こちらの記事はhacomono Advent Calendar 2023の17日目の記事です

はじめに

こんにちは、hacomonoでエンジニアをやっております野崎（社内ではサイモンと呼ばれています）です。

ここ数ヶ月で作業的に運用できるようになってきた、renovate/dependabotの運用を書いてみます。

renovate/dependabot

renovate / dependabot は、どちらもリポジトリのソースコードに含めている依存ライブラリ（パッケージ）を自動でスキャン、および更新PRを作成してくれるサービスです。

これらはどちらも、「自動でPRを作成してくれる」便利なサービスですがdependabotはライブラリの脆弱性監視に重心があるいっぽうでrenovateはライブラリの更新全般をサービスのスコープとしています。

本記事ではそれらをどのように運用しているのか、またその理由を書きます。具体的な導入や設定の方法は各サービスのドキュメントをご参考ください。

なお、renovate/dependabotは運営元の異なるサービスですが私のチームではまとめて取り扱っている（区別する理由があまりない）ので、以下断りがなければ区別せず取り扱っているものとします。

自動PRによる更新オペレーションの対象

本稿が対象とするrenovate/dependabotの対象リポジトリは、私がおもに関わっているプロジェクトです。

SaaSの本体とはアーキテクチャもリポジトリも別れているコードベースであるため、モノレポ・モノリスで運用する場合と比較すると難易度は低くなっています。

依存ライブラリも負債になる

具体的な運用にふれる前に、renovate/dependabot対応の重要性認識について触れておきたいと思います。

脆弱性への対処は常にやったほうが良いのはもちろんのこと、依存ライブラリの更新もできれば常にやっておきたい、と考えております。

重要なライブラリ（httpクライアントやjsonパーサ、その他便利ツール）を使っているとして、あるバージョンを境に破壊的な変更が加わってしまい、その後メンテナンスが困難になってしまうケースはよくあると思います。

最悪、メンテナンスされなくなり非推奨になってしまうことも…

メンテナンスが困難な状況になってしまうと、最新のバージョンを導入したり互換性のあるライブラリを検証したりといった作業が発生し、製品開発を止めなければならなかったり悪いときには放置するしかない状況に追い込まれる可能性もあります。

手遅れになる前に打てる対処をしておくのが、今の私のモチベーションになっています。

負債は常に返す

B/Sにおける負債のメタファーとは異なり、技術的な負債になりそうなものは常に更新しておくことで手がつけられない状態を防ぎたいですし、そういった意味でrenovate, dependabotの更新は負債になりうるものとして「やばくなったらまとめてみる」のを割けたいです。

リファクタリング同様、ライブラリの更新は「重要かつ緊急」な課題と（私個人は）位置づけています。

とはいえ、製品開発を見ているチームが、リファクタリングやライブラリアップデートに十分な注意や時間を払えないのも十分に承知しています。短期的に効果が見えないものなので、作業の価値が低く見られやすいですし、直接的に換金できる作業でもありません。

そのため依存ライブラリの更新は、ルールに則って運用的に更新できるのが望ましいと考えています。

renovate/dependabotの運用

設定を共有する

renovateは、更新タイミングや自動マージ可否など、非常に数多くの設定をいれることができます（導入できる設定は Configuration Options を参考）。

renovateの設定を簡素かつ共通にできるよう、設定自体はリポジトリに持たず中央集権的なリポジトリを用意してそれを各プロジェクトで読み込んでいます。

共通の設定を使う側のプロジェクトでは、 renovate.json を以下のように記述し、読み込む運用としています。

{
  $schema: 'https://docs.renovatebot.com/renovate-schema.json',
  extends: [
    'github>hacomono-lib/renovate-config:base',
    'github>hacomono-lib/renovate-config:npm',
    'github>hacomono-lib/renovate-config:npm-lockfile',
    'github>hacomono-lib/renovate-config:github-actions',
    'github>hacomono-lib/renovate-config:pre-commit'
  ]
}