{"meta":{"title":"Automatisieren von Dependabot mit GitHub Actions","intro":"Beispiele dafür, wie Sie GitHub Actions verwenden können, um allgemeine, mit Dependabot verbundene Aufgaben zu automatisieren.","product":"Sicherheit und Codequalität","breadcrumbs":[{"href":"/de/code-security","title":"Sicherheit und Codequalität"},{"href":"/de/code-security/tutorials","title":"Anleitungen"},{"href":"/de/code-security/tutorials/secure-your-dependencies","title":"Sichern Sie Ihre Abhängigkeiten"},{"href":"/de/code-security/tutorials/secure-your-dependencies/automate-dependabot-with-actions","title":"Automatisieren von Dependabot mit Aktionen"}],"documentType":"article"},"body":"# Automatisieren von Dependabot mit GitHub Actions\n\nBeispiele dafür, wie Sie GitHub Actions verwenden können, um allgemeine, mit Dependabot verbundene Aufgaben zu automatisieren.\n\n> \\[!NOTE] In diesem Artikel wird erläutert, wie Sie mit Dependabot Aufgaben im Zusammenhang mit GitHub Actions automatisieren. Weitere Informationen zum Ausführen von Dependabot updates mit GitHub Actions finden Sie unter [Dependabot auf GitHub Actions-Runner](/de/code-security/concepts/supply-chain-security/dependabot-on-actions).\n\nSie können GitHub Actions verwenden, um automatisierte Aufgaben auszuführen, wenn Dependabot Pull Requests zum Aktualisieren der Abhängigkeiten erstellt. Dies kann hilfreich sein, wenn deine Pläne wie folgt aussehen:\n\n* Stellen Sie sicher, dass Dependabot Pull-Anforderungen (Versionsupdates und Sicherheitsupdates) mit den richtigen Daten für Ihre Arbeitsprozesse erstellt werden, einschließlich Bezeichnungen und Namen.\n\n* Lösen Sie Workflows aus, um Dependabot-Pull-Anforderungen (Versionsupdates und Sicherheitsupdates) in Ihren Prüfprozess einzuspeisen oder automatisch zusammenzuführen.\n\n## Über Dependabot und GitHub Actions\n\n> \\[!IMPORTANT]\n> Wenn Dependabot für ein Repository aktiviert ist, wird es immer auf GitHub Actions ausgeführt, **wobei sowohl Actions-Richtlinienprüfungen als auch die Deaktivierung auf Repository- oder Organisationsebene umgangen werden**. Dadurch wird sichergestellt, dass Workflows für Sicherheits- und Versionsupdates immer ausgeführt werden, wenn Dependabot aktiviert ist.\n\nDependabot erstellt Pullanforderungen, um Ihre Abhängigkeiten auf dem neuesten Stand zu halten. Sie können verwenden GitHub Actions , um automatisierte Aufgaben auszuführen, wenn diese Pullanforderungen erstellt werden. Du kannst zum Beispiel zusätzliche Artefakte abrufen, Bezeichnungen hinzufügen, Tests ausführen oder den Pull-Request anderweitig verändern.\n\nVon Dependabot können GitHub Actions-Workflows in den zugehörigen Pull Requests und Kommentaren ausgelöst werden. Bestimmte Ereignisse werden jedoch anders behandelt. Weitere Informationen finden Sie unter [Fehlerbehebung für Dependabot in GitHub Actions](/de/code-security/reference/supply-chain-security/troubleshoot-dependabot/dependabot-on-actions).\n\n> \\[!NOTE]\n> Sie können auch zur Abhängigkeitsanalyse, Aktualisierungszusammenfassungen und Korrekturempfehlungen verwenden agentic workflows und gleichzeitig die Sicherheitserzwingung beibehalten und in deterministischen GitHub Actions Workflows zusammenführen. Weitere Informationen findest du unter [Erstellen von agentenbasierten GitHub-Workflows](/de/copilot/how-tos/github-agentic-workflows/creating-github-agentic-workflows).\n\nIm Folgenden finden Sie mehrere häufige Szenarien für Pull Requests, die sich mithilfe von GitHub Actions automatisieren lassen.\n\n## Abrufen von Metadaten über eine Pull-Request-Anfrage\n\nFür die meisten Automatisierungen brauchst du Informationen über den Inhalt der Pull-Request: den Namen der Abhängigkeit, ob es sich um eine Produktionsabhängigkeit handelt und ob es sich um ein Major-, Minor- oder Patching-Update handelt. Sie können eine Aktion verwenden, um Informationen zu den Abhängigkeiten abzurufen, die durch einen von Dependabot generierten Pull Request aktualisiert werden.\n\nExample:\n\n```yaml copy\n# Dieser Workflow verwendet Aktionen, die nicht von GitHub zertifiziert sind.