パブリックレジストリへの Dependabot アクセスの削除

プライベートレジストリにのみアクセスするように Dependabot を構成する方法について

Dependabot を使うと、既定でパブリックレジストリにアクセスできます。また、プライベートレジストリにアクセスできるように Dependabot を構成することもできます。プライベートレジストリのサポートと構成について詳しくは、「Dependabot のプライベートレジストリへのアクセスの構成」をご覧ください。使用可能なオプションの詳細と、プライベートレジストリを構成するときの推奨事項とアドバイスについては、「Dependabot のプライベートレジストリの構成に関するガイダンス」を参照してください。

パブリックレジストリへの呼び出しを削除することでプライベートレジストリに "のみ" アクセスするように Dependabot を構成できます。__ このような構成は、この記事に記載されているエコシステムに対してのみ行えます。

注: Dependabot updates 用の構成からパブリックレジストリへのアクセス権を削除する場合は、あなたが必要とするプライベートレジストリへのアクセス権を持つ Dependabot ランナーが管理者によって設定されていることを事前に確認してください。詳しくは、「制限付きインターネットアクセスで動作するように Dependabot を構成する」を参照してください。

Bundler

プライベートレジストリにのみアクセスするように Bundler エコシステムを構成するには、dependabot.yml ファイルで replaces-base を true として設定できます。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

Bundler エコシステムでは、さらに、プライベートレジストリの URL を含む Gemfile ファイルをリポジトリにチェックインする必要があります。

# Example Gemfile

 source "https://private_registry_url"

Docker

プライベートレジストリにのみアクセスするように Docker エコシステムを構成するには、以下の構成方法を使用できます。

方法 1

プライベートレジストリの構成を dependabot.yml ファイルで replaces-base を使わずに定義します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

注: replaces-base: trueから構成ファイルを削除してください。

version: 2
registries:
  azuretestregistry: # Define access for a private registry
    type: docker-registry
    url: firewallregistrydep.azurecr.io
    username: firewallregistrydep
    password: ${{ secrets.AZUREHUB_PASSWORD }}

Dockerfile ファイルに、イメージ名を IMAGE[:TAG] の形式で追加します。ここで、IMAGE はご自分のユーザー名とリポジトリの名前で構成されます。

 FROM firewallregistrydep.azurecr.io/myreg/ubuntu:22.04

方法 2

dependabot.yml ファイルで replaces-base を true として設定します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。 replaces-base を使って構成されたレジストリは、ミラーまたはプルスルーキャッシュとして使用できます。詳細については、Docker ドキュメントの「Registry as a pull through cache (プルスルーキャッシュとしてのレジストリ)」を参照してください。

Gradle

プライベートレジストリにのみアクセスするように Gradle エコシステムを構成するには、以下の構成方法を使用できます。

プライベートレジストリの構成を dependabot.yml ファイルで定義します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

注: 構成ファイルから replaces-base: true を削除してください。

さらに、build.gradle ファイルの repositories セクションでプライベートレジストリの URL を指定する必要もあります。

# Example build.gradle file

repositories {
    maven {
        url "https://private_registry_url"
    }
}

Maven

プライベートレジストリにのみアクセスするように Maven エコシステムを構成するには、以下の構成方法を使用できます。

方法 1

dependabot.yml ファイルで replaces-base を true として設定します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

方法 2

pom.xml ファイルでプライベートレジストリの URL のみを使います。

<project>
...
 <repositories>
  <repository>
    <id>central</id>
    <name>your custom repo</name>
    <url>https://private_registry_url</url>
 </repository>
...
</project>

ノード

npm

プライベートレジストリにのみアクセスするように npm エコシステムを構成するには、以下の構成方法を使用できます。

方法 1

プライベートレジストリの構成を dependabot.yml ファイルで定義します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

注: replaces-base: trueから構成ファイルを削除してください。

npm エコシステムでは、さらに、プライベートレジストリの URL を含む .npmrc ファイルをリポジトリにチェックインする必要があります。

 registry=https://private_registry_url

方法 2

.npmrc ファイルにグローバルレジストリが定義されていない場合は、dependabot.yml ファイルで replaces-base を true として設定できます。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

