업데이트 정보 Dependabot
취약성을 수정하고 종속성을 최신 버전으로 업데이트된 상태로 유지하는 데 사용할 Dependabot updates 수 있습니다 GitHub Enterprise Server. Dependabot updates 은 GitHub Actions 자체 호스팅 실행기를 사용하도록 설정 Dependabot 해야 합니다. Dependabot 경고 및 보안 업데이트는 .를 사용하여 액세스한 GitHub Advisory Database 정보를 사용합니다 GitHub Connect. 자세한 내용은 엔터프라이즈에서 Dependabot 업데이트를 위한 자체 호스트된 러너 관리 및 엔터프라이즈에 Dependabot 사용을(를) 참조하세요.
Dependabot은(는) 기본적으로 퍼블릭 레지스트리에 액세스할 수 있으며, 프라이빗 레지스트리에 액세스하도록 Dependabot을(를) 구성할 수 있습니다. 또는 인스턴스에 인터넷 액세스가 제한되거나 없는 경우 보안 및 버전 업데이트의 원본으로 프라이빗 레지스트리만 사용하도록 구성할 Dependabot 수 있습니다. 프라이빗 레지스트리로서 지원되는 에코시스템에 대한 자세한 내용은 [AUTOTITLE](/code-security/dependabot/maintain-dependencies/removing-dependabot-access-to-public-registries#about-configuring-dependabot-to-only-access-private-registries)에서 확인할 수 있습니다.
아래 지침에서는 다음과 같은 제한 사항으로 실행기를 설정 Dependabot 해야 한다고 가정합니다.
- 인터넷 액세스가 없습니다.
- 에 대한 프라이빗 레지스트리와 같은 제한된 내부 리소스에 대한 Dependabot액세스
실행기 인터넷 Dependabot 액세스 제한
구성 Dependabot하기 전에 자체 호스팅 실행기에서 Docker를 설치합니다. 자세한 내용은 엔터프라이즈에서 Dependabot 업데이트를 위한 자체 호스트된 러너 관리을(를) 참조하세요.
-
에서 GitHub Enterprise Server리포지토리로 이동하고
github/dependabot-action파일에서 컨테이너 이미지 및dependabot-proxy컨테이너 이미지에 대한dependabot-updater정보를 검색합니다containers.json.각 릴리스에는 GitHub Enterprise Server 다음에서
https://HOSTNAME/github/dependabot-action/blob/ghes-VERSION/docker/containers.json업데이트containers.json된 파일이 포함됩니다. 파일의 GitHub.com 버전은 containers.json. -
명령을 사용하여 모든 컨테이너 이미지를 GitHubContainer registry 실행기 Dependabot 로 미리 로드합니다.
docker pull또는 이미지를 미리 로드한dependabot-proxy다음 필요한 에코시스템에 대한 컨테이너 이미지만 미리 로드합니다.예를 들어 npm을 GitHub Actions 지원하려면 다음 명령을 사용하여 파일에서
containers.json로드할 이미지의 세부 정보를 복사하여 각 이미지에 대한 올바른 버전과 SHA가 있는지 확인할 수 있습니다.docker pull ghcr.io/github/dependabot-update-job-proxy/dependabot-update-job-proxy:VERSION@SHA docker pull ghcr.io/dependabot/dependabot-updater-github-actions:VERSION@SHA docker pull ghcr.io/dependabot/dependabot-updater-npm:VERSION@SHA참고
새 부 버전GitHub Enterprise Server으로 업그레이드하거나 작업을 GitHub.com수동으로 업데이트 Dependabot 하는 경우 이 단계를 반복해야 합니다. 자세한 내용은 GitHub.com 작업을 수동으로 동기화을(를) 참조하세요.
-
실행기에서 이러한 이미지를 추가했으면 실행기에서 인터넷 액세스를 제한하여 Dependabot 필요한 에코시스템에 대한 프라이빗 레지스트리에 GitHub Enterprise Server계속 액세스할 수 있도록 할 준비가 된 것입니다.
실행기에서 끌어오
dependabot-updater고 작업이 실행하기 시작할 때 Dependabot 이미지를Container registryGitHub먼저 Dependabot 추가해야dependabot-proxy합니다.
실행기의 Dependabot 구성 확인
-
테스트 리포지토리의 경우 프라이빗 레지스트리에 액세스하고 공용 레지스트리에 대한 액세스를 제거하도록 구성 Dependabot 합니다. 자세한 내용은 Dependabot에 대한 개인 레지스트리 액세스 구성 및 공용 레지스트리에 대한 Dependabot 액세스 제거을(를) 참조하세요.
-
리포지토리의 인사이트 탭에서 종속성 그래프를 클릭하여 종속성의 세부 정보를 표시합니다.
-
버전 업데이트에 대해 구성된 에코시스템을 표시하려면 클릭합니다 Dependabot .
-
테스트하려는 에코시스템에서 다음 시간 전에 마지막으로 확인을 클릭하여 "업데이트 로그" 보기를 표시합니다.
-
해당 에코시스템의 종속성에 대한 새 업데이트를 확인하려면 업데이트 확인을 클릭합니다.
업데이트 확인이 완료되면 "업데이트 로그" 보기를 확인하여 인스턴스에서 구성된 프라이빗 레지스트리에 액세스하여 버전 업데이트를 확인했는지 확인해야 Dependabot 합니다.
구성이 올바른지 확인한 후에는 리포지토리 관리자에게 프라이빗 레지스트리만 사용하도록 구성을 업데이트 Dependabot 하도록 요청합니다. 자세한 내용은 공용 레지스트리에 대한 Dependabot 액세스 제거을(를) 참조하세요.