Dependabot アラートの構成

脆弱性のある依存関係の Dependabot alerts

脆弱性とは、プロジェクトあるいはそのコードを利用する他のプロジェクトにおいて、秘密性、一貫性、可用性を損なうために悪用されうる、プロジェクトコードの問題です。 脆弱性の種類、重要度、攻撃の方法は様々です。

GitHub Advisory Database に新しいアドバイザリが追加されたとき、またはリポジトリの依存関係グラフが変更されたとき、Dependabot によってコードがスキャンされます。 脆弱な依存関係が検出されると、Dependabot alertsが生成されます。 詳しくは、「Dependabot アラートについて」をご覧ください。

Dependabot security updatesをリポジトリに対して有効にしている場合、アラートには、脆弱性を解決する最小バージョンにマニフェストまたはロック ファイルを更新する pull request へのリンクも含まれる場合があります。 詳しくは、「Dependabot のセキュリティ アップデート」を参照してください。

次の場合、Dependabot alerts を有効か無効にできます。

• 個人アカウント
• リポジトリ
• Organization
• Enterprise

さらに、Dependabot 自動トリアージ ルール を使用してアラートを大規模に管理できるため、アラートを自動的に閉じたりスヌーズしたりして、pull requestを開く Dependabot アラートを指定できます。 さまざまな種類の自動トリアージ ルールと、およびリポジトリが適格かどうかについては、「Dependabot 自動トリアージ ルールについて」を参照してください。

個人アカウントの Dependabot alerts の管理

個人アカウントが所有するすべてのリポジトリの Dependabot alerts を有効か無効にできます。

既存のリポジトリに対する Dependabot alerts の有効化または無効化

1. GitHub で、任意のページの右上隅にある自分のプロフィール写真をクリックしてから、 [設定] をクリックします。
2. サイドバーの [Security] セクションで、[ Code security] をクリックします。
3. [Code security] で、Dependabot alerts の右側にある [Disable all] または [Enable all] をクリックします。
4. 必要に応じて、作成した新しいリポジトリで Dependabot alerts を既定で有効にするには、ダイアログ ボックスで [新しいリポジトリに対して既定で有効にする] を選びます。
5. [Dependabot alertsを無効にする] か [Dependabot alertsを有効にする] をクリックすると、所有しているすべてのリポジトリに対して Dependabot alerts を無効か有効にすることができます。

既存のリポジトリに対して Dependabot alerts を有効にすると、数分以内に GitHub に結果が表示されるようになります。

新規リポジトリに対する Dependabot alerts の有効化または無効化

1. GitHub で、任意のページの右上隅にある自分のプロフィール写真をクリックしてから、 [設定] をクリックします。
2. サイドバーの [Security] セクションで、[ Code security] をクリックします。
3. [Code security] で、Dependabot alerts の右側にある [Automatically enable for new repositories] を選びます。

リポジトリの Dependabot alerts の管理

パブリック、プライベート、または内部リポジトリの Dependabot alerts を管理できます。

既定では、新しいDependabot alertsに関して影響を受けるリポジトリに書き込み、保持、管理権限を持っている人に通知を行います。 GitHub Enterprise Cloud は、どのようなリポジトリについても、安全でない依存関係を公表することはありません。 Dependabot alerts を、自分が所有または管理者権限を持っているリポジトリで作業している追加のユーザーやチームに表示することもできます。

セキュリティ機能と分析機能を有効にした場合、GitHub はリポジトリで読み取り専用分析を実行します。

リポジトリに対する Dependabot alerts の有効化および無効化

1. GitHub で、リポジトリのメイン ページに移動します。

2. リポジトリ名の下にある [設定] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウン メニューを選び、 [設定] をクリックします。

   

3. サイドバーの [Security] セクションで、[ Code security] をクリックします。

4. [Code security] の Dependabot alerts の右側で、アラートを有効にするには [Enable] を、アラートを無効にするには [Disable] をクリックします。

Organization の Dependabot alerts の管理

組織内のすべての対象リポジトリに対して、Dependabot alerts を有効にできます。 詳しくは、「大規模なセキュリティ機能の有効化について」をご覧ください。

Enterprise の Dependabot alerts の管理

Enterprise 内の Organization が所有する現在と将来のすべてのリポジトリに対して、Dependabot alerts を有効または無効にできます。 変更はすべてのリポジトリに影響します。

1. GitHub の右上隅にあるプロフィール写真をクリックします。
2. ご自分の環境に応じて、[Your enterprise] または [Your enterprises] をクリックし、表示するエンタープライズをクリックします。
3. ページの左側にある Enterprise アカウントのサイドバーで、 [設定] をクリックします。
4. 左側のサイドバーで、[Code security] をクリックします。
5. この [Dependabot] セクションの [Dependabot alerts] の右側にある [すべて無効にする] または [すべて有効にする] をクリックします。
6. 必要に応じて、 [Automatically enable for new repositories] (新しいリポジトリの場合は自動的に有効にする) を選ぶと、Organization の新しいリポジトリで Dependabot alerts が既定で有効になります。