Zennに新しい技術記事を公開しました。
依存関係の回避策を棚卸しする — 4リポジトリ・9種類の仕組みから見えた管理上の課題
https://zenn.dev/kmryst/articles/dependency-workaround-inventory
個人開発で運用している4つのリポジトリを対象に、npm overrides、Yarn resolutions、Dependabot ignore、CIの脆弱性監査例外など、依存関係に関する9種類の仕組みを調査しました。
それぞれの仕組みについて、何を抑止しているのか、判断や記録がどこにあるのか、不要になった際にどう撤去するのかを整理しています。
調査を進めるなかで、同じ脆弱性についてCIの監査例外とGitHubのDependabot alertsが別々に管理されていることや、reusable workflowの提供側と呼び出し側で管理が分断されていることが明らかになりました。
個々の仕組みが正しく動作していても、システム全体として一貫した管理ができているとは限りません。
今回は解決策の実装には踏み込まず、現状の把握と問題の構造化に重点を置きました。
今後は今回の調査結果をもとに、これらの仕組みをどこまで統一し、どのように管理するべきかを検討していく予定です。
#DevOps #SRE #PlatformEngineering #Dependabot #GitHubActions
