PythonプロジェクトにおけるDependabotベースの依存関係グラフ
GitHubはPythonプロジェクト向けにDependabotを活用した依存関係グラフとSBOMの精度を向上させる新機能を公開し、コスト削減と組織設定の一元化を実現した。
キーポイント
依存関係グラフとSBOMの精度向上
Pythonプロジェクトの推移的依存関係ツリーをより完全かつ正確に可視化し、セキュリティ監査とサプライチェーン管理の基盤を強化する。
新Dependabotジョブタイプの採用
依存関係スナップショットを構築しDependency Submission APIに直接アップロードする新しい処理方式により、自動提出機能と同等の可視化を実現する。
コスト削減とプライベートレジストリ連携
GitHub Actionsの課金対象外となり、組織全体のプライベートレジストリ設定を参照可能になるため、大規模プロジェクトの運用負荷が軽減される。
主要パッケージマネージャーの包括的サポート
pip、uv、Poetry（v1およびv2）などPythonエコシステムの主流なパッケージ管理ツールへの互換性が確保され、開発ワークフローの標準化が促進される。
影響分析・編集コメントを表示
影響分析
本機能は、Pythonを基盤とするAI・機械学習プロジェクトのセキュリティ監査とサプライチェーン管理（SBOM）を効率化する。課金コストの削減と組織設定の一元化により、大規模なオープンソースAIライブラリの依存関係追跡が現実的なコストで実施可能となり、開発者のセキュリティコンプライアンス負担を軽減する。
編集コメント
開発者向けの実用的なプラットフォーム改善であり、AIプロジェクトの依存関係管理コストを下げつつセキュリティ基準を満たすための重要な一歩となる。
Pythonプロジェクトの依存関係グラフ（dependency graphs）やソフトウェアBill of Materials（SBOMs）には、より完全で正確な推移的依存関係ツリー（transitive dependency trees）が表示されるようになりました。
この機能は、依存関係スナップショット（dependency snapshot）を構築しDependency Submission APIにアップロードする新しいタイプのDependabotジョブに基づいています。依存関係の自動提出（dependency autosubmission）に似ていますが、アクション分（actions minutes）の課金が発生せず、Dependabot用に設定したプライベートレジストリ（private registries）の組織全体の構成にアクセスできる点が異なります。
このリリースでは、pip、uv、Poetry（v1およびv2）を含むPython用の主要パッケージマネージャー（package managers）すべてがサポートされています。
詳細については、「依存関係グラフの設定」をご覧ください。
「Python向けのDependabotベースの依存関係グラフ」の記事は、The GitHub Blogで最初に公開されました。
原文を表示
Python projects will now see more complete and accurate transitive dependency trees in their dependency graphs and Software Bills of Materials (SBOMs).
This feature is based on a new type of Dependabot job that builds a dependency snapshot and uploads it to the Dependency Submission API. It’s similar to dependency autosubmission, but it does not incur charges for actions minutes and can access organization-wide configurations for private registries you’ve set up for Dependabot.
This release supports all the major package managers for Python, including pip, uv, and Poetry (v1 and v2).
For more information, see Configuring the dependency graph.
The post Dependabot-based dependency graphs for Python appeared first on The GitHub Blog.
関連記事
SBOMエクスポートが非同期処理に変更
GitHubが、リポジトリページと新APIエンドポイントからのSBOM（ソフトウェア部品表）エクスポート処理を非同期化した。これにより、大規模リポジトリでもタイムアウトせずにSBOMを生成できるようになった。
シャドー IT からシャドー AI へ：AI-BOM の登場
企業サプライチェーンのセキュリティ強化において、従来のソフトウェア部品表（SBOM）では不十分となったため、AI アプリケーションやエージェントを含む全構成要素を把握する「AI-BOM」が新たな対策として導入される。
pip 26.1 の新機能：ロックファイルと依存関係のクールダウン
Richard Si 氏は、Python のパッケージ管理ツール pip の新版 26.1 で導入されたロックファイル機能と依存関係のクールダウン機構について解説している。また、Python 3.9 のサポート終了にも言及し、開発環境の標準化が進んでいることを示している。