\n# Sie werden von einem Drittanbieter bereitgestellt und unterliegen\n# separaten Nutzungsbedingungen, Datenschutzbestimmungen und Support\n# Onlinedokumentation.\nname: Dependabot fetch metadata\non: pull_request\n\npermissions:\n  pull-requests: write\n  issues: write\n\njobs:\n  dependabot:\n    runs-on: ubuntu-latest\n    if: github.event.pull_request.user.login == 'dependabot[bot]' && github.repository == 'owner/my_repo'\n    steps:\n      - name: Dependabot metadata\n        id: metadata\n        uses: dependabot/fetch-metadata@d7267f607e9d3fb96fc2fbe83e0af444713e90b7\n        with:\n          github-token: \"${{ secrets.GITHUB_TOKEN }}\"\n      # The following properties are now available:\n      #  - steps.metadata.outputs.dependency-names\n      #  - steps.metadata.outputs.dependency-type\n      #  - steps.metadata.outputs.update-type\n```\n\nWeitere Informationen findest du im [`dependabot/fetch-metadata`](https://github.com/dependabot/fetch-metadata)-Repository.\n\n## Kennzeichnung eines Pull-Requests\n\nWenn Sie über andere Automatisierungs- oder Triageworkflows verfügen, die auf GitHub Bezeichnungen basieren, können Sie eine Aktion konfigurieren, um Bezeichnungen basierend auf den bereitgestellten Metadaten zuzuweisen.\n\nBeispiel, das alle Aktualisierungen von Abhängigkeiten in der Produktion mit einem Flag kennzeichnet:\n\n```yaml copy\n# Dieser Workflow verwendet Aktionen, die nicht von GitHub zertifiziert sind.\n# Sie werden von einem Drittanbieter bereitgestellt und unterliegen\n# separaten Nutzungsbedingungen, Datenschutzbestimmungen und Support\n# Onlinedokumentation.\nname: Dependabot auto-label\non: pull_request\n\npermissions:\n  pull-requests: write\n  issues: write\n\njobs:\n  dependabot:\n    runs-on: ubuntu-latest\n    if: github.event.pull_request.user.login == 'dependabot[bot]' && github.repository == 'owner/my_repo'\n    steps:\n      - name: Dependabot metadata\n        id: metadata\n        uses: dependabot/fetch-metadata@d7267f607e9d3fb96fc2fbe83e0af444713e90b7\n        with:\n          github-token: \"${{ secrets.GITHUB_TOKEN }}\"\n      - name: Add a label for all production dependencies\n        if: steps.metadata.outputs.dependency-type == 'direct:production'\n        run: gh pr edit \"$PR_URL\" --add-label \"production\"\n        env:\n          PR_URL: ${{github.event.pull_request.html_url}}\n```\n\n## Automatisches Genehmigen eines Pull-Requests\n\nSie können Dependabot Pull Requests automatisch genehmigen, indem Sie in einem Workflow das GitHub CLI verwenden.\n\nExample:\n\n```yaml copy\n# Dieser Workflow verwendet Aktionen, die nicht von GitHub zertifiziert sind.\n# Sie werden von einem Drittanbieter bereitgestellt und unterliegen\n# separaten Nutzungsbedingungen, Datenschutzbestimmungen und Support\n# Onlinedokumentation.\nname: Dependabot auto-approve\non: pull_request\n\npermissions:\n  pull-requests: write\n\njobs:\n  dependabot:\n    runs-on: ubuntu-latest\n    if: github.event.pull_request.user.login == 'dependabot[bot]' && github.repository == 'owner/my_repo'\n    steps:\n      - name: Dependabot metadata\n        id: metadata\n        uses: dependabot/fetch-metadata@d7267f607e9d3fb96fc2fbe83e0af444713e90b7\n        with:\n          github-token: \"${{ secrets.GITHUB_TOKEN }}\"\n      - name: Approve a PR\n        run: gh pr review --approve \"$PR_URL\"\n        env:\n          PR_URL: ${{github.event.pull_request.html_url}}\n          GH_TOKEN: ${{secrets.GITHUB_TOKEN}}\n```\n\n## Automerge für eine Pull-Request-Anfrage aktivieren\n\nWenn Sie Maintainern erlauben möchten, bestimmte Pull Requests für das automatische Zusammenführen zu markieren, können Sie die GitHub-Automerge-Funktionalität verwenden. Dadurch kann der Pull Request zusammengeführt werden, wenn Tests und Genehmigungen der Regeln für den Schutz von Branches erfolgreich erfüllt werden.\n\nWeitere Informationen findest du unter [Automatisches Zusammenführen eines Pull Requests](/de/pull-requests/how-tos/merge-and-close-pull-requests/automatically-merging-a-pull-request) und [Verwalten einer Branchschutzregel](/de/repositories/configuring-branches-and-merges-in-your-repository/managing-protected-branches/managing-a-branch-protection-rule).