{"meta":{"title":"Dependabot セキュリティの更新の構成","intro":"Dependabot security updatesまたは手動のプル要求を使用して、脆弱な依存関係を簡単に更新できます。","product":"セキュリティとコードの品質","breadcrumbs":[{"href":"/ja/code-security","title":"セキュリティとコードの品質"},{"href":"/ja/code-security/how-tos","title":"やり方"},{"href":"/ja/code-security/how-tos/secure-your-supply-chain","title":"サプライチェーンをセキュリティで保護する"},{"href":"/ja/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies","title":"依存関係をセキュリティ保護する"},{"href":"/ja/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/configuring-dependabot-security-updates","title":"セキュリティ更新プログラムの構成"}],"documentType":"article"},"body":"# Dependabot セキュリティの更新の構成\n\nDependabot security updatesまたは手動のプル要求を使用して、脆弱な依存関係を簡単に更新できます。\n\n\n\n## リポジトリの Dependabot security updates の管理\n\n個人アカウントまたは組織が所有するすべての適格なリポジトリに対して、 Dependabot security updates を有効または無効にすることができます。詳細については、「[セキュリティと分析機能の管理](/ja/account-and-profile/setting-up-and-managing-your-personal-account-on-github/managing-personal-account-settings/managing-security-and-analysis-settings-for-your-personal-account)」または「[組織のセキュリティおよび分析設定を管理する](/ja/organizations/keeping-your-organization-secure/managing-security-settings-for-your-organization/managing-security-and-analysis-settings-for-your-organization)」を参照してください。\n\n個々のリポジトリの Dependabot security updates を有効または無効にすることもできます。\n\n### 個々のリポジトリの Dependabot security updates の有効化または無効化\n\n1. GitHub で、リポジトリのメインページに移動します。\n2. リポジトリ名の下にある ** \\[Settings]** をクリックします。 \\[設定] タブが表示されない場合は、 **\\[]** ドロップダウンメニューを選び、 **\\[設定]** をクリックします。\n\n ![タブを示すリポジトリヘッダーのスクリーンショット。 \\[設定\\] タブが濃いオレンジ色の枠線で強調表示されています。](/assets/images/help/repository/repo-actions-settings.png)\n3. サイドバーの \\[Security] セクションで、**\\[ Advanced Security]** をクリックします。\n4. \\[セキュリティ更新プログラムのDependabot ] の右側にある \\[ **有効]** をクリックして機能を有効にするか **、\\[無効]** をクリックして無効にします。\n パブリックリポジトリの場合、この機能が常に有効になっている場合、ボタンは無効になります。\n\n##\n\n```\n Dependabot security updatesを 1 つのプル要求にグループ化する\n```\n\nグループ化されたセキュリティ更新プログラムを使用するには、まず次の機能を有効にする必要があります。\n\n* **依存関係グラフ**。詳しくは、「[依存関係グラフの有効化](/ja/code-security/supply-chain-security/understanding-your-software-supply-chain/configuring-the-dependency-graph)」をご覧ください。\n\n***\n\n```\n Dependabot alerts\n **. 詳しくは、「[AUTOTITLE](/code-security/dependabot/dependabot-alerts/configuring-dependabot-alerts)」をご覧ください。\n```\n\n***\n\n```\n Dependabot security updates\n **. 詳しくは、「[AUTOTITLE](/code-security/dependabot/dependabot-security-updates/configuring-dependabot-security-updates)」をご覧ください。\n```\n\n> \\[!NOTE]\n> グループ化されたセキュリティ更新プログラムが最初に有効になると、 Dependabot はすぐにグループ化されたプル要求の作成を試みます。古い pull request を閉じて新しい pull request を開く Dependabot に気付く場合があります。\n\nDependabot security updates のグループ化された pull request は、以下の方法のいずれかまたは両方で有効にすることができます。\n\n* 使用できるセキュリティ更新プログラムをディレクトリ間やエコシステムごとにできるだけ多くグループ化するには、リポジトリ、または organization の \\[Advanced Security] の \\[Global settings] の \\[Advanced Security] 設定でグループ化を有効にします。\n* パッケージ名、開発と運用の依存関係、SemVer レベル、複数のディレクトリにわたるエコシステムごとによるグループ化など、グループ化をより細かく制御するには、リポジトリの `dependabot.yml` 構成ファイルに構成オプションを追加します。\n\n> \\[!NOTE]\n> `dependabot.yml` ファイル内で Dependabot security updates のグループルールを構成した場合、使用できるすべての更新は、指定したルールに従ってグループ化されます。 Dependabot は、Organization またはリポジトリレベルでグループ化されたセキュリティアップデートの設定も有効になっている場合、`dependabot.yml` で構成されていないディレクトリ間でのみグループ化されます。