# GitHub Actions での Dependabot のトラブルシューティング

この記事では、DependabotでGitHub Actionsを使用するときに発生する可能性がある問題のトラブルシューティング情報を提供します。

## Dependabotが既存のワークフローをトリガーするときのエラーのトラブルシューティング

DependabotのGitHub.com更新プログラムを設定すると、既存のワークフローがDependabot イベントによってトリガーされたときにエラーが発生する場合があります。

既定では、GitHub Actions、Dependabot、`push`、または `pull_request` イベントからの `pull_request_review` によってトリガーされる `pull_request_review_comment` ワークフロー実行は、リポジトリのフォークから開かれた場合と同様に扱われます。 他のアクターによってトリガーされるワークフローとは異なり、これは読み取り専用の `GITHUB_TOKEN` を受け取り、通常使用できるシークレットにはアクセスできないことを意味します。 これにより、リポジトリに書き込もうとするワークフローは、 Dependabotによってトリガーされたときに失敗します。

この問題を解決するには、次の 3 つの方法があります。

1. Dependabotのような式を使用して、ワークフローを`if: github.actor != 'dependabot[bot]'`によってトリガーされないように、ワークフローを更新できます。 詳しくは、「[ワークフロー内とアクション内で式を評価する](/ja/actions/reference/workflows-and-actions/expressions)」をご覧ください。
2. ワークフローを変更して、このような制限がない `pull_request_target` を含む 2 段階のプロセスを使用できます。 詳しくは、「[GitHub Actions での Dependabot のトラブルシューティング](/ja/code-security/reference/supply-chain-security/troubleshoot-dependabot/dependabot-on-actions)」をご覧ください。
3. シークレットへのアクセスを Dependabot してトリガーされるワークフローを提供し、 `permissions` 用語で `GITHUB_TOKEN`の既定のスコープを増やすことができます。

この記事では、いくつかのトラブルシューティングに関するアドバイスを提供します。 「[GitHub Actions　のワークフロー構文](/ja/actions/reference/workflows-and-actions/workflow-syntax#jobsjob_idpermissions)」も参照してください。

### シークレットにアクセスする

Dependabot イベントがワークフローをトリガーする場合、ワークフローで使用できるシークレットはDependabotシークレットだけです。
GitHub Actions シークレットは **使用できません**。 そのため、 Dependabot イベントによってトリガーされるワークフローによって使用されるシークレットを Dependabot シークレットとして格納する必要があります。 詳細については、「[Dependabot のプライベート レジストリへのアクセスの構成](/ja/code-security/how-tos/secure-your-supply-chain/manage-your-dependency-security/configure-access-to-private-registries#storing-credentials-for-dependabot-to-use)」を参照してください。

Dependabot シークレットは `secrets` コンテキストに追加され、 GitHub Actionsのシークレットとまったく同じ構文を使用して参照されます。 詳細については、「[GitHub Actions でのシークレットの使用](/ja/actions/how-tos/write-workflows/choose-what-workflows-do/use-secrets#using-secrets-in-a-workflow)」を参照してください。

Dependabotや他のアクターによってトリガーされるワークフローがある場合、最も簡単な解決策は、アクションと同じ名前のDependabot シークレットに必要なアクセス許可を持つトークンを格納することです。 その後、ワークフローには、これらのシークレットへの 1 回の呼び出しを含めることができます。
Dependabotのシークレットの名前が異なる場合は、条件を使用して、使用するアクターごとに適切なシークレットを指定します。

条件を使う例については、「[GitHub ActionsでのDependabotの自動化](/ja/code-security/tutorials/secure-your-dependencies/automate-dependabot-with-actions)」を参照してください。

ユーザー名とパスワードを使用して AWS 上のプライベート コンテナー レジストリにアクセスするには、ワークフローに `username` と `password` のシークレットを含める必要があります。

この例では、Dependabotがワークフローをトリガーするときに、Dependabotと`READONLY_AWS_ACCESS_KEY_ID`の名前を持つ`READONLY_AWS_ACCESS_KEY` シークレットが使用されます。 別のアクターでワークフローがトリガーされる場合は、それらの名前を持つアクション シークレットが使用されます。

```yaml copy
# このワークフローはGitHubによって認定されていないアクションを使用します。
# それらはサードパーティによって提供され、
# 別個の利用規約、プライバシーポリシー、
# ドキュメントを参照してください。
name: CI
on:
  pull_request:
    branches: [ main ]

jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout repository
        uses: actions/checkout@v6

      - name: Login to private container registry for dependencies
        uses: docker/login-action@3b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0a1b2c
        with:
          registry: https://1234567890.dkr.ecr.us-east-1.amazonaws.com
          username: ${{ secrets.READONLY_AWS_ACCESS_KEY_ID }}
          password: ${{ secrets.READONLY_AWS_ACCESS_KEY }}

      - name: Build the Docker image
        run: docker build . --file Dockerfile --tag my-image-name:$(date +%s)
```

### `GITHUB_TOKEN` アクセス許可の変更

既定では、GitHub ActionsによってトリガーされるDependabotワークフローは、読み取り専用アクセス許可を持つ`GITHUB_TOKEN`を取得します。 ワークフローで `permissions` キーを使用すると、トークンのアクセスを増やすことができます。

```yaml copy
name: CI
on: pull_request

# Set the access for individual scopes, or use permissions: write-all
permissions:
  pull-requests: write
  issues: write
  ...

jobs:
  ...
```

詳細については、「[ワークフローでの認証に GITHUB\_TOKEN を使用する](/ja/actions/tutorials/authenticate-with-github_token#modifying-the-permissions-for-the-github_token)」を参照してください。

## 手動でのワークフローの再実行

Dependabot ワークフローを手動で再実行すると、再実行を開始したユーザーの権限が異なる場合でも、以前と同じ特権で実行されます。 詳細については、「[ワークフローとジョブの再実行](/ja/actions/how-tos/manage-workflow-runs/re-run-workflows-and-jobs)」を参照してください。