\n\nSie können stattdessen GitHub Actions und das GitHub CLI verwenden. Hier ist ein Beispiel, das alle Patch-Updates automatisch nach `my-dependency` zusammenführt:\n\n```yaml copy\n# Dieser Workflow verwendet Aktionen, die nicht von GitHub zertifiziert sind.\n# Sie werden von einem Drittanbieter bereitgestellt und unterliegen\n# separaten Nutzungsbedingungen, Datenschutzbestimmungen und Support\n# Onlinedokumentation.\nname: Dependabot auto-merge\non: pull_request\n\npermissions:\n  contents: write\n  pull-requests: write\n\njobs:\n  dependabot:\n    runs-on: ubuntu-latest\n    if: github.event.pull_request.user.login == 'dependabot[bot]' && github.repository == 'owner/my_repo'\n    steps:\n      - name: Dependabot metadata\n        id: metadata\n        uses: dependabot/fetch-metadata@d7267f607e9d3fb96fc2fbe83e0af444713e90b7\n        with:\n          github-token: \"${{ secrets.GITHUB_TOKEN }}\"\n      - name: Enable auto-merge for Dependabot PRs\n        if: contains(steps.metadata.outputs.dependency-names, 'my-dependency') && steps.metadata.outputs.update-type == 'version-update:semver-patch'\n        run: gh pr merge --auto --merge \"$PR_URL\"\n        env:\n          PR_URL: ${{github.event.pull_request.html_url}}\n          GH_TOKEN: ${{secrets.GITHUB_TOKEN}}\n```\n\n> \\[!NOTE]\n> Wenn Sie Pull-Anforderungen mithilfe von Statusprüfungen testen, sollten Sie für den Zielzweig der Pull-Anforderungen für \\*\\*\\*\\* die Option Dependabot aktivieren. Diese Branch-Schutzregel stellt sicher, dass Pull-Requests nur dann zusammengeführt werden, wenn **alle erforderlichen Statusprüfungen bestanden wurden**. Weitere Informationen findest du unter [Verwalten einer Branchschutzregel](/de/repositories/configuring-branches-and-merges-in-your-repository/managing-protected-branches/managing-a-branch-protection-rule).\n\nWenn der Ziel-Branch eine Merge-Warteschlange verwendet, kann das integrierte `GITHUB_TOKEN` keine Pull Requests zur Merge-Warteschlange hinzufügen. In diesem Fall müssen Sie den Workflow mit einem personal access token oder einem GitHub App Token authentifizieren, das über die Berechtigung zum Zusammenführen verfügt, und ihn anstelle des `GITHUB_TOKEN``gh pr merge` Schritts verwenden.\n\n## Dependabot und GitHub Actions Richtlinien\n\nNormalerweise hängt davon ab, ob ein Workflow in einem Repository ausgeführt werden kann, von GitHub Actions**Richtlinienüberprüfungen** und ob GitHub Actions er auf Organisation- oder Repositoryebene **aktiviert** ist. Diese Steuerelemente können die Ausführung von Workflows einschränken– insbesondere, wenn externe Aktionen blockiert oder GitHub Actions vollständig deaktiviert sind.\n\nWenn Dependabot jedoch für ein Repository aktiviert ist, werden seine Workflows immer auf GitHub Actions ausgeführt, **wodurch sowohl Actions-Richtlinienprüfungen als auch die Deaktivierung umgangen werden**.\n\n* Dependabot Workflows werden weder durch die Deaktivierung von Actions noch durch Einschränkungen durch Unternehmensrichtlinien blockiert.\n* Die Aktionen, auf die in diesen Workflows verwiesen wird, können auch ausgeführt werden, auch wenn externe Aktionen nicht zulässig sind.\n\nWeitere Informationen findest du unter [Dependabot auf GitHub Actions-Runner](/de/code-security/concepts/supply-chain-security/dependabot-on-actions).\n\n## Untersuchen fehlgeschlagener Workflowausführungen\n\nÜberprüfe Folgendes, wenn die Workflowausführung fehlschlägt:\n\n* Du führst den Workflow nur aus, wenn er vom richtigen Akteur ausgelöst wird.\n* Du checkst den richtigen `ref` für den `pull_request` aus.\n* Ihre Geheimnisse sind als Dependabot Geheimnisse statt als GitHub Actions Geheimnisse verfügbar.\n* Du verfügst über ein `GITHUB_TOKEN` mit den richtigen Berechtigungen.\n\nInformationen zum Schreiben und Debuggen GitHub Actionsfinden Sie unter [Schreiben von Workflows](/de/actions/how-tos/write-workflows).\n\nWeitere Tipps zum Lösen von Problemen mit Workflows findest du unter [Fehlerbehebung für Dependabot in GitHub Actions](/de/code-security/reference/supply-chain-security/troubleshoot-dependabot/dependabot-on-actions)."}