Dependabot ランナーのGitHub Actionsについて
重要
リポジトリに対して Dependabot が有効になっている場合は、常に GitHub Actionsで実行され、 リポジトリまたは組織レベルでアクション ポリシーチェックと無効化の両方がバイパスされます。 これにより、Dependabot が有効になっているときは、常にセキュリティとバージョンの更新ワークフローが常に実行されるようになります。
GitHub Actions ランナーを使用すると、ジョブ エラーのDependabotをより簡単に特定し、失敗した実行を手動で検出してトラブルシューティングすることができます。 また、Dependabot API と Webhook を使用して、GitHub Actionsを CI/CD パイプラインに統合して、失敗した実行などのジョブの状態Dependabot検出し、ダウンストリーム処理を実行することもできます。 詳細については、「GitHub Actionsの REST API エンドポイント」および「Webhook のイベントとペイロード」を参照してください。
次のいずれかに該当する場合、ユーザー アカウントまたは組織で作成した新しいリポジトリは、標準のDependabotホストランナーを使用してGitHub ActionsでGitHubを実行するように自動的に構成されます。
- Dependabot がインストールされ、有効になり、 GitHub Actions が有効で使用中です。
- 組織で「Dependabot on GitHub Actions runners」設定が有効になっています。
GitHubの今後のリリースでは、Dependabotで実行中のGitHub Actionsを無効にする機能が削除されます。
メモ
DependabotでGitHub Actionsを有効にすると、アカウントで同時に実行されるジョブの数が増える可能性があります。 Enterprise プランのお客様は、必要に応じて、同時実行ジョブの上限を上げることを要求できます。 詳細については、 GitHub Support ポータルを通じてお問い合わせするか、営業担当者にお問い合わせください。
動的ワークフロー
DependabotでGitHub Actionsジョブを実行するには、ジョブごとに動的ワークフローを作成GitHub。 標準の GitHub Actions ワークフローとは異なり、動的ワークフローは特定の実行に対して生成され、リポジトリの .github/workflows ディレクトリには格納されません。
dynamic/dependabot/dependabot-updatesという名前のワークフロー実行が表示される場合や、(dynamic)が名前に追加されたチェック実行が表示される場合があります。 エラーまたは構成の問題をトラブルシューティングするには、リポジトリの [アクション] タブで、ワークフローの実行をフィルター処理して、 Dependabot 更新ジョブのみを表示し、ワークフロー実行を開いてログを表示します。
ランナー オプション
次を使用して、Dependabot上でGitHub Actionsを実行できます:
- 標準 GitHubホストランナー。 これらは、GitHub ジョブを実行するためにGitHub Actionsによって使用される既定のランナーです。
- より大きなランナー. これらは、より多くの RAM、CPU、ディスク領域などの高度な機能を備えた、 GitHubホストランナーです。 詳細については、「より大きなランナーの使用」を参照してください。
- セルフホステッド ランナー。 これらのランナーを使用すると、プライベート レジストリと内部ネットワーク リソースへの Dependabot アクセスをより詳細に制御できます。 セキュリティ上の理由から、セルフホステッド ランナーの Dependabot updates はパブリック リポジトリでは実行されないことに注意してください。 セルフホステッド ランナーへのラベルの割り当ての詳細については、「 セルフホステッド ランナーでの Dependabot の設定」を参照してください。
標準のDependabotホスト型ランナーまたはセルフホステッド ランナーでGitHubを実行しても、含まれる**** 分にはカウントGitHub Actions。 Dependabot 上の より大きなランナー (larger runner) については、GitHub は組織に通常料金を請求します。 「アクションズ ランナーの価格」を参照してください。
メモ
Dependabot 上の GitHub Actions については、Azure Virtual Network(VNET) またはActions Runner Controller (ARC) のいずれかを使用して、プライベート ネットワークがサポートされています。 「Actions Runner Controller を使ってセルフホステッド アクション ランナー上で動作するように Dependabot を設定する」と「Azure Private Network を使用して github でホストされるアクション ランナーで実行するように Dependabot を設定する」を参照してください。
ランナー設定の相互作用
Dependabotのランナーの種類は、組織レベルまたはリポジトリ レベルで選択できます。
- Standard GitHub ランナー では、既定の GitHubホスト環境が使用されます。
- ラベル付きランナーは 、構成されたラベルに一致するセルフホステッドまたは より大きなランナー (larger runner) にジョブを送信します。 ラベルを指定しない場合、 Dependabot は
dependabotラベルを使用します。 また、ランナー グループを指定して、ジョブをそのグループ内の一致するランナーに制限することもできます。
警告
指定したランナー グループが存在しない場合、 Dependabot はすぐにエラーを報告します。 グループが存在するが、構成されたラベルと一致するオンライン ランナーがグループ内に存在しない場合、ジョブは一致するランナーが使用可能になるまでキューに残ります。 リポジトリが指定したランナー グループにアクセスできることを確認します。
ラベル付きランナーは、パブリック リポジトリでは使用できません。 これらのリポジトリでは、標準の GitHubホストランナーが使用されます。
アクセスおよびアクセス許可
Dependabot ランナーでのGitHub Actionsの使用に移行し、組織またはリポジトリのプライベート リソースへのアクセスを制限する場合は、許可されている IP アドレスの一覧を更新する必要がある場合があります。 たとえば、現在、プライベート リソースへのアクセスを、 Dependabot が使用する IP アドレスに制限している場合は、meta API エンドポイントから取得した GitHubホストランナーの IP アドレスを使用するように許可リストを更新する必要があります。 詳細については、「メタデータ用 REST API エンドポイント」を参照してください。
企業からのアクションと再利用可能なワークフローのみを許可するポリシーを適用し、DependabotでGitHub Actionsを有効にすると、Dependabotは実行されません。 エンタープライズ アクションと再利用可能なワークフローで Dependabot を実行できるようにするには、 GitHubによって作成されたアクションを許可するか、指定したアクションと再利用可能なワークフローを許可するかを選択する必要があります。 詳しくは、「企業でGitHub Actionsのポリシーを適用する」をご覧ください。
次のステップ
Dependabot ランナーで GitHub Actions を有効にするには、GitHub でホストされるランナーでの Dependabot の構成 と セルフホステッド ランナーでの Dependabot の設定 を参照してください。