Настройка Dependabot для работы с ограниченным доступом к Интернету

О Dependabot новостях

Вы можете исправлять Dependabot updates уязвимости и поддерживать обновление зависимостей до последней версии в GitHub Enterprise Server. Dependabot updates Требуются GitHub Actions с самостоятельными размещёнными бегунами, настроенными для Dependabot использования. Dependabot Уведомления и обновления безопасности используют информацию из GitHub Advisory Database доступа с помощью GitHub Connect. Дополнительные сведения см. в разделе [AUTOTITLE и Управление локальными средствами выполнения для обновлений Dependabot в вашем предприятии](/admin/configuration/configuring-github-connect/enabling-dependabot-for-your-enterprise).

          Dependabot может получить доступ к общедоступным реестрам по умолчанию, и вы можете настроить Dependabot для доступа к частным реестрам. В качестве альтернативы, если у вашего экземпляра ограниченный или отсутствует доступ к интернету, вы можете настроить Dependabot использовать только приватные реестры в качестве источника безопасности и обновления версий. Сведения о том, какие экосистемы поддерживаются как частные реестры, см. в разделе [AUTOTITLE](/code-security/dependabot/maintain-dependencies/removing-dependabot-access-to-public-registries#about-configuring-dependabot-to-only-access-private-registries).

Инструкции ниже предполагают, что нужно настраивать Dependabot бегущие с такими ограничениями.

• Нет доступа к Интернету.
• Доступ к ограниченным внутренним ресурсам, таким как частные реестры для Dependabot.

Ограничение доступа в интернет для Dependabot бегунов

Перед настройкой Dependabotустановите Docker на ваш самостоятельный Runner. Дополнительные сведения см. в разделе Управление локальными средствами выполнения для обновлений Dependabot в вашем предприятии.

1. На , перейдите GitHub Enterprise Serverв github/dependabot-action репозиторий и получите информацию о dependabot-updater изображениях контейнера dependabot-proxy из containers.json файла.

   Каждый релиз GitHub Enterprise Server включает обновлённый containers.json файл по адресу: https://HOSTNAME/github/dependabot-action/blob/ghes-VERSION/docker/containers.json. Вы можете посмотреть GitHub.com версию файла по адресу: containers.json.

2. Заранее загрузите все изображения контейнеров из этого GitHubContainer registry на раннер Dependabot с помощью docker pull команды. В качестве альтернативы предварительно загрузите dependabot-proxy образ, а затем заранее поставьте только образы контейнеров для нужных вам экосистем.

   Например, чтобы поддерживать npm, GitHub Actions вы можете использовать следующие команды, скопируя детали изображений для загрузки из containers.json файла, чтобы убедиться, что у вас правильная версия и SHA для каждого изображения.

   docker pull ghcr.io/github/dependabot-update-job-proxy/dependabot-update-job-proxy:VERSION@SHA
   docker pull ghcr.io/dependabot/dependabot-updater-github-actions:VERSION@SHA
   docker pull ghcr.io/dependabot/dependabot-updater-npm:VERSION@SHA
   

   Примечание.

   Вам придётся повторить этот шаг при обновлении до новой минорной версии GitHub Enterprise Server, или при ручном обновлении Dependabot действия из GitHub.com. Дополнительные сведения см. в разделе Ручная синхронизация действий из GitHub.com.

3. Когда вы завершите добавление этих изображений в Runner, вы готовы ограничить доступ в интернет для Runner Dependabot , чтобы он по-прежнему мог получать доступ к вашим личным реестрам для нужных экосистем и для GitHub Enterprise Server.

   Сначала нужно добавить изображения, потому что Dependabot бегуны тянут dependabot-updater и dependabot-proxy начинают DependabotGitHubContainer registry выполнять задачи.

Проверка конфигурации Dependabot бегуней

1. Для тестового репозитория настройте Dependabot доступ к частным реестрам и удалите доступ к публичным реестрам. Дополнительные сведения см. в разделе [AUTOTITLE и Настройка доступа к частным реестрам для Dependabot](/code-security/dependabot/maintain-dependencies/removing-dependabot-access-to-public-registries).

2. На вкладке "Аналитика" репозитория щелкните граф зависимостей, чтобы отобразить сведения о зависимостях.

3. Нажмите, Dependabot чтобы отобразить экосистемы, настроенные для обновления версий.

4. Для экосистем, которые требуется протестировать, нажмите кнопку "Последнее проверенное время назад ", чтобы отобразить представление "Обновить журналы".

5. Нажмите кнопку " Проверить наличие обновлений ", чтобы проверить наличие новых обновлений для этой экосистемы.

Когда проверка обновлений завершена, нужно проверить просмотр «Журналы обновлений», чтобы убедиться, что Dependabot вы получили доступ к настроенным приватным реестрам вашего экземпляра и проверите обновления версий.

После того как вы убедитесь, что конфигурация корректна, попросите администраторов репозитория обновить свои Dependabot конфигурации для использования только приватных реестров. Дополнительные сведения см. в разделе Удаление доступа Dependabot к общедоступным реестрам.