オープンソース依存関係のコンプライアンス維持における GitHub の取り組み

毎日、GitHub のエンジニアたちは、GitHub プラットフォーム、社内アプリケーション、オープンソースプロジェクトに新しい依存関係（dependencies）を導入しています。GitHub は単なるオープンソースの拠点であるだけでなく、オープンソースによって支えられています！そして、オープンソースを責任を持って利用する上で重要な部分は、あなたが依存しているプロジェクトを規律づけるライセンスを尊重することです。 GitHub では、オープンソースコミュニティおよび私たちが使用する依存関係に対する義務を果たすことにコミットしています。ここでは、私たちのオープンソースプログラムオフィス（OSPO）が、新しい GitHub ライセンスコンプライアンス機能を使用して数千の依存関係をどのように管理しているかをご紹介します。 オープンソースライセンスのコンプライアンスプロセスの管理 ほぼすべてのソフトウェアには何らかのライセンス契約が付随しています。このライセンスは、あなたがそのプロジェクトの使用義務を遵守する限り、プロジェクトを使用することを許可します。これらの義務は、ドキュメントで元の著者にクレジットを与えるという単純なものから、プログラムを配布する際にソースコード全体を公開するというものまで様々です。場合によっては、ライセンスが特定の活動や使用カテゴリを制限することもあります。 あなたの組織には、ビジネスモデル、ソフトウェアエコシステム、および配布戦略に基づいた、許容されるライセンスに関する独自のポリシーがあるはずです。例えば、あなたが組織で商用のクローズドソースバイナリアプリケーションを販売している場合、独自コードをオープンソース化することを要求する依存関係を防止したいと思うかもしれません。 あるいは、オープンソースパッケージとしてリリースする予定のプロジェクトを持っている場合かもしれません。この場合、商用ライセンスや互換性のないオープンソースライセンスによって管理される依存関係を含めないようにしたいと考えられるでしょう。 どちらのシナリオでも必要な義務を遵守できない場合は、法的または運用上のリスクを防ぐために、その依存関係を避けるべきです。後からこれらのライセンスを削除するにはエンジニアリングの労力が必要になる可能性があります。エンタープライズソフトウェアにおいては、非コンプライアンスによるビジネスリスクは極めて大きく、高額の訴訟や評判の毀損につながる恐れがあります。 従来、ライセンスレビューは手動またはサードパーティ製ソフトウェアによって行われていました。しかし現在、GitHub は GitHub Advanced Security の顧客向けにライセンスコンプライアンス機能を提供しており、プルリクエスト上で新しい依存関係を直接レビューできるようになりました。このレビューにより、それらの依存関係のライセンスがポリシーに準拠していることを確認できるだけでなく、新しいライセンスや個別プロジェクトを許可するようにポリシーを拡張する柔軟性も提供されます。 2 ヶ月前、GitHub の OSPO は、コンプライアンス管理のために自社で構築した社内専用ツールから、この新機能へ移行しました。早期採用者として、私たちは開発チームに迅速なフィードバックを提供し、複雑なコンプライアンス要件を持つ大規模で高速に変化する企業においても、この機能が基準を満たすことを確保する手助けをしました。 ポリシー成功のための設定 GitHub は製品導入前に内部のライセンスコンプライアンスツールを構築していたため、初期ポリシーとして使用する既存の許容リストを持っていました。多くの依存関係が MIT、Apache 2.0、BSD-3-Clause といった一般的な寛容なライセンスを使用していることに気づくでしょう。これらはポリシーを策定するための良好な出発点となります。当初は、「評価」モードで組織全体のルールセットにこの機能を展開し、プルリクエストに注釈を付与するもののマージをブロックしないようにしました。これにより、開発者の生産性を阻害することなく、新しいワークフローに慣れさせることができました。旧ツールと新ツールを並行して実行したことで、両者の挙動が乖離していないかも確認できました。この運用モードで約 1 ヶ月を経た結果、アラートは主に、異常なライセンス、未記載のライセンス、または明示的に禁止されたライセンスを持つパッケージに集中する状態となりました。 ![image](https://github.blog/wp-content/uploads/2026/06/613757407-388b97bc-ca84-416a-aac5-72e4924e5dc8.png?resize=936%2C504) GitHub のライセンスコンプライアンスの仕組み 内部では、ライセンス準拠チェックはルールセットを通じて有効化されています。対象となるリポジトリにはカスタムプロパティを指定し、そのプロパティの値によって「Active」モードまたは「Evaluate」モードでライセンスチェックが有効になるかが決定されます。ルールセットの対象となっているリポジトリにおいて、プロジェクトの依存関係を変更するプルリクエストが発生すると、各新しい依存関係で使用されているライセンスを検索するスキャンが実行されます。