깃허브, 의존성 라이선스 검사를 병합 조건으로 연결

한국 개발 조직이 이번 발표에서 확인할 지점은 라이선스 검사 결과를 병합 절차에 어떻게 반영하느냐다. 깃허브는 10월 16일 오픈소스 라이선스 준수 기능을 정식 제공한다고 발표했다. 회사가 안내한 대상은 코드 보안 기능을 활성화한 기업용 클라우드 저장소이며, 데이터 레지던시 환경도 포함된다.

깃허브 설명에 따르면 기업 라이선스 정책을 저장소에 적용하려면 규칙 집합에서 준수 검사 결과를 병합 조건으로 지정한다. 검사 대상은 풀 리퀘스트에서 추가하거나 변경한 의존성이다. 따라서 이번 안내의 범위를 저장소 전체에 대한 포괄적인 법률 검토로 넓혀 해석해서는 안 된다.

위반이 표시됐을 때의 처리 경로도 하나로 고정돼 있지 않다. 회사는 의존성을 제거하거나 다른 것으로 교체하는 방법, 정책을 수정하는 방법, 해당 패키지의 예외를 만드는 방법을 안내했다. 어떤 경로를 선택할지는 조직의 정책과 검토 절차에 연결되는 문제다.

승인 요청을 검토할 담당자나 팀에는 기업 오픈소스 라이선스 관리자 역할을 부여할 수 있다고 깃허브는 밝혔다. 개발팀 입장에서는 병합 조건을 설정하는 일과 함께 예외 요청을 누가 판단할지 정하는 일이 필요하다. 예외 처리와 정책 수정은 서로 다른 선택이므로 검토 과정에서도 구분할 만하다.

운영 기록과 자동화에 관한 추가 사항도 발표됐다. 깃허브는 기업 정책을 조회·수정·교체하는 API와 패키지의 정책 준수 여부를 확인하는 API를 추가했다고 설명했다. 정책 변경은 감사 로그에 기록된다. 데이터 레지던시 고객에게 제공하는 라이선스 정보는 의존성 그래프와 소프트웨어 자재명세서(SBOM) 내보내기에도 포함된다는 안내다.

별도의 배경으로 W3C는 9월 16일 오픈소스 지원 프로그램의 첫 시범 대상으로 검증 가능한 자격증명의 호환성 대시보드 Can I VC?를 소개했다. 코드는 회원사 Digital Bazaar가 기여했다. W3C가 설명한 상호운용성 절차와 지식재산권 정책은 자체 프로그램에 관한 내용이며, 깃허브 기능의 작동이나 효과를 확인한 자료는 아니다.