注: スコープ付き依存関係 (@my-org/my-dep) の場合、Dependabot では、プロジェクトの .npmrc ファイルでプライベートレジストリが定義されている必要があります。個々のスコープのプライベートレジストリを定義するには、@myscope:registry=https://private_registry_url を使います。

Yarn

Yarn Classic と Yarn Berry のプライベートレジストリはどちらも Dependabot でサポートされていますが、プライベートレジストリにのみアクセスするには、Dependabot ではエコシステムごとに異なる構成が必要です。

Yarn Classic

プライベートレジストリにのみアクセスするように Yarn Classic エコシステムを構成するには、以下の構成方法を使用できます。

方法 1

プライベートレジストリの構成を dependabot.yml ファイルで定義します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

注: 構成ファイルから replaces-base: true を削除します。

プライベートレジストリがプロジェクトの yarn.lock ファイルの依存関係ソースとして確実にリストされるようにするには、プライベートレジストリにアクセスできるマシンで yarn install を実行します。 Yarn によって、プライベートレジストリの URL を含むように resolved フィールドが更新されるはずです。

encoding@^0.1.11:
  version "0.1.13"
  resolved "https://private_registry_url/encoding/-/encoding-0.1.13.tgz#56574afdd791f54a8e9b2785c0582a2d26210fa9"
  integrity sha512-ETBauow1T35Y/WZMkio9jiM0Z5xjHHmJ4XmjZOq1l/dXz3lr2sRn87nJy20RupqSh1F2m3HHPSp8ShIPQJrJ3A==
  dependencies:
    iconv-lite "^0.6.2"

方法 2

yarn.lock ファイルでプライベートレジストリが依存関係ソースとしてリストされない場合は、通常のパッケージマネージャーの手順に従って Yarn Classic を設定できます。

プライベートレジストリの構成を dependabot.yml ファイルで定義します
キー registry を使って、プロジェクトルートにある .yarnrc ファイルにレジストリを追加します。または、yarn config set registry <private registry URL> を実行します。
```
registry https://private_registry_url
```

オプション 3

.yarnrc ファイルにグローバルレジストリが定義されていない場合は、dependabot.yml ファイルで replaces-base を true として設定できます。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

注: スコープ付き依存関係 (@my-org/my-dep) の場合、Dependabot では、プロジェクトの .npmrc ファイルでプライベートレジストリが定義されている必要があります。個々のスコープのプライベートレジストリを定義するには、@myscope:registry=https://private_registry_url を使います。

Yarn Berry

プライベートレジストリにのみアクセスするように Yarn Berry エコシステムを構成するには、以下の構成方法を使用できます。

方法 1

プライベートレジストリの構成を dependabot.yml ファイルで定義します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

注: 構成ファイルから replaces-base: true を削除します。

プライベートレジストリがプロジェクトの yarn.lock ファイルの依存関係ソースとして確実にリストされるようにするには、プライベートレジストリにアクセスできるマシンで yarn install を実行します。 Yarn によって、プライベートレジストリの URL を含むように resolved フィールドが更新されるはずです。

encoding@^0.1.11:
  version "0.1.13"
  resolved "https://private_registry_url/encoding/-/encoding-0.1.13.tgz#56574afdd791f54a8e9b2785c0582a2d26210fa9"
  integrity sha512-ETBauow1T35Y/WZMkio9jiM0Z5xjHHmJ4XmjZOq1l/dXz3lr2sRn87nJy20RupqSh1F2m3HHPSp8ShIPQJrJ3A==
  dependencies:
    iconv-lite "^0.6.2"

方法 2

yarn.lock ファイルでプライベートレジストリが依存関係ソースとしてリストされない場合は、通常のパッケージマネージャーの手順に従って Yarn Berry を設定できます。

プライベートレジストリの構成を dependabot.yml ファイルで定義します
キー npmRegistryServer を使って、プロジェクトルートにある .yarnrc.yml ファイルにレジストリを追加します。または、yarn config set npmRegistryServer <private registry URL> を実行します。 npmRegistryServer: "https://private_registry_url"

注: スコープ付き依存関係 (@my-org/my-dep) の場合、Dependabot では、プロジェクトの .yarnrc ファイルでプライベートレジストリが定義されている必要があります。個々のスコープのプライベートレジストリを定義するには、"@myscope:registry" "https://private_registry_url" を使います。

