依存関係レビュー アクションの構成

"依存関係レビュー アクション" とは、 GitHub Actions コンテキスト内のプル要求の違いを報告できる特定のアクションを指します。 また、 GitHub Actions ワークフローに強制メカニズムを追加することもできます。 詳細については、「依存関係の確認」を参照してください。

GitHub Enterprise Cloud が有効な状態で GitHub Code Security を使用している組織では、ライセンス ポリシーのエンタープライズ全体の管理を利用できます。 この機能では、依存関係レビュー アクション と同様のプルリクエスト ベースのアプローチを使用しますが、監査可能性、一元化されたポリシー管理、ルールセット ベースのライセンス ポリシーの適用が追加されます。 詳細については、「オープンソース ライセンスのコンプライアンスについて」を参照してください。

一般的な構成オプションの一覧については、のGitHub Marketplaceを参照してください。

依存関係レビュー アクション の構成

依存関係レビュー アクションを構成する方法は 2 つあります。

• ワークフロー ファイル内に構成オプションをインライン化する。
• ワークフロー ファイル内で構成オプションを参照する。

すべての例で、アクションに対して、semver リリース番号 (v3 など) ではなく、短いバージョン番号 (v3.0.8) が使われています。 これにより、アクションの最新のマイナー バージョンを使うことができます。

インライン構成を使用した 依存関係レビュー アクション のセットアップ

1. .github/workflows フォルダーに新しい YAML ワークフローを追加します。

   YAML

   name: 'Dependency Review'
   on: [pull_request]
   
   permissions:
     contents: read
   
   jobs:
     dependency-review:
       runs-on: ubuntu-latest
       steps:
        - name: 'Checkout Repository'
          uses: actions/checkout@v6
        - name: Dependency Review
          uses: actions/dependency-review-action@v4
   

2. 必要に応じて設定を変更します。

   この 依存関係レビュー アクション サンプル ファイルは、使用可能な構成オプションを使用する方法を示しています。

   YAML

   name: 'Dependency Review'
   on: [pull_request]
   
   permissions:
     contents: read
   
   jobs:
     dependency-review:
       runs-on: ubuntu-latest
       steps:
       - name: 'Checkout Repository'
         uses: actions/checkout@v6
       - name: Dependency Review
         uses: actions/dependency-review-action@v4
         with:
           # Possible values: "critical", "high", "moderate", "low"
           fail-on-severity: critical
   
           
           # You can only include one of these two options: `allow-licenses` and `deny-licenses`
           # ([String]). Only allow these licenses (optional)
           # Possible values: Any SPDX-compliant license identifiers or expressions from https://spdx.org/licenses/
           allow-licenses: GPL-3.0, BSD-3-Clause, MIT
           # ([String]). Block the pull request on these licenses (optional)
           # Possible values: Any SPDX-compliant license identifiers or expressions from https://spdx.org/licenses/
           deny-licenses: LGPL-2.0, BSD-2-Clause
           
           # ([String]). Skip these GitHub Advisory Database IDs during detection (optional)
           # Possible values: Any valid GitHub Advisory Database ID from https://github.com/advisories
           allow-ghsas: GHSA-abcd-1234-5679, GHSA-efgh-1234-5679
           # ([String]). Block pull requests that introduce vulnerabilities in the scopes that match this list (optional)
           # Possible values: "development", "runtime", "unknown"
           fail-on-scopes: development, runtime
   

構成ファイルを使用したセットアップ 依存関係レビュー アクション

1. .github/workflows フォルダーに新しい YAML ワークフローを追加し、config-file を使って構成ファイルを使用していることを指定します。

   YAML

   name: 'Dependency Review'
   on: [pull_request]
   
   permissions:
    contents: read
   
   jobs:
     dependency-review:
       runs-on: ubuntu-latest
       steps:
       - name: 'Checkout Repository'
         uses: actions/checkout@v6
       - name: Dependency Review
         uses: actions/dependency-review-action@v4
         with:
          # ([String]). Representing a path to a configuration file local to the repository or in an external repository.
          # Possible values: An absolute path to a local file or an external file.
          config-file: './.github/dependency-review-config.yml'
          # Optional alternative syntax for an external file: OWNER/REPOSITORY/FILENAME@BRANCH (uncomment if preferred)
          # config-file: 'github/octorepo/dependency-review-config.yml@main'
   
          # ([Token]) Use if your configuration file resides in a private external repository.
          # Possible values: Any GitHub token with read access to the private external repository.
          external-repo-token: 'ghp_123456789abcde'
   

2. 指定したパスに構成ファイルを作成します。

   この YAML ファイルの例は、利用可能な構成オプションの使用方法を示しています。

   YAML

     # Possible values: "critical", "high", "moderate", "low"
     fail-on-severity: critical
   
     # You can only include one of these two options: `allow-licenses` and `deny-licenses`
     # ([String]). Only allow these licenses (optional)
     # Possible values: Any SPDX-compliant license identifiers or expressions from https://spdx.org/licenses/
     allow-licenses:
       - GPL-3.0
       - BSD-3-Clause
       - MIT
      # ([String]). Block the pull request on these licenses (optional)
      # Possible values: Any SPDX-compliant license identifiers or expressions from https://spdx.org/licenses/
     deny-licenses:
       - LGPL-2.0
       - BSD-2-Clause
   
      # ([String]). Skip these GitHub Advisory Database IDs during detection (optional)
      # Possible values: Any valid GitHub Advisory Database ID from https://github.com/advisories
     allow-ghsas:
       - GHSA-abcd-1234-5679
       - GHSA-efgh-1234-5679
      # ([String]). Block pull requests that introduce vulnerabilities in the scopes that match this list (optional)
      # Possible values: "development", "runtime", "unknown"
     fail-on-scopes:
       - development
       - runtime
   

構成オプションの詳細については、「dependency-review-action」を参照してください。

詳細については、次を参照してください。

• 依存関係レビュー アクション構成のカスタマイズ