脆弱性のある依存関係を更新します。

サポートされているリポジトリとエコシステム

サポートされているパッケージマネージャーのいずれかの依存関係マニフェストまたはロックファイルを含むリポジトリのバージョン更新を設定できます。一部のパッケージマネージャーでは、依存関係のベンダを設定することもできます。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

注: GitHub Enterprise Server がサポートされている最新のエコシステムバージョンに対して Dependabot updates を確実にサポートするには、エンタープライズ所有者が Dependabot アクションの最新バージョンをダウンロードする必要があります。アクションの詳細と、最新バージョンをダウンロードする方法の手順については、「公式のバンドルされたアクションの最新バージョンを使用する」を参照してください。

注: セキュリティあるいはバージョンアップデートを実行する際に、エコシステムによってはアップデートが成功したことを検証するためにすべての依存関係をソースから解決できなければならないことがあります。マニフェストあるいはロックファイルにプライベートの依存関係が含まれているなら、Dependabotはそれらの依存関係がホストされている場所にアクセスできなければなりません。 Organizationのオーナーは、同じOrganization内のプロジェクトに対する依存関係を含むプライベートリポジトリへのアクセス権をDependabotに付与できます。詳しくは、「Organization のセキュリティおよび分析設定を管理する」を参照してください。リポジトリの dependabot.yml 構成ファイルで、プライベートレジストリへのアクセスを構成できます。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

Dependabot は、すべてのパッケージマネージャーに対してプライベートな GitHub 依存関係をサポートしません。詳細は、以下の表をご覧ください。

以下の表は、各パッケージマネージャについて以下の項目を示しています。

dependabot.ymlファイル中で使う YAML 値
パッケージマネージャのサポートされているバージョン
プライベートのGitHubリポジトリあるいはレジストリ内の依存関係がサポートされているか
ベンダーの依存関係がサポートされているか

パッケージマネージャー	YAML値	サポートされているバージョン
Bundler	`bundler`	v1, v2
Cargo	`cargo`	v1
Composer	`composer`	v1, v2
Docker	`docker`	v1
Hex	`mix`	v1
elm-package	`elm`	v0.19
Gitサブモジュール	`gitsubmodule`	適用なし
GitHub Actions [2]	`github-actions`	適用なし
Go モジュール	`gomod`	v1
Gradle [3]	`gradle`	適用なし
Maven [4]	`maven`	適用なし
npm	`npm`	v6、v7、v8
NuGet	`nuget`	<= 4.8 [5]
pip	`pip`	v21.1.2
pipenv	`pip`	<= 2021-05-29
pip-compile	`pip`	6.1.0
poetry	`pip`	v1
pub [7]	`pub`	v2
Terraform	`terraform`	>= 0.13、<= 1.3.x
yarn	`npm`	v1

ヒント: pipenv や poetry などのパッケージマネージャでは、pip の YAML 値を使う必要があります。たとえば Python の依存関係を管理するのに poetry を使っており、Dependabot に新しいバージョンのために依存関係のマニフェストファイルをモニターさせたい場合は、dependabot.yml ファイル中で package-ecosystem: "pip" を使ってください。

[2] Dependabot では、actions/checkout@v3 など、GitHub リポジトリ構文を利用した GitHub Actions の更新のみがサポートされます。 Docker Hub と GitHub Packages Container registry URL は現在、サポートされていません。

[3] Dependabot では Gradle は実行されませんが、次のファイルの更新はサポートされます。

build.gradle、build.gradle.kts (Kotlin プロジェクト)
apply 宣言を介して追加され、ファイル名に dependencies が含まれるファイル。 apply では、apply to、再帰、または高度な構文 (たとえば、ファイル名がプロパティで定義された、Kotlin の mapOf 付き apply) はサポートされていないことに注意してください。

[4] Dependabot では Maven は実行されませんが、pom.xml ファイルの更新はサポートされます。

[5] Dependabot では NuGet CLI は実行されませんが、バージョン 4.8 までのほとんどの機能がサポートされます。

[7] Dependabot は、以前のバージョンが使用可能な場合でも、更新を試みるバージョンが無視されているときは pub の更新を実行しません。

リポジトリですでに依存関係管理にインテグレーションを使用している場合は、Dependabot を有効にする前にそれを無効にする必要があります。

Dependabot バージョン更新の通知について

GitHub で通知をフィルター処理して、Dependabot によって作成された pull request の通知を表示できます。詳しくは、「インボックスからの通知を管理する」を参照してください。