Gestion des exécuteurs auto-hébergés pour les mises à jour Dependabot dans votre entreprise

À propos des runners auto-hébergés pour Dependabot updates

Vous pouvez aider les utilisateurs votre instance GitHub Enterprise Server à créer et à gérer du code sécurisé en configurant des Dependabot mises à jour de sécurité et de version. Avec Dependabot updates, les développeurs peuvent configurer des référentiels afin que leurs dépendances soient mises à jour et sécurisées automatiquement. Pour plus d’informations, consultez « Activation de Dependabot pour votre entreprise ».

Pour utiliser Dependabot updates sur votre instance GitHub Enterprise Server, vous devez configurer des exécuteurs auto-hébergés pour créer les pull requests destinées à mettre à jour les dépendances.

Prérequis

La configuration des runners auto-hébergés n’est qu’une étape intermédiaire du processus d’activation de Dependabot updates. Plusieurs étapes doivent être effectuées au préalable, notamment la configuration de votre instance GitHub Enterprise Server pour utiliser GitHub Actions avec des runners auto-hébergés. Pour plus d’informations, consultez « Activation de Dependabot pour votre entreprise ».

Configuration de runners auto-hébergés pour Dependabot updates

Configuration système requise pour les runners Dependabot

Les machines virtuelles que vous utilisez pour les exécuteurs Dependabot doivent toutes respecter la configuration requise pour les exécuteurs auto-hébergés. Par ailleurs, elles doivent satisfaire les exigences suivantes.

• Système d’exploitation Linux

• Architecture x64

• Docker installé avec un accès pour les utilisateurs des exécuteurs :

  • Nous vous recommandons d’installer Docker en mode sans racine et de configurer les exécuteurs de sorte qu’ils puissent accéder à Docker sans privilèges root.
  • Vous pouvez aussi installer Docker et accorder aux utilisateurs des exécuteurs des privilèges accrus pour exécuter Docker.

Les besoins en processeur et mémoire dépendent du nombre d’exécuteurs simultanés que vous déployez sur une machine virtuelle donnée. Pour indication, nous avons installé avec succès 20 exécuteurs sur un ordinateur à 2 processeurs de 8 Go, mais en fin de compte, vos besoins en processeur et mémoire varieront fortement en fonction des dépôts qui sont mis à jour. Certains écosystèmes demandent plus de ressources que d’autres.

Si vous spécifiez plus de 14 exécuteurs simultanés sur une machine virtuelle, vous devez aussi mettre à jour la configuration /etc/docker/daemon.json Docker pour accroître le nombre de réseaux par défaut que Docker peut créer.

{
  "default-address-pools": [
    {"base":"10.10.0.0/16","size":24}
  ]
}

Configuration réseau requise pour les runners Dependabot

Les runners Dependabot nécessitent un accès à Internet, à GitHub.com et à tous les registres internes qui seront utilisés dans Dependabot updates. Pour limiter les risques sur votre réseau interne, vous devez limiter l’accès de la machine virtuelle à votre réseau interne. Cela réduit les risques de dommages que pourraient subir vos systèmes internes si un exécuteur venait à télécharger une dépendance détournée.

Configuration des certificats pour les runners Dependabot

Si votre GitHub Enterprise Server instance utilise un certificat auto-signé ou si Dependabot vous devez interagir avec des registres qui utilisent des certificats auto-signés, ces certificats doivent également être installés sur les exécuteurs auto-hébergés qui exécutent Dependabot des travaux. Cette sécurité renforce la connexion. Vous devez configurer Node.js pour utiliser le certificat, car la plupart des actions sont écrites en JavaScript et exécutées avec Node.js, qui n’utilise pas le magasin de certificats du système d’exploitation.

Ajout de runners auto-hébergés pour les mises à jour de Dependabot

1. Provisionnez des exécuteurs auto-hébergés au niveau du dépôt, de l’organisation ou du compte d’entreprise. Pour plus d’informations, consultez « Exécuteurs auto-hébergés » et « Ajout d’exécuteurs auto-hébergés ».

2. Installez les exécuteurs auto-hébergés en respectant les exigences décrites ci-dessus. Par exemple, sur une machine virtuelle exécutant Ubuntu 20.04, vous devez :

   • Installez Docker et assurez-vous que les utilisateurs du runner ont accès à Docker. Pour plus d’informations, consultez la documentation Docker.
     • Installer le moteur Docker sur Ubuntu
     • Approche recommandée : Exécuter le démon Docker en tant qu’utilisateur non racine (mode sans racine)
     • Autre approche : Gérer Docker en tant qu’utilisateur non racine
   • Vérifiez que les runners ont accès à l’Internet public et qu’ils ne peuvent accéder qu’aux réseaux internes requis par Dependabot.
   • Installez tous les certificats auto-signés pour votre GitHub Enterprise Server instance ou pour les registres qui Dependabot devront interagir avec.
     • Configurez Node.js pour utiliser le même certificat. Pour plus d’informations, consultez « Résolution des problèmes GitHub Actions pour votre entreprise ».

3. Attribuez une étiquette dependabot à chaque exécuteur que vous souhaitez que Dependabot utilise. Pour plus d’informations, consultez « Utilisation d’étiquettes avec des exécuteurs auto-hébergés ».

4. Si vous le souhaitez, activez les flux de travail déclenchés par Dependabot afin qu’ils puissent utiliser des autorisations autres que celles en lecture seule et accéder à tous les secrets normalement disponibles. Pour plus d’informations, consultez « Résolution des problèmes GitHub Actions pour votre entreprise ».