パブリックレジストリへの Dependabot アクセスの削除

プライベートレジストリにのみアクセスするように Dependabot を構成する方法について

Dependabot を使うと、既定でパブリックレジストリにアクセスできます。また、プライベートレジストリにアクセスできるように Dependabot を構成することもできます。プライベートレジストリのサポートと構成について詳しくは、「Dependabot のプライベートレジストリへのアクセスの構成」をご覧ください。使用可能なオプションの詳細と、プライベートレジストリを構成するときの推奨事項とアドバイスについては、「Dependabot のプライベートレジストリの構成に関するガイダンス」を参照してください。

プライベートレジストリと内部ネットワークリソースへの Dependabot のアクセスをより詳細に制御するには、Dependabot を GitHub Actions セルフホステッドランナーで実行するように構成します。詳細については、「GitHub Actions ランナーの Dependabot について」および「セルフホステッドランナーでの Dependabot の管理」を参照してください。

パブリックレジストリへの呼び出しを削除することでプライベートレジストリに "のみ" アクセスするように Dependabot を構成できます。__ このような構成は、この記事に記載されているエコシステムに対してのみ行えます。

Bundler

プライベートレジストリにのみアクセスするように Bundler エコシステムを構成するには、dependabot.yml ファイルで replaces-base を true として設定できます。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

Bundler エコシステムでは、さらに、プライベートレジストリの URL を含む Gemfile ファイルをリポジトリにチェックインする必要があります。

# Example Gemfile

 source "https://private_registry_url"

Docker

プライベートレジストリにのみアクセスするように Docker エコシステムを構成するには、以下の構成方法を使用できます。

方法 1

プライベートレジストリの構成を dependabot.yml ファイルで replaces-base を使わずに定義します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

注: replaces-base: trueから構成ファイルを削除してください。

version: 2
registries:
  azuretestregistry: # Define access for a private registry
    type: docker-registry
    url: firewallregistrydep.azurecr.io
    username: firewallregistrydep
    password: ${{ secrets.AZUREHUB_PASSWORD }}

Dockerfile ファイルに、イメージ名を IMAGE[:TAG] の形式で追加します。ここで、IMAGE はご自分のユーザー名とリポジトリの名前で構成されます。

 FROM firewallregistrydep.azurecr.io/myreg/ubuntu:22.04

方法 2

dependabot.yml ファイルで replaces-base を true として設定します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。 replaces-base を使って構成されたレジストリは、ミラーまたはプルスルーキャッシュとして使用できます。詳細については、Docker ドキュメントの「Registry as a pull through cache (プルスルーキャッシュとしてのレジストリ)」を参照してください。

Gradle

プライベートレジストリにのみアクセスするように Gradle エコシステムを構成するには、以下の構成方法を使用できます。

プライベートレジストリの構成を dependabot.yml ファイルで定義します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

注: 構成ファイルから replaces-base: true を削除してください。

さらに、build.gradle ファイルの repositories セクションでプライベートレジストリの URL を指定する必要もあります。

# Example build.gradle file

repositories {
    maven {
        url "https://private_registry_url"
    }
}

Maven

プライベートレジストリにのみアクセスするように Maven エコシステムを構成するには、以下の構成方法を使用できます。

方法 1

dependabot.yml ファイルで replaces-base を true として設定します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

方法 2

pom.xml ファイルでプライベートレジストリの URL のみを使います。

<project>
...
 <repositories>
  <repository>
    <id>central</id>
    <name>your custom repo</name>
    <url>https://private_registry_url</url>
 </repository>
...
</project>

ノード

npm

プライベートレジストリにのみアクセスするように npm エコシステムを構成するには、以下の構成方法を使用できます。

方法 1

プライベートレジストリの構成を dependabot.yml ファイルで定義します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

注: replaces-base: trueから構成ファイルを削除してください。

npm エコシステムでは、さらに、プライベートレジストリの URL を含む .npmrc ファイルをリポジトリにチェックインする必要があります。

 registry=https://private_registry_url

方法 2

.npmrc ファイルにグローバルレジストリが定義されていない場合は、dependabot.yml ファイルで replaces-base を true として設定できます。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

