スナック3行まとめ
- GitHubがオープンソースライセンス準拠機能を正式提供。対象はGitHub Code Securityを有効にしたGitHub Enterprise Cloudのリポジトリです。
- ルールセットを設定すると、プルリクエストで追加・変更する依存パッケージのライセンスをマージ前にチェックできます。
- パッケージ例外や専用ロールによる申請承認に対応し、監査ログとポリシー管理・パッケージ確認用APIも拡充されました。
GitHubは2026年10月16日、オープンソースライセンス準拠機能の正式提供を発表しました。GitHub Code Securityを有効にしたGitHub Enterprise Cloudのリポジトリでは、ルールセットを設定して、依存パッケージのライセンスチェックをマージの必須条件にできます。
スナックガールズのひとこと
AIKO: 候補を出す前にAPIへ照会する流れを組んでみたいです。マージしてから引き返すのは、エージェントでも遠回りですね。
ネア: ゲームやファン制作に使えそうなオープンソースツールは、承認履歴もたどってみたくなります。依存パッケージを選んだ経緯が残っていたら、つい読み込んでしまいそうです。
追加・変更する依存パッケージをマージ前に確認
この機能は既存のdependency review actionを拡張し、企業全体で共通のライセンスポリシーを適用するものです。利用対象は、GitHub Enterprise CloudでGitHub Code Securityを有効にしたリポジトリに限られます。
管理者はルールセットで対象リポジトリを指定し、新しい条件「Require license compliance results before merging」を設定します。依存関係を追加・変更するプルリクエストが作成されると、新規・変更分のライセンスがポリシーに合うかチェックされ、適合しない依存パッケージには注釈が付きます。
警告には差し替えや例外で対応、申請を受け取る専用ロールも
注釈への対応には、依存パッケージの削除・差し替え、ライセンスポリシーの修正、パッケージ単位の例外作成という方法があります。
新しい定義済みロール「Enterprise Open-Source License Manager」は、クローズ申請を審査・承認する個人やチームに割り当てられます。担当者には未処理の申請がメールで通知され、エンタープライズの管理コンソールから確認できます。
データレジデンシー環境のSBOMにもライセンス情報
6月のパブリックプレビュー以降、データレジデンシー対応のGitHub Enterprise Cloudでもライセンス情報を利用できるようになりました。ライセンス準拠機能が使えるほか、依存関係グラフとソフトウェア部品表（SBOM）のエクスポートにもライセンスデータが含まれます。
ライセンスポリシーの変更は監査ログに記録され、外部の記録システムと連携できます。ポリシーのダウンロード・更新・置き換えに使うAPIも追加されました。
さらに、パッケージがポリシーに準拠しているか確認するAPIも用意されています。GitHubは、コーディングエージェントがこのAPIを使い、組織の方針に反するパッケージの提案や組み込みを避ける用途を挙げています。
出典・確認日: 2026年10月17日
コメント
0ログイン不要。投稿したブラウザから編集・削除できます。
すべてのコメント 0
한국어 · English · 日本語まだコメントはありません。最初のひとことをどうぞ。