\n\n### 個々のリポジトリのグループ化された Dependabot security updates の有効化または無効化\n\n1. GitHub で、リポジトリのメインページに移動します。\n2. リポジトリ名の下にある ** \\[Settings]** をクリックします。 \\[設定] タブが表示されない場合は、 **\\[]** ドロップダウンメニューを選び、 **\\[設定]** をクリックします。\n\n ![タブを示すリポジトリヘッダーのスクリーンショット。 \\[設定\\] タブが濃いオレンジ色の枠線で強調表示されています。](/assets/images/help/repository/repo-actions-settings.png)\n3. サイドバーの \\[Security] セクションで、**\\[ Advanced Security]** をクリックします。\n4. \\[グループ化されたセキュリティ更新プログラム] の右側にある \\[Dependabot] で、\\[ **有効]** をクリックして機能を有効にするか **、\\[無効にする]** をクリックして無効にします。\n\n### 組織のグループ化された Dependabot security updates を有効または無効にする\n\n```\n グループ化された Dependabot security updates を 1 つのプル要求に有効にすることができます。詳しくは、「[AUTOTITLE](/code-security/securing-your-organization/enabling-security-features-in-your-organization/configuring-global-security-settings-for-your-organization#grouping-dependabot-security-updates)」をご覧ください。\n```\n\n## 構成ファイルを使用した既定の動作のオーバーライド\n\n```\n Dependabot security updates ファイルをリポジトリに追加することで、`dependabot.yml`の既定の動作をオーバーライドできます。 \n `dependabot.yml` ファイルを使用すると、グループ化をより細かく制御し、Dependabot security updates設定の既定の動作をオーバーライドできます。\n\n `groups` オプションを`applies-to: security-updates` キーと共に使用して依存関係のセット (パッケージマネージャーごと) を作成し、Dependabot複数の依存関係を同時に更新する 1 つのプル要求を開きます。パッケージ名 (`patterns` や `exclude-patterns` キー)、依存関係の種類 (`dependency-type` キー)、SemVer (`update-types` キー) でグループを定義できます。\n```\n\nDependabot は、`dependabot.yml` ファイルに表示される順序でグループを作成します。依存関係の更新が複数のグループに属している可能性がある場合、一致する最初のグループにのみ割り当てられます。\n\n```\n _セキュリティ_更新プログラムのみを必要とし、_バージョン_更新プログラムを除外する場合は、特定の `open-pull-requests-limit` のバージョン更新プログラムを防ぐために `0` を `package-ecosystem` に設定できます。\n```\n\nセキュリティ更新プログラムで使用可能な構成オプションについて詳しくは、「[Dependabot セキュリティ更新プログラム用に pull request をカスタマイズする](/ja/code-security/dependabot/dependabot-security-updates/customizing-dependabot-security-prs)」をご覧ください。\n\n```yaml copy\n# Example configuration file that:\n# - Has a private registry\n# - Ignores lodash dependency\n# - Disables version-updates\n# - Defines a group by package name, for security updates for golang dependencies\n\nversion: 2\nregistries:\n example:\n type: npm-registry\n url: https://example.com\n token: ${{secrets.NPM_TOKEN}}\nupdates:\n - package-ecosystem: \"npm\"\n directory: \"/src/npm-project\"\n schedule:\n interval: \"daily\"\n # For Lodash, ignore all updates\n ignore:\n - dependency-name: \"lodash\"\n # Disable version updates for npm dependencies\n open-pull-requests-limit: 0\n registries:\n - example\n - package-ecosystem: \"gomod\"\n directories:\n - \"**/*\"\n schedule:\n interval: \"weekly\"\n open-pull-requests-limit: 0\n groups:\n golang:\n applies-to: security-updates\n patterns:\n - \"golang.org*\"\n```\n\n> \\[!NOTE]\n\n```\n Dependabotセキュリティ更新プログラムにこの構成を使用するには、`directory`がマニフェストファイルへのパスである必要があります (または、マニフェストファイルの場所に一致するパスまたは glob パターンを含める必要`directories`)。また、`target-branch`を指定しないでください。\n```\n\n## 詳細については、次を参照してください。\n\n* [Dependabot アラートについて](/ja/code-security/dependabot/dependabot-alerts/about-dependabot-alerts)\n* [Dependabot アラートの構成](/ja/code-security/dependabot/dependabot-alerts/configuring-dependabot-alerts)\n* [依存関係グラフがサポートされるパッケージエコシステム](/ja/code-security/supply-chain-security/understanding-your-software-supply-chain/dependency-graph-supported-package-ecosystems#supported-package-ecosystems)"}