Sobre el acceso automático a los registros alojados en GitHub
Dependabot puede autenticarse en paquetes privados GitHub Packages y Container registry mediante las mismas concesiones de acceso que GitHub Actions usan los flujos de trabajo. Si un paquete ha concedido a su repositorio acceso de lectura en la configuración del paquete de GitHub, Dependabot puede acceder automáticamente a ese paquete.
Esto elimina la necesidad de:
- Crear y administrar personal access tokens para el acceso al registro
- Configure manualmente el acceso a los registros alojados en GitHub en el archivo
dependabot.yml - Rotación de credenciales cuando expiren los tokens
Funcionamiento del acceso automático
Dependabot usa su GITHUB_TOKEN para solicitar el permiso de packages: read al extraer de *.pkg.github.com y ghcr.io. Cualquier paquete al que se le haya concedido acceso a tu repositorio a través de "Administrar el acceso de Actions" acepta este token, de la misma manera que lo haría con un flujo de trabajo habitual GitHub Actions.
Las credenciales GitHub Packages automáticas solo se utilizan como autenticación de respaldo. Las credenciales explícitas del registro y el enrutamiento normal del registro tienen precedencia.
Esto funciona para cada GitHub Packages ecosistema que Dependabot admita.
Cuándo usar el acceso automático
Utilice el acceso automático a los registros alojados en GitHub cuando:
- Los repositorios dependen de los paquetes privados almacenados en GitHub Packages o Container registry.
- Quiere reducir la sobrecarga de administración de credenciales.
- Debe evitar los fallos silenciosos de actualización causados por el vencimiento de personal access tokens.
En el caso de los repositorios de terceros (como Artifactory, Azure Artifacts o Nexus), solo puede usar la configuración del registro dependabot.yml o la configuración del registro privado a nivel de organización. Consulte Configuración del acceso a registros privados para Dependabot.
Habilitación del acceso automático
Para cada paquete que Dependabot necesite leer, debes ir a la página de configuración del paquete y añadir el repositorio que ejecuta Dependabot con acceso de lectura. Consulte Configuración del acceso a registros privados para Dependabot.
Una vez que al repositorio se le haya concedido acceso, Dependabot puede extraer de ese paquete automáticamente. No necesita configurar el archivo dependabot.yml, y puede eliminar cualquier entrada del Registro basada en personal access token que haya agregado anteriormente para estos paquetes.
Para obtener más información sobre cómo configurar el acceso a paquetes, consulte Configurar la visibilidad y el control de accesos de un paquete.