注: スコープ付き依存関係 (@my-org/my-dep) の場合、Dependabot では、プロジェクトの .npmrc ファイルでプライベートレジストリが定義されている必要があります。個々のスコープのプライベートレジストリを定義するには、@myscope:registry=https://private_registry_url を使います。

Yarn

Yarn Classic と Yarn Berry のプライベートレジストリはどちらも Dependabot でサポートされていますが、プライベートレジストリにのみアクセスするには、Dependabot ではエコシステムごとに異なる構成が必要です。

Yarn Classic

プライベートレジストリにのみアクセスするように Yarn Classic エコシステムを構成するには、以下の構成方法を使用できます。

方法 1

プライベートレジストリの構成を dependabot.yml ファイルで定義します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

注: 構成ファイルから replaces-base: true を削除します。

プライベートレジストリがプロジェクトの yarn.lock ファイルの依存関係ソースとして確実にリストされるようにするには、プライベートレジストリにアクセスできるマシンで yarn install を実行します。 Yarn によって、プライベートレジストリの URL を含むように resolved フィールドが更新されるはずです。

encoding@^0.1.11:
  version "0.1.13"
  resolved "https://private_registry_url/encoding/-/encoding-0.1.13.tgz#56574afdd791f54a8e9b2785c0582a2d26210fa9"
  integrity sha512-ETBauow1T35Y/WZMkio9jiM0Z5xjHHmJ4XmjZOq1l/dXz3lr2sRn87nJy20RupqSh1F2m3HHPSp8ShIPQJrJ3A==
  dependencies:
    iconv-lite "^0.6.2"

方法 2

yarn.lock ファイルでプライベートレジストリが依存関係ソースとしてリストされない場合は、通常のパッケージマネージャーの手順に従って Yarn Classic を設定できます。

プライベートレジストリの構成を dependabot.yml ファイルで定義します
キー registry を使って、プロジェクトルートにある .yarnrc ファイルにレジストリを追加します。または、yarn config set registry <private registry URL> を実行します。
```
registry https://private_registry_url
```

オプション 3

.yarnrc ファイルにグローバルレジストリが定義されていない場合は、dependabot.yml ファイルで replaces-base を true として設定できます。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

Yarn Berry

プライベートレジストリにのみアクセスするように Yarn Berry エコシステムを構成するには、以下の構成方法を使用できます。

方法 1

プライベートレジストリの構成を dependabot.yml ファイルで定義します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

注: 構成ファイルから replaces-base: true を削除します。

encoding@^0.1.11:
  version "0.1.13"
  resolved "https://private_registry_url/encoding/-/encoding-0.1.13.tgz#56574afdd791f54a8e9b2785c0582a2d26210fa9"
  integrity sha512-ETBauow1T35Y/WZMkio9jiM0Z5xjHHmJ4XmjZOq1l/dXz3lr2sRn87nJy20RupqSh1F2m3HHPSp8ShIPQJrJ3A==
  dependencies:
    iconv-lite "^0.6.2"

方法 2

yarn.lock ファイルでプライベートレジストリが依存関係ソースとしてリストされない場合は、通常のパッケージマネージャーの手順に従って Yarn Berry を設定できます。

プライベートレジストリの構成を dependabot.yml ファイルで定義します
キー npmRegistryServer を使って、プロジェクトルートにある .yarnrc.yml ファイルにレジストリを追加します。または、yarn config set npmRegistryServer <private registry URL> を実行します。 npmRegistryServer: "https://private_registry_url"

注: スコープ付き依存関係 (@my-org/my-dep) の場合、Dependabot では、プロジェクトの .yarnrc ファイルでプライベートレジストリが定義されている必要があります。個々のスコープのプライベートレジストリを定義するには、"@myscope:registry" "https://private_registry_url" を使います。

Nuget

Nuget エコシステムでプライベートレジストリへのアクセスのみを許可する場合は、dependabot.yml ファイルを構成できます。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

