> ## Documentation Index
> Fetch the complete documentation index at: https://docs.replit.com/llms.txt
> Use this file to discover all available pages before exploring further.

# リポジトリへのコントリビューションのセキュリティ

> リポジトリの権限、サンドボックスの境界、認証情報の取り扱い、変更の承認を確認し、コードを扱う際のAgentのアクセスを把握します。

リポジトリへのコントリビューションは、特権を伴う開発作業として扱ってください。Agentは、接続されたクラウドサンドボックス内のファイルを調べて変更し、リポジトリのコマンドを実行できます。マージする前に、付与するアクセス、サンドボックスで利用できるデータ、提案されたすべての変更を確認してください。

## 作業を始める前にアクセスを制限する

* 個人のGit連携を通じて、必要なリポジトリのみを接続します。付与された権限と、組織のレビューポリシーを確認してください。
* 環境は、必要最小限の共有セットアップで構成します。事前構築されたイメージ、ビルド手順、チャットメッセージ、コミットされるファイルに機密データを含めないでください。
* シークレットは、可能な限り狭いスコープで、安全なチャットフローを通じて提供します。対応している場合は、信頼範囲を絞ったマシンアイデンティティと、有効期間の短いプロバイダー認証情報を使用してください。[環境にシークレットを追加する](https://docs.replit.com/ja/build/code/adding-secrets-to-environments.md)と[マシンアイデンティティ](https://docs.replit.com/ja/build/code/machine-identities.md)をご覧ください。
* リポジトリの指示とサードパーティの依存関係は、頼る前に確認してください。Replitは`AGENTS.md`と`CLAUDE.md`のガイダンスをAgentが利用できるようにします。変更にどの指示が適用されるかを確認してください。

## 結果をレビューする

Agentに、変更されたファイル、関連するテスト、必要としたアクセスを尋ねます。予期しない編集や認証情報がないかdiffを確認し、通常のチェックを実行し、チームのプルリクエストまたはマージリクエストの承認を利用してください。テストの合格やAgentの要約は、コードレビューの代わりにはなりません。本番デプロイとマージの権限は、チームがすでに使用している担当者とシステムに残してください。

リクエストの例: 「ドラフトPRを提案する前に、変更したファイルを一覧にし、それぞれを変更した理由を説明し、関連するテストを実行し、認証情報、依存関係、権限の変更があればレビュー用にフラグを立ててください。」

## 分離と保証

Replitのサンドボックスランタイムは、micro VMを中心に設計されています。micro VMは軽量な仮想マシンで、開発ワークロードとその補助プロセスを内包します。分離境界となるのはmicro VMであり、その内部のコンテナは同等の別個の境界ではありません。

チャットは作業を調整し、接続されたサンドボックスがリポジトリのコマンドを実行します。これは、会話そのものをデプロイされたアプリケーションとして扱ったり、アプリをReplit Projectに移したりすることとは異なります。

分離しても、サンドボックス内で実行されるコードに付与した権限がなくなるわけではありません。開発用の認証情報にアクセスできるプロセスは、その権限を使用できます。認証情報を制限し、それに応じてリポジトリのセットアップコマンドをレビューしてください。

保証レビューで頼る前に、現在のアーキテクチャとコンプライアンスに関する主張をセキュリティチームと確認してください。このガイドは、データレジデンシー、ネットワークの分離、認定についての保証を行うものではありません。

サンドボックスのライフサイクルについては[Replitでのコーディングの仕組み](https://docs.replit.com/ja/build/code/working-with-code.md)を、レビューのワークフローについては[変更とプルリクエスト](https://docs.replit.com/ja/build/code/navigate-your-workspace.md#changes-and-pull-requests)をご覧ください。