Nuget

Nuget エコシステムでプライベートレジストリへのアクセスのみを許可する場合は、dependabot.yml ファイルを構成できます。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

さらに、Nuget エコシステムでは、nuget.config ファイルをリポジトリにチェックインする必要があります。その際、nuget.config ファイルの <packageSources> セクションに < clear /> タグを設定するか、disabledPackageSources セクションでキー nuget.org を true に設定する必要があります。

次は、nuget.config の packageSources セクションの < clear /> タグの例です。

<?xml version="1.0" encoding="utf-8"?>
<configuration>
 <packageSources>
   < clear />
   <add key="example-nuget" value="https://private_registry_url/nuget/example-nuget/index.json" />
 </packageSources>
</configuration>

次は、nuget.config の disabledPackageSources セクションにキー nuget.org を true として追加する場合の例です

<?xml version="1.0" encoding="utf-8"?>
<configuration>
  <packageSources>
    <add key="example-nuget" value="https://private_registry_url/nuget/example-nuget/index.json" />
  </packageSources>
  <disabledPackageSources>
    <add key="nuget.org" value="true" />
  </disabledPackageSources>
</configuration>

プライベート "と" パブリックの両方のフィードにアクセスするように Dependabot を構成する方法については、次の dependabot.yml 例をご覧ください。registries の下で public フィードが構成されています。

version: 2
registries:
  nuget-example:
    type: nuget-feed
    url: https://nuget.example.com/v3/index.json
    username: $
    password: $
  public:
    type: nuget-feed
    url: https://api.nuget.org/v3/index.json
updates:
  - package-ecosystem: nuget
    directory: "/"
    registries: "*"
    schedule:
      interval: daily

Python

Pip、Pip-compile、Pipenv、Poetry が、Python エコシステムで現在サポートされている 4 つのパッケージマネージャーです。

pip

プライベートレジストリにのみアクセスするように Pip エコシステムを構成するには、以下の構成方法を使用できます。

方法 1

プライベートレジストリの構成を dependabot.yml ファイルで定義します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

注: 構成ファイルから replaces-base: true を削除します。

pip.conf ファイルの [global] セクションにプライベートレジストリの URL を追加し、リポジトリにファイルをチェックインします。

[global]
timeout = 60
index-url = https://private_registry_url

方法 2

dependabot.yml ファイルで replaces-base を true として設定します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

Pip-compile

プライベートレジストリにのみアクセスするように Pip-compile エコシステムを構成するには、以下の構成方法を使用できます。

方法 1

dependabot.yml ファイルで replaces-base を true として設定します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

方法 2

プライベートレジストリの構成を dependabot.yml ファイルで定義します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

注: 構成ファイルから replaces-base: true を削除します。

requirements.txt ファイルにプライベートレジストリの URL を追加し、リポジトリにファイルをチェックインします。

--index-url https://private_registry_url

Pipenv

プライベートレジストリにのみアクセスするように Pipenv を構成するには、dependabot.yml ファイルから replaces-base を削除します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

注: 構成ファイルから replaces-base: true を削除します。

Pipfile ファイルの [[source]] セクションにプライベートレジストリの URL を追加し、リポジトリにファイルをチェックインします。

[[source]]
url = "https://private_registry_url"
verify_ssl = true
name = "pypi"

Poetry

プライベートレジストリにのみアクセスするように Poetry を構成するには、dependabot.yml ファイルで replaces-base を true として構成します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

pyproject.toml ファイルの [[tool.poetry.source]] セクションにプライベートレジストリの url を追加し、リポジトリにチェックインします。

[[tool.poetry.source]]
name = "private"
url = "https://private_registry_url"
default = true

パブリックレジストリへの Dependabot アクセスの削除

この機能を使用できるユーザーについて

この記事の内容

プライベートレジストリにのみアクセスするように Dependabot を構成する方法について

Bundler

Docker

Gradle

Maven

ノード

npm

Yarn

Yarn Classic

Yarn Berry

Nuget

Python

pip

Pip-compile

Pipenv

Poetry

パブリック レジストリへの Dependabot アクセスの削除

この機能を使用できるユーザーについて

この記事の内容

パブリックレジストリへの Dependabot アクセスの削除