GitHub Enterprise Cloud: Open-Source-Lizenz-Compliance jetzt allgemein verfügbar

Was ist neu

GitHub Enterprise Cloud stellt die Funktion „Open source license compliance" ab sofort allgemein bereit. Das Feature ermöglicht Unternehmen, Lizenzen ihrer Abhängigkeiten zentral und in großem Maßstab zu verwalten — mit regelgestützten automatisierten Checks, die eine unternehmensweite Lizenzrichtlinie durchsetzen.

Das System funktioniert über Rulesets, die eine neue Bedingung namens „Require license compliance results before merging" verwenden. Sie ähnelt damit bestehenden Code-Scanning-Bedingungen. Wenn Entwickler Pull Requests öffnen, die Abhängigkeiten hinzufügen oder ändern, prüft das System automatisch, ob jede neue oder modifizierte Abhängigkeit eine akzeptable Lizenz hat. Noncompliant Dependencies werden direkt im Pull Request annotiert. Das Team kann dann entweder die problematische Abhängigkeit entfernen oder ersetzen, die Lizenzrichtlinie anpassen oder paketspezifische Ausnahmen erstellen.

GitHub führt dafür eine neue vordefinierte Enterprise-Rolle ein: „Enterprise Open-Source License Manager". Diese Rolle können Unternehmen Einzelpersonen oder Teams zuordnen, die Anfragen zur Richtlinienänderung genehmigen sollen. Diese Manager erhalten E-Mail-Benachrichtigungen über ausstehende Anfragen und können diese über die Enterprise-Konsole überprüfen.

Seit der Public-Preview im Juni hat GitHub mehrere Verbesserungen durchgeführt:

Lizenzinformationen sind jetzt auch für Kunden mit GitHub-Enterprise-Cloud-Datenspeicherung verfügbar. Dies ermöglicht nicht nur die Lizenz-Compliance-Funktion selbst, sondern füllt auch den Dependency Graph und Software Bill of Materials (SBOM)-Exporte mit Lizenzdaten auf.

Änderungen an der Lizenzrichtlinie erzeugen nun Audit-Log-Events, wodurch sich das System mit externen Dokumentationssystemen integrieren lässt.

GitHub hat neue API-Endpoints hinzugefügt zum Herunterladen, Aktualisieren und Ersetzen der Enterprise-Lizenzrichtlinie sowie einen Endpoint zum Überprüfen, ob Pakete die Richtlinie erfüllen. Laut GitHub ermöglicht dieser letzte Endpoint sogenannte Coding Agents, Pakete zu vermeiden, die gegen die Lizenzrichtlinien verstoßen.

Die Funktion erweitert die Möglichkeiten der bestehenden Dependency-Review-Action.

Für wen, ab wann, zu welchen Bedingungen

Die Funktion steht ab sofort — GitHub nennt sie „generally available" — allen Kunden von GitHub Enterprise Cloud zur Verfügung. Das gilt auch für Kunden mit aktivierter Datenspeicherung (data-resident GHEC).

Voraussetzung ist, dass GitHub Code Security für die betreffenden Repositories aktiviert ist.

Zur Einrichtung verweist GitHub auf die Dokumentation „About open source license compliance". Neue API-Endpoints für REST sind verfügbar unter „REST API endpoints for dependency-graph". GitHub nennt keine Termine für weitere Funktionen oder Regionen.

Einordnung für DACH

Für Teams im deutschsprachigen Raum ist die Verfügbarkeit für data-resident GHEC relevant: Die Funktion läuft jetzt auch für Instanzen, die Daten innerhalb spezifischer Regionen speichern, etwa für Kunden mit Anforderungen zum Datenschutz. Das reduziert die Komplexität bei der Verwaltung von Open-Source-Abhängigkeiten in regulierten Umgebungen.

In der Praxis bedeutet das für DACH-Teams eine zusätzliche automatisierte Kontrollebene bei der Integration externer Bibliotheken — besonders relevant für Unternehmen, die strenge interne oder behördliche Vorgaben zur Lizenzverträglichkeit haben. Die zentrale Richtlinienverwaltung über die Enterprise-Konsole reduziert manuelle Abstimmungsprozesse über mehrere Teams hinweg. Audit-Log-Events ermöglichen auch die Nachverfolgung, wer wann welche Lizenzrichtlinien geändert hat — ein Punkt, der für Compliance-Dokumentation wichtig sein kann.

Für Enterprise-Kunden ist das Feature im bestehenden Abo enthalten.

Coding mit KI-Teams können mit dem neuen Policy-Compliance-API-Endpoint auch Automatisierungen bauen, die bereits bei der Codeentwicklung vor problematischen Abhängigkeiten warnen.

Quellen

• Offizielle Meldung von GitHub