GitHubは2026年10月16日、オープンソースソフトウェア(OSS)のライセンス準拠機能「Open source license compliance」を一般提供しました。GitHub Enterprise CloudでGitHub Code Securityを有効にしたリポジトリが対象で、企業共通のライセンスポリシーに基づき、コードの変更を取り込む前の確認を必須にできます。
依存関係の追加・変更を自動確認
この機能は、ソフトウェアが利用する外部パッケージなどの「依存関係」を追加・変更するときに、ライセンスを自動確認するものです。変更の取り込みを提案するプルリクエスト上で、ポリシーに準拠しない依存関係ごとに注記します。
企業全体で共通の依存関係ライセンスポリシーを適用できます。また、ルールセットを使うと、変更を統合する「マージ」の前に、ライセンス準拠の確認を必須にできます。確認結果を表示するだけでなく、取り込み前の手順に組み込める点が変更点です。
違反への対処方法として、依存関係の削除・置換、ポリシーの修正、パッケージの例外設定が示されています。どの対応を選ぶかを開発担当だけに任せず、社内のライセンス判断を担う担当者と決めておくことが、導入時の実務上の論点になります。
要求の審査とポリシー変更の記録にも対応
新たな定義済みロールとして「Enterprise Open-Source License Manager」が用意されました。クローズ要求を審査・承認する個人やチームに割り当てるものです。ポリシー管理者には保留中の要求がメールで通知され、管理者は企業向けコンソールから要求を確認できます。ライセンスポリシーの変更は監査ログに記録されます。
データレジデンシー対応のGitHub Enterprise Cloudも対象です。データレジデンシーは、データを保存する地域に関する仕組みです。この環境でもライセンス情報を提供し、依存関係グラフと、ソフトウェアの構成部品表であるSBOMの出力に含めます。
さらに、企業のライセンスポリシーを取得・更新・置換するAPIと、パッケージの準拠状況を確認するAPIを新設しました。APIは外部のプログラムから機能を利用するための窓口です。GitHubは、これによりコーディングエージェントが違反パッケージの推奨・導入を避けられるとしています。
日本での提供は発表には書かれていません。日本語対応、日本向けの価格、対象となる具体的なリージョンについても記載はありません。
影響する会社・しない会社
- 影響する: GitHub Enterprise Cloudを利用し、GitHub Code Securityを有効にしたリポジトリを持つ会社です。依存関係の変更時に、企業共通のライセンス確認を組み込む対象になります。
- 影響する: データレジデンシー対応のGitHub Enterprise Cloudを利用する会社です。対象リポジトリでは、依存関係グラフやSBOM出力に含まれるライセンス情報も確認対象になります。
- 影響しない: GitHub Code Securityを有効にしていないリポジトリは、今回示された利用対象には含まれません。GitHubを使っているだけで、すべてのリポジトリが対象になるわけではありません。
情シスが今日やること
- 今日の確認作業では、GitHubの契約を管理する担当者と開発責任者に、Enterprise Cloudの利用有無と、Code Securityを有効にしたリポジトリの一覧を確認します。導入検討の対象を、まずこの条件で絞ります。
- マージ前の確認を必須にする前に、開発責任者とライセンス判断の担当者で、共通ポリシーと違反時の対応を整理します。削除・置換、ポリシー修正、例外設定のうち、誰がどれを判断するかを決めます。
- 対象リポジトリのルールセットについて、ライセンス準拠確認を必須にする設定を開発管理者と確認します。依存関係を追加・変更するプルリクエストで、注記を誰が確認するかも、運用開始前に開発チームへ知らせます。具体的な設定画面の経路は発表には書かれていません。
- 企業向けコンソールで要求を確認する担当を決め、Enterprise Open-Source License Managerの割り当て先を整理します。運用開始前に、保留中の要求を知らせるメールへの対応者と、ポリシー変更時に監査ログを確認する担当も共有します。
