このバージョンの GitHub Enterprise サーバーはこの日付をもって終了となりました: 2026-03-17. 重大なセキュリティの問題に対してであっても、パッチリリースは作成されません。 パフォーマンスの向上、セキュリティの向上、新機能の向上を図るために、最新バージョンの GitHub Enterprise サーバーにアップグレードしてください。 アップグレードに関するヘルプについては、GitHub Enterprise サポートにお問い合わせください。

自動トリアージ ルールをカスタマイズして Dependabot アラートの優先度を設定する

独自の 自動トリアージ ルール を作成して、どのアラートを無視またはスヌーズするか、および Dependabot で pull request を開くアラートを制御できます。

この機能を使用できるユーザーについて

  • 組織所有者
  • セキュリティマネージャー
  • 管理者アクセス権を持つユーザー (リポジトリの 自動トリアージ ルール を有効化、無効化、表示できるだけでなく、カスタム自動トリアージ ルール を作成することもできます)

GitHub プリセット は、すべてのリポジトリの種類で使用できます。

カスタム自動トリアージ ルール は、次のリポジトリの種類で使用できます。

この記事で

カスタム自動トリアージ ルール について

アラート メタデータに基づいて、独自の Dependabot 自動トリアージ ルール を作成できます。 アラートを無期限に自動的に無視するか、パッチが利用可能になるまでアラートの通知をスヌーズすることができます。また、Dependabot がプル リクエストを開く Dependabot alerts を指定できます。 アラート通知が送信される前にルールが適用されるため、リスクの低いアラートを自動的に無視するカスタム ルールを作成すると、今後の通知ノイズが軽減されます。

作成するルールは将来のアラートと現在のアラートの両方に適用されるため、自動トリアージ ルール を使用してアラートを一括管理することもできます。

リポジトリ管理者は、リポジトリに対して カスタム自動トリアージ ルール を作成できます。 これには、GitHub Advanced Security が必要です。

組織所有者とセキュリティ マネージャーは、組織レベルで カスタム自動トリアージ ルール を設定し、組織内のすべてのパブリックおよびプライベート リポジトリでルールを適用したり有効にしたりするかどうかを選択できます。

  •      **適用**: 組織レベルのルールが "適用" されると、リポジトリ管理者はルールを編集、無効化、または削除できません。

  •      **有効**: 組織レベルのルールが "有効"でも、リポジトリ管理者はリポジトリのルールを無効にできます。

メモ

組織レベルのルールとリポジトリ レベルのルールが競合する動作を指定した場合は、組織レベルのルールが設定したアクションが優先されます。 無視ルールは常に、Dependabot の pull request をトリガーするルールの前に動作します。

次のメタデータを使用すると、アラートを対象とするルールを作成できます。

  • CVE ID（共通脆弱性識別子）
  • CWE
  • 依存関係スコープ (devDependency または runtime)
  • エコシステム
  • GHSA識別子
  • マニフェスト パス (リポジトリレベルのルールのみ)
  • パッケージ名
  • パッチの可用性
  • Severity
  • EPSS スコア

カスタム自動トリアージ ルール と Dependabot security updates の対話方法について

カスタム自動トリアージ ルール 使用すると、Dependabot がプル リクエストを開く Dependabot alerts を調整できます。 ただし、"pull request を開く" ルールを有効にするには、ルールを適用する単一または複数のリポジトリに対して Dependabot security updates が [無効] になっていることを確認する必要があります。

リポジトリに対して Dependabot security updates が有効になっている場合、Dependabot は、使用可能なパッチを持つすべての開いている Dependabot アラートを解決するために pull request を自動的に開こうとします。 ルールを使用してこの動作をカスタマイズする場合は、Dependabot security updates を無効のままにする必要があります。

リポジトリの Dependabot security updates の有効化または無効化の詳細については、「AUTOTITLE」を参照してください。

カスタム自動トリアージ ルール をリポジトリに追加する

メモ

ベータ 期間中は、リポジトリに対して最大 10 の カスタム自動トリアージ ルール を作成できます。

  1. GitHub で、リポジトリのメイン ページに移動します。

  2. リポジトリ名の下にある [Settings] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウン メニューを選び、 [設定] をクリックします。

    タブを示すリポジトリ ヘッダーのスクリーンショット。 [設定] タブが濃いオレンジ色の枠線で強調表示されています。

  3. サイドバーの [Security] セクションで、[ Code security and analysis] をクリックします。

  4. [Dependabot] セクションの [Dependabot 規則] の右側で、[] をクリックします。

  5. [新しいルール] をクリックします。

  6. 「ルール名前」の下で、このルールの実行内容を説明します。

  7. [状態] で、ドロップダウン メニューを使用して、リポジトリに対してルールを有効または無効にするかどうかを選択します。

  8. 「ターゲット アラート」で、アラートのフィルター処理に使用するメタデータを選択します。

  9. [ルール] で、メタデータと一致するアラートに対して実行するアクションを選択します。

    • メタデータと一致するアラートを自動的に無視するには、[アラートを無視] を選択します。 アラートを無期限に自動無視するか、パッチが利用可能になるまでスヌーズすることができます。
    • Dependabot で、対象となるメタデータと一致するアラートを解決するための変更を提案する場合は、[pull request を開いてこのアラートを解決する] を選択します。 このオプションは、アラートを無期限に無視するオプションを既に選択している場合、または Dependabot security updates がリポジトリ設定で有効になっている場合は使用できないことに注意してください。

  10. [ルールの作成] をクリックします。

カスタム自動トリアージ ルール を組織に追加する

組織内のすべての対象リポジトリに カスタム自動トリアージ ルール を追加できます。 詳しくは、「組織のグローバル セキュリティ設定の構成」をご覧ください。

リポジトリの カスタム自動トリアージ ルール の編集または削除

  1. GitHub で、リポジトリのメイン ページに移動します。

  2. リポジトリ名の下にある [Settings] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウン メニューを選び、 [設定] をクリックします。

    タブを示すリポジトリ ヘッダーのスクリーンショット。 [設定] タブが濃いオレンジ色の枠線で強調表示されています。

  3. サイドバーの [Security] セクションで、[ Code security and analysis] をクリックします。

  4. [Dependabot] セクションの [Dependabot 規則] の右側で、[] をクリックします。

  5. [リポジトリ ルール] で、編集または削除するルールの右側にある をクリックします。

  6. ルールを編集するには、該当するフィールドに変更を加え、[ルールの保存] をクリックします。1. ルールを削除するには、[Danger Zone] で [ルールの削除] をクリックします。

  7. [このルールを削除しますか?] ダイアログ ボックスで情報を確認し、[ルールの削除] をクリックします。

組織の カスタム自動トリアージ ルール の編集または削除

組織内のすべての対象リポジトリに対する カスタム自動トリアージ ルール を、編集または削除できます。 詳しくは、「組織のグローバル セキュリティ設定の構成」をご覧ください。