Dependabot를 제한된 인터넷 액세스를 사용하도록 구성

Dependabot 업데이트 정보

Dependabot updates를 사용하여 취약성을 수정하고 GitHub Enterprise Server에서 종속성의 최신 버전 업데이트를 유지할 수 있습니다. Dependabot updates를 사용하려면 Dependabot를 사용하기 위해 설정된 자체 호스팅 실행기와 함께 GitHub Actions가 필요합니다. Dependabot 경고 및 보안 업데이트는 GitHub Connect를 사용하여 액세스된 GitHub Advisory Database의 정보를 사용합니다. 자세한 내용은 엔터프라이즈에서 Dependabot 업데이트에 대한 자체 호스트된 실행기 관리 및 엔터프라이즈에 Dependabot 사용을(를) 참조하세요.

Dependabot은(는) 기본적으로 퍼블릭 레지스트리에 액세스할 수 있으며, 프라이빗 레지스트리에 액세스하도록 Dependabot을(를) 구성할 수 있습니다. 또는 인스턴스에 인터넷 액세스가 제한되거나 없는 경우 보안 및 버전 업데이트의 원본으로서 프라이빗 레지스트리만 사용하도록 Dependabot을 구성할 수 있습니다. 프라이빗 레지스트리로서 지원되는 에코시스템에 대한 자세한 내용은 공용 레지스트리에 대한 Dependabot 액세스 제거에서 확인할 수 있습니다.

아래 지침에서는 Dependabot 실행기에 다음과 같은 제한 사항을 설정해야 한다고 가정합니다.

• 인터넷 액세스가 없습니다.
• Dependabot에 대한 프라이빗 레지스트리와 같은 제한된 내부 리소스에 대한 액세스입니다.

Dependabot 실행기에 대하여 인터넷 액세스 제한

Dependabot를 구성하기 전에, Docker를 자체 호스팅 실행기에 설치합니다. 자세한 내용은 엔터프라이즈에서 Dependabot 업데이트에 대한 자체 호스트된 실행기 관리을(를) 참조하세요.

1. GitHub Enterprise Server에서, github/dependabot-action 리포지토리로 이동하고 containers.json 파일에서 dependabot-updater 및 dependabot-proxy 컨테이너 이미지에 대한 정보를 검색합니다.

   GitHub Enterprise Server의 각 릴리스에는 https://HOSTNAME/github/dependabot-action/blob/ghes-VERSION/docker/containers.json에서 업데이트된 containers.json 파일이 포함됩니다. 해당 파일의 GitHub.com 버전은 containers.json에서 확인할 수 있습니다.

2. docker pull 명령을 사용하여 GitHub Container registry의 모든 컨테이너 이미지를 Dependabot 실행기에 미리 로드합니다. 또는, dependabot-proxy 이미지를 미리 로드한 다음, 사용자에게 필요한 에코시스템에 대한 컨테이너 이미지만 미리 로드합니다.

   예를 들어, npm 및 GitHub Actions를 지원하려면 다음 명령을 사용하여 containers.json 파일에서 로드할 이미지의 세부 정보를 복사하여 각 이미지에 올바른 버전과 SHA가 있는지 확인할 수 있습니다.

   docker pull ghcr.io/github/dependabot-update-job-proxy/dependabot-update-job-proxy:VERSION@SHA
   docker pull ghcr.io/dependabot/dependabot-updater-github-actions:VERSION@SHA
   docker pull ghcr.io/dependabot/dependabot-updater-npm:VERSION@SHA
   

   참고 항목

   GitHub Enterprise Server의 새로운 부 버전으로 업그레이드하거나, GitHub.com에서 Dependabot 작업을 수동으로 업데이트하는 경우 이 단계를 반복해야 합니다. 자세한 내용은 GitHub.com에서 수동으로 작업 동기화을(를) 참조하세요.

3. 실행기에 이러한 이미지 추가를 완료했으면, Dependabot 실행기에 인터넷 액세스를 제한하여 필요한 에코시스템 및 GitHub Enterprise Server에 대한 프라이빗 레지스트리에 계속 액세스할 수 있도록 할 준비가 된 것입니다.

   Dependabot 작업이 실행을 시작할 때 Dependabot 실행기가 GitHub Container registry로부터 dependabot-updater 및 dependabot-proxy를 끌어오기 때문에 먼저 이미지를 추가해야 합니다.

Dependabot 실행기의 구성 확인하기

1. 테스트 리포지토리의 경우, 프라이빗 레지스트리에 액세스하기 위해 Dependabot을 구성하고 공용 레지스트리에 대한 액세스를 제거합니다. 자세한 내용은 Dependabot에 대한 개인 레지스트리 액세스 구성 및 공용 레지스트리에 대한 Dependabot 액세스 제거을(를) 참조하세요.

2. 리포지토리의 인사이트 탭에서 종속성 그래프를 클릭하여 종속성의 세부 정보를 표시합니다.

3. Dependabot 를 클릭하여 버전 업데이트를 위해 구성된 에코시스템을 표시합니다.

4. 테스트하려는 에코시스템에서 다음 시간 전에 마지막으로 확인을 클릭하여 "업데이트 로그" 보기를 표시합니다.

5. 해당 에코시스템의 종속성에 대한 새 업데이트를 확인하려면 업데이트 확인을 클릭합니다.

업데이트 확인이 완료되면 "업데이트 로그" 보기를 확인하여 Dependabot이 사용자의 인스턴스에서 구성된 프라이빗 레지스트리에 액세스하여 버전 업데이트를 확인했는지 확인해야 합니다.

구성이 올바른지 확인한 후에는 리포지토리 관리자에게 Dependabot 구성을 프라이빗 레지스트리만 사용하도록 업데이트해 달라고 요청합니다. 자세한 내용은 공용 레지스트리에 대한 Dependabot 액세스 제거을(를) 참조하세요.