Configuración de Dependabot para funcionar con un acceso limitado a Internet

Acerca de Dependabot las actualizaciones

Puede usar Dependabot updates para corregir vulnerabilidades y mantener las dependencias actualizadas a la versión más reciente de GitHub Enterprise Server. Dependabot updates requerir GitHub Actions con ejecutores autohospedados configurados para Dependabot su uso. Dependabot las alertas y las actualizaciones de seguridad usan información del GitHub Advisory Database acceso mediante GitHub Connect. Para más información, consulta Administrar ejecutores autohospedados para actualizaciones del Dependabot en su empresa y Habilitación de Dependabot para la empresa.

          Dependabot puede acceder a los registros públicos de forma predeterminada, pero puedes configurar Dependabot para que acceda a los privados también. Como alternativa, si la instancia tiene acceso limitado o no a Internet, puede configurar Dependabot para usar solo registros privados como origen para las actualizaciones de seguridad y versión. Para obtener información sobre qué ecosistemas se admiten como registros privados, consulte [AUTOTITLE](/code-security/dependabot/maintain-dependencies/removing-dependabot-access-to-public-registries#about-configuring-dependabot-to-only-access-private-registries).

En las instrucciones siguientes se supone que debe configurar Dependabot los ejecutores con las siguientes limitaciones.

• No hay acceso a Internet.
• Acceso a recursos internos limitados, como registros privados para Dependabot.

Restricción del acceso a Internet para Dependabot los ejecutores

Antes de configurar Dependabot, instale Docker en el ejecutor autohospedado. Para más información, consulta Administrar ejecutores autohospedados para actualizaciones del Dependabot en su empresa.

1. En GitHub Enterprise Server, vaya al github/dependabot-action repositorio y recupere información sobre las dependabot-updater imágenes de contenedor y dependabot-proxy del containers.json archivo .

   Cada versión de GitHub Enterprise Server incluye un archivo actualizado containers.json en: https://HOSTNAME/github/dependabot-action/blob/ghes-VERSION/docker/containers.json. Puede ver la GitHub.com versión del archivo en: containers.json.

2. Precargue todas las imágenes de contenedor desde GitHubContainer registry en el Dependabot ejecutor mediante el docker pull comando . Como alternativa, precargue la dependabot-proxy imagen y, a continuación, precargue solo las imágenes de contenedor para los ecosistemas que necesite.

   Por ejemplo, para admitir npm y GitHub Actions podría usar los siguientes comandos, copiando los detalles de las imágenes que se van a cargar desde el containers.json archivo para asegurarse de que tiene la versión correcta y SHA para cada imagen.

   docker pull ghcr.io/github/dependabot-update-job-proxy/dependabot-update-job-proxy:VERSION@SHA
   docker pull ghcr.io/dependabot/dependabot-updater-github-actions:VERSION@SHA
   docker pull ghcr.io/dependabot/dependabot-updater-npm:VERSION@SHA
   

   Nota:

   Deberá repetir este paso al actualizar a una nueva versión secundaria de GitHub Enterprise Server, o si actualiza manualmente la Dependabot acción desde GitHub.com. Para más información, consulta Sincronización manual de acciones desde GitHub.com.

3. Cuando haya terminado de agregar estas imágenes al ejecutor, estará listo para restringir el Dependabot acceso a Internet al ejecutor, asegurándose de que todavía puede acceder a sus registros privados para los ecosistemas necesarios y para GitHub Enterprise Server.

   Debe agregar primero las imágenes porque Dependabot los ejecutores extraen dependabot-updater y dependabot-proxy desde cuándo GitHubContainer registryDependabot comienzan a ejecutarse los trabajos.

Comprobación de la configuración de Dependabot los ejecutores

1. Para un repositorio de pruebas, configure Dependabot para acceder a registros privados y quitar el acceso a los registros públicos. Para más información, consulta Configuración del acceso a registros privados para Dependabot y Eliminación del acceso de Dependabot a registros públicos.

2. En la pestaña Datos del repositorio, haz clic en Gráfico de dependencias para ver los detalles de las dependencias.

3. Haga clic Dependabot para mostrar los ecosistemas configurados para las actualizaciones de versión.

4. Con respecto a los ecosistemas que quieras comprobar, haz clic en Comprobado por última vez hace TIEMPO para abrir la vista "Registros de actualización".

5. Haz clic en Buscar actualizaciones para buscar las nuevas actualizaciones de las dependencias de ese ecosistema.

Una vez completada la comprobación de actualizaciones, debe comprobar la vista "Registros de actualización" para comprobar que Dependabot se ha accedido a los registros privados configurados en la instancia para comprobar si hay actualizaciones de versiones.

Después de comprobar que la configuración es correcta, pida a los administradores del repositorio que actualicen sus Dependabot configuraciones solo para que usen registros privados. Para más información, consulta Eliminación del acceso de Dependabot a registros públicos.