# Innersource アドバイザリ

企業は、1 つの企業に対して非公開のアドバイザリを使用して、内部リポジトリに脆弱性を警告し、 Dependabotを使用して自動化された修正プログラムを出荷できます。

## innersource アドバイザリについて

GitHub Advisory Databaseは、セキュリティの脆弱性に関するアラート情報の一元的なソースを提供します。 脆弱なオープンソース コンポーネントに関するアドバイザリが公開されると、DependabotはGitHubの依存関係グラフを使用してそのコンポーネントを使用しているリポジトリを検索し、アラートとプル要求を送信してリポジトリの所有者に通知し、影響を受けるコードを脆弱性を修正する新しいバージョンに更新します。

企業は、同じメカニズムを使用してアラートを作成し、内部で検出された脆弱性に関する更新プログラムを送信できます。 Innersource アドバイザリでは、パブリック アドバイザリと同様のオープン ソース脆弱性 (OSV) データ形式が使用されますが、パブリックには表示されません。 スコープは 1 つのエンタープライズであるため、そのエンタープライズ内のリポジトリにのみアラートを伝達します。 innersource アドバイザリの対象は内部コンポーネントでもオープンソースコンポーネントでもかまいません。これにより、企業は公開やアラートに関係なく修正プログラムをプッシュできます。

## innersource アドバイザリを作成できるユーザー

Innersource アドバイザリは、アクティブな GitHub Code Security または GitHub Advanced Security ライセンスを持つ企業でのみ作成できます。 ライセンスの有効期限が切れた場合、または GitHub Code Security が無効になっている場合、アドバイザリは表示されなくなり、アラートは伝達されません。 ただし、基になるデータは削除されず、ライセンスを再アクティブ化すると、既存のアドバイザリが復元されます。

## innersource アドバイザリの制限事項

* 現時点では、アドバイザリの範囲は企業全体に限定できます。 企業内の個々の組織または組織のグループを対象にすることはできません。
* 各企業は、2,000 件のアクティブなアドバイザリに制限されています。 その制限に達すると、新しいアドバイザリを作成しようとすると、エラーが発生します。 この制限に達した場合は、古いアドバイザリまたは古いアドバイザリを取り消すことができます。 「[innersource アドバイザリの管理](/ja/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/manage-innersource-advisories#withdrawing-innersource-advisories)」を参照してください。

## 次のステップ

innersource アドバイザリを作成、配布、取り消すには、 [innersource アドバイザリの管理](/ja/code-security/how-tos/secure-your-supply-chain/secure-your-dependencies/manage-innersource-advisories) を参照してください。