さらに、Nuget エコシステムでは、nuget.config ファイルをリポジトリにチェックインする必要があります。その際、nuget.config ファイルの <packageSources> セクションに < clear /> タグを設定するか、disabledPackageSources セクションでキー nuget.org を true に設定する必要があります。

次は、nuget.config の packageSources セクションの < clear /> タグの例です。

<?xml version="1.0" encoding="utf-8"?>
<configuration>
 <packageSources>
   < clear />
   <add key="example-nuget" value="https://private_registry_url/nuget/example-nuget/index.json" />
 </packageSources>
</configuration>

次は、nuget.config の disabledPackageSources セクションにキー nuget.org を true として追加する場合の例です

<?xml version="1.0" encoding="utf-8"?>
<configuration>
  <packageSources>
    <add key="example-nuget" value="https://private_registry_url/nuget/example-nuget/index.json" />
  </packageSources>
  <disabledPackageSources>
    <add key="nuget.org" value="true" />
  </disabledPackageSources>
</configuration>

プライベート "と" パブリックの両方のフィードにアクセスするように Dependabot を構成する方法については、次の dependabot.yml 例をご覧ください。registries の下で public フィードが構成されています。

version: 2
registries:
  nuget-example:
    type: nuget-feed
    url: https://nuget.example.com/v3/index.json
    username: $
    password: $
  public:
    type: nuget-feed
    url: https://api.nuget.org/v3/index.json
updates:
  - package-ecosystem: nuget
    directory: "/"
    registries: "*"
    schedule:
      interval: daily

Python

Pip、Pip-compile、Pipenv、Poetry が、Python エコシステムで現在サポートされている 4 つのパッケージマネージャーです。

pip

プライベートレジストリにのみアクセスするように Pip エコシステムを構成するには、以下の構成方法を使用できます。

方法 1

プライベートレジストリの構成を dependabot.yml ファイルで定義します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

注: 構成ファイルから replaces-base: true を削除します。

pip.conf ファイルの [global] セクションにプライベートレジストリの URL を追加し、リポジトリにファイルをチェックインします。

[global]
timeout = 60
index-url = https://private_registry_url

方法 2

dependabot.yml ファイルで replaces-base を true として設定します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

Pip-compile

プライベートレジストリにのみアクセスするように Pip-compile エコシステムを構成するには、以下の構成方法を使用できます。

方法 1

dependabot.yml ファイルで replaces-base を true として設定します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

方法 2

プライベートレジストリの構成を dependabot.yml ファイルで定義します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

注: 構成ファイルから replaces-base: true を削除します。

requirements.txt ファイルにプライベートレジストリの URL を追加し、リポジトリにファイルをチェックインします。

--index-url https://private_registry_url

Pipenv

プライベートレジストリにのみアクセスするように Pipenv を構成するには、dependabot.yml ファイルから replaces-base を削除します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

注: 構成ファイルから replaces-base: true を削除します。

Pipfile ファイルの [[source]] セクションにプライベートレジストリの URL を追加し、リポジトリにファイルをチェックインします。

[[source]]
url = "https://private_registry_url"
verify_ssl = true
name = "pypi"

Poetry

プライベートレジストリにのみアクセスするように Poetry を構成するには、dependabot.yml ファイルで replaces-base を true として構成します。詳しくは、「dependabot.yml ファイルの構成オプション」を参照してください。

pyproject.toml ファイルの [[tool.poetry.source]] セクションにプライベートレジストリの url を追加し、リポジトリにチェックインします。

[[tool.poetry.source]]
name = "private"
url = "https://private_registry_url"
default = true

パブリックレジストリへの Dependabot アクセスの削除

この機能を使用できるユーザーについて

この記事の内容

プライベートレジストリにのみアクセスするように Dependabot を構成する方法について

Bundler

Docker

Gradle

Maven

ノード

npm

Yarn

Yarn Classic

Yarn Berry

Nuget

Python

pip

Pip-compile

Pipenv

Poetry

パブリック レジストリへの Dependabot アクセスの削除

この機能を使用できるユーザーについて

この記事の内容

パブリックレジストリへの Dependabot アクセスの削除