新しい依存関係のライセンスがすでに許可されている場合や、パッケージ固有の例外がある場合は、チェックは通過します。一方、直接または間接的な依存関係に問題がある場合、ツールはプルリクエストにコメントし、問題のある各パッケージに対するアラートを出力します。 ![image](https://github.blog/wp-content/uploads/2026/06/613757492-a055f40b-3546-4726-8ff8-fa28f2729d44.png?resize=936%2C598) 開発者はその後、これらのアラートを確認します。依存関係が許容できないと判断された場合は、コードを更新するか、プルリクエストをクローズしてその依存関係を削除します。一方、ライセンスやパッケージの許可が必要だと考える場合は、例外申請を行うことができます。これにより、組織内の特定のチームに通知が行き、ポリシーの修正の有無および方法を決定する権限を持つチームが対応します。 ライセンスポリシーチームの1日 GitHub のライセンスポリシーチームは、OSPO（オープンソースプログラムオフィス）のメンバーと、ライセンスレビューおよびサプライチェーン分析に専門知識を持つエンジニアで構成されています。当社が世界中に展開する企業であるため、ポリシーレビューチームには時差を考慮した各地域のメンバーが在籍し、アラートを迅速に確認しています。現在、ライセンスリクエストの審査に関する SLA（サービスレベルアグリーメント）の整備を進めていますが、実際には新規リクエストのトリアージ（選別・優先順位付け）まで数時間以内に完了することがほとんどです。 チームメンバーは新しいレビュー依頼のメール通知を受け取り、またダッシュボードにアクセスして保留中のリクエストのバックログを確認することもできます。 リクエストを承認する際、私たちは2つの判断ポイントを持っています。まず、ライセンスまたはパッケージを許可するかどうかです。次に、適用範囲としてエンタープライズレベルかリポジトリレベルのどちらを使用するかを決定します。安全なライセンスで以前に出現したことがないものについては、エンタープライズレベルで追加し、GitHub 上のどこでもそのライセンスを持つ依存関係を許可できるようにします。一部のパッケージは商用ライセンスを持っており、すべての場所で許可することはできませんが、ソフトウェアを購入したチームが所有するリポジトリ内では許可されるべきです。そのため、これらのポリシー改正はリポジトリレベルで追加されます。パッケージ例外は、通常ライセンスデータが関連付けられていない内部ソフトウェアに対して有用です。便利なことに、このツールはパッケージ例外に対するワイルドカード一致をサポートしています。例えば、@github-ui/* React ネームスペース内のすべてを許可しているため、それらのパッケージを一つずつ承認する必要はありません。 開発者にとっての使いやすさ このプロセスを支援するため、GitHub OSPO への連絡方法や、緊急時の「ブレークグラス」オーバーライドの使用方法に関する手順を整備しました。こうした状況は稀であるべきですが、時間的制約が極めて厳しいプルリクエストに対しては、明確な緊急オーバーライドのプロセスが不可欠です。前述した通り、ライセンスポリシーの適用はルールセットを通じて行われ、その条件はカスタムプロパティに依存しています。したがって、このプロパティの値を切り替えることで、ライセンスアラートによってブロックされている重要な修正が必要な場合に、一時的に適用を無効化することができます。これまでにこの機能を使用したのは一度きりでしたが、選択肢として用意されていたことは非常に役立ちました。 また、開発者がライセンスコンプライアンスの重要性を理解できるよう、内部ドキュメントとトレーニングも提供しています。究極的には、コンプライアンスの確保とリスク管理は全員の仕事であり、私たちがそのプロセスを可能な限り容易にする役割を担っています。 まとめ ライセンスコンプライアンスは、ソフトウェアサプライチェーンを管理する上で極めて重要な要素です。開発者が GitHub のライセンスポリシーに合致した依存関係を選択できるよう支援することで、高価な書き直しや潜在的な法的問題を防いでいます。私たちは数ヶ月にわたり、新しい GitHub License Compliance 機能を積極的に利用し、フィードバックを提供してきました。現在、この機能がパブリックプレビュー段階に入ったことで、より多くの企業が採用する様子を楽しみにしており、これから始められる方々にとって私たちの経験が何らかの指針となれば幸いです。 GitHub Enterprise Cloud のお客様は、アクティブな GHAS Code Security ライセンスを保有するリポジトリ全体で、ライセンスコンプライアンス機能を利用できます。詳細については、「オープンソースライセンスのコンプライアンスについて」をご覧ください。 「GitHub がオープンソース依存関係のコンプライアンスをどのように維持しているか」という記事は、最初に The GitHub Blog で公開されました。

オープンソース依存関係のコンプライアンス維持における GitHub の取り組み

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト