Лицензии зависимостей в GitHub Enterprise: merge только после compliance

GitHub вынес в общий доступ проверку лицензий open source для Enterprise Cloud — в том числе для data-resident GHEC. На репозиториях с GitHub Code Security политика организации и автоматические проверки в pull request заменяют разрозненный dependency review action единой enterprise license policy.

Как режет merge

Подключение — ruleset с условием Require license compliance results before merging, по той же схеме, что code scanning. Добавили или сменили зависимость в PR — каждый новый пакет сверяют с допустимыми лицензиями. Несовпадение даёт аннотацию; закрыть её можно удалением или заменой пакета, правкой политики или оформлением package exception.

Для разборов исключений завели роль Enterprise Open-Source License Manager. Policy managers получают письма о pending requests и смотрят очередь в enterprise console.

Что дотянули с июньского превью

• лицензии для клиентов GHEC с data residency — в dependency graph и в экспорте SBOM;
• audit log events при смене license policy — для внешних систем учёта;
• REST API на скачивание, обновление и замену enterprise license policy;
• отдельный endpoint: пакет проходит политику или нет — в changelog его связывают с coding agents, чтобы не рекомендовать и не вносить запрещённые зависимости.

Пошаговая настройка — в About open source license compliance; эндпоинты dependency graph — в REST API reference.

Источник: Open source license compliance generally available.