サポートされているパッケージパッケージマネージャーと機能

GitLabパッケージレジストリは、パッケージの種類ごとに異なる機能をサポートしています。このサポートには、パッケージの公開とプル、リクエストの転送、重複の管理、認証が含まれます。

サポートされているパッケージマネージャー

パッケージレジストリは、次のパッケージマネージャーの種類をサポートしています:

各ステータスの意味を表示。

APIを使用してパッケージレジストリを管理することもできます。

パッケージの公開

パッケージは、プロジェクト、グループ、またはインスタンスに公開できます。

パッケージのプル

パッケージは、プロジェクト、グループ、またはインスタンスからプルできます。

リクエストの転送

プロジェクトのパッケージレジストリにパッケージが見つからない場合、GitLabはリクエストを対応するパブリックレジストリに転送できます。たとえば、Maven Central、npmjs、またはPyPiなどです。

デフォルトの転送動作はパッケージの種類によって異なり、依存関係の混乱が発生する脆弱性を引き起こす可能性があります。

関連するセキュリティリスクを軽減するには、次の手順に従います:

• パッケージがアクティブに使用されていないことを確認します。
• リクエストの転送を無効にします:
  • インスタンス管理者は、管理者エリアのContinuous Integration（継続的インテグレーション）セクションで転送を無効にできます。
  • グループオーナーは、グループ設定のPackages and Registries（パッケージとレジストリ）セクションで転送を無効にできます。
• Gitのようなバージョン管理されたツールを実装して、パッケージへの変更を追跡します。

パッケージの削除

パッケージのリクエストがパブリックレジストリに転送される場合、パッケージを削除すると、依存関係の混乱の脆弱性になる可能性があります。

システムが削除されたパッケージをプルしようとすると、リクエストがパブリックレジストリに転送されます。パブリックレジストリに同じ名前とバージョンのパッケージが見つかった場合、代わりにそのパッケージがプルされます。レジストリからプルされたパッケージが予想されるものではない可能性があり、悪意のあるものである可能性さえあります。

関連するセキュリティリスクを軽減するために、パッケージを削除する前に、次のことを行います:

• パッケージがアクティブに使用されていないことを確認します。
• リクエストの転送を無効にします:
  • インスタンス管理者は、管理者エリアのContinuous Integration（継続的インテグレーション）セクションで転送を無効にできます。
  • グループオーナーは、グループ設定のPackages and Registries（パッケージとレジストリ）セクションで転送を無効にできます。

他のリポジトリからのパッケージのインポート

GitLabパイプラインを使用して、Maven CentralやArtifactoryなどの他のリポジトリから、package importer toolでパッケージをインポートできます。

重複の許可または防止

デフォルトでは、GitLabのパッケージレジストリは、特定のパッケージマネージャー形式のデフォルトに基づいて、重複を許可または防止します。

レジストリで認証

認証は、使用しているパッケージマネージャーによって異なります。特定のパッケージタイプでサポートされている認証プロトコルについては、「認証プロトコル」を参照してください。

ほとんどのパッケージの種類では、次の認証トークンが有効です:

• パーソナルアクセストークン
• プロジェクトデプロイトークン
• グループデプロイトークン
• CI/CDジョブトークン

次の表に、特定のパッケージマネージャーでサポートされている認証トークンを示します:

認証プロトコル

次の認証プロトコルがサポートされています:

サポートされているハッシュの種類

ハッシュ値は、正しいパッケージを使用していることを確認するために使用されます。これらの値は、ユーザーインターフェースまたはAPIで表示できます。

パッケージレジストリは、次のハッシュの種類をサポートしています: