Dependabot の委任されたアラートの無視を有効にする

アラート却下の委任機能により、Dependabot alerts に対するガバナンスを強化できます。

この機能を使用できるユーザーについて

Organization 所有者、セキュリティ マネージャー、リポジトリ管理者は、委任アラート無視を有効にすることができます。 有効にすると、organization 所有者とセキュリティ マネージャーはアラートを無視できるようになります。

この記事で

メモ

この承認プロセスを実装すると、ある程度の摩擦が発生する可能性があるため、続行する前に、セキュリティ マネージャーのチームが、解雇要求を定期的に確認するための十分なカバレッジを確保することが重要です。

リポジトリの委任された無視を構成する

メモ

Organization 所有者が、適用されたセキュリティ構成を使って委任アラート無視を構成した場合、その設定をリポジトリ レベルで変更することはできません。

  1. GitHub で、リポジトリのメイン ページに移動します。

  2. リポジトリ名の下にある [Settings] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウン メニューを選び、 [設定] をクリックします。

    タブを示すリポジトリ ヘッダーのスクリーンショット。 [設定] タブが濃いオレンジ色の枠線で強調表示されています。

  3. サイドバーの [Security] セクションで、[ Advanced Security] をクリックします。

  4. [Dependabot] セクションの [直アラートの却下を防ぐ] の横にある [有効] をクリックします。

組織の委任された解除を設定する

カスタムセキュリティ構成を使って、組織の委任された解任を構成する必要があります。 その後、組織内のすべての (または選択した) リポジトリにセキュリティ構成を適用できます。

  1. カスタム セキュリティ構成の作成または編集を開始します。 「カスタム セキュリティ構成を作成する」を参照してください。
  2. セキュリティ構成の [依存関係のスキャン] セクションで、[アラートの直接無視を防止する] を [有効] に設定します。
  3.        **[Save configuration]** をクリックします。
  4. 組織内のリポジトリにセキュリティ構成を適用します。 「カスタム セキュリティ構成の適用」を参照してください。

企業向けの委任された解任の設定

カスタム セキュリティ構成を使用して、Enterprise に対する委任された消去を設定する必要があります。 その後、Enterprise 内のすべての (または選んだ) リポジトリにセキュリティ構成を適用できます。

  1. カスタム セキュリティ構成の作成または編集を開始します。 「Enterprise 用のカスタム セキュリティ構成の作成」を参照してください。
  2. セキュリティ構成の [依存関係のスキャン] セクションで、[アラートの直接無視を防止する] を [有効] に設定します。
  3.        **[Save configuration]** をクリックします。
  4. セキュリティ構成をエンタープライズ内のリポジトリに適用します。 「Enterprise に対するカスタム セキュリティ構成の適用」を参照してください。

次のステップ

Dependabot の委任されたアラートの無視を有効にしたら、アラートの無視要求を定期的に確認して、正確なアラート数を維持し、開発者のブロックを解除する必要があります。 「アラート却下リクエストの確認」を参照してください。