Azure Artifacts アップストリームソース

[アーティクル]
04/04/2024

Azure DevOps Services | Azure DevOps Server 2022 - Azure DevOps Server 2019

アップストリームソースを使用すると、さまざまなソースのパッケージを 1 つのフィードに簡単に格納できます。これには、発行するパッケージと、外部フィードや、NuGet.org、npmjs.com、Maven Central、PyPI などのパブリックレジストリから使用するパッケージが含まれます。アップストリームソース(これらのアップストリームソースからインストールされたパッケージ)を有効にすると、コピーがフィードに自動的に保存されます。

Note

アップストリームからパッケージを保存するには、 Feed およびアップストリーム閲覧者 (コラボレーター) ロール以上が必要です。詳細については、「管理のアクセス許可を参照してください。

長所

アップストリームソースを有効にすると、1 つのフィード内で製品の依存関係を管理するためのいくつかの利点があります。

簡略化: すべてのパッケージを 1 つのフィードに発行すると、NuGet.config、npmrc、settings.xmlなどの構成ファイルが簡略化されます。構成ファイルに 1 つのフィードを含めるだけで、エラーやバグの可能性が減り、セットアップが合理化されます。
決定性:フィード パッケージ要求が順番に解決されるため、コードを再構築するときの一貫性が高くなります。
Provenance: フィードには、アップストリームソースから保存されたパッケージに関する情報が保持されます。これにより、コピーや悪意のある可能性のあるバージョンではなく、元のパッケージを使用していることを確認できます。
安心: アップストリームソースからインストールされたすべてのパッケージは、フィードに自動的に保存されます。つまり、アップストリームソースが無効、削除、メンテナンスを行っている場合でも、フィードにそのパッケージのコピーがあるため、自信を持って開発と構築を続けることができます。

ベストプラクティス - パッケージコンシューマー

パッケージコンシューマーとしてのアップストリームソースの利点を最大限に活用するには、次のベストプラクティスに従います。

構成ファイルで 1 つのフィードを使用します。

フィードで決定的な復元を提供するには nuget.config や .npmrc などの構成ファイルが、アップストリームソースが有効になっている 1 つのフィードのみを参照していることを確認します。次の例を見てください。

<packageSources>
  <clear />
  <add key="FabrikamFiber" value="https://pkgs.dev.azure.com/fabrikam/_packaging/FabrikamFiber/nuget/v3/index.json" />
</packageSources>

Note

NuGet は複数の構成ファイルをコンパイル適用するオプションの完全なセットを決定します。 <clear />を使用すると、上位レベルの構成ファイルで指定されている他のすべてのパッケージソースを効果的に無視できます。

registry=https://pkgs.dev.azure.com/fabrikam/_packaging/FabrikamFiber/npm/registry/
always-auth=true

アップストリームソースを意図的に並べ替えます。

nuget.org や npmjs.com などのパブリックレジストリのみを使用している場合、アップストリームソースの順序は関係ありません。フィードへの要求は、「検索順序」セクションで詳しく説明されている順序に従います。

ただし、フィードとパブリックレジストリの組み合わせを含む複数のソースを管理する場合、各アップストリームソースはフィードの構成設定に記載されている順序で検索されます。この場合は、アップストリームソースの一覧の最初にパブリックレジストリを配置することをお勧めします。

一部の固有のシナリオでは、特定の組織がオープンソースソフトウェア (OSS) パッケージをカスタマイズすることを選択します。これには、セキュリティ上の問題に対処したり、機能を強化したり、パッケージをパブリックリポジトリから直接取得するのではなく、パッケージを内部的に再構築する必要がある特定の要件を満たすことが含まれる場合があります。組織がこのプラクティスに従っている場合は、これらの変更された OSS パッケージを含むアップストリームソースをパブリックパッケージマネージャーの前に配置することをお勧めします。この配置により、組織のカスタマイズされたバージョンが確実に使用されます。

推奨される既定のビューを使用します。

アップストリームソースとしてリモートフィードを追加する場合は、そのフィードのビューを選択する必要があります。これにより、アップストリームソースは使用可能なパッケージのセットを構築できます。詳細については、「アップストリームが使用可能なパッケージのセットを構築する方法を参照してください。

ベストプラクティス: フィード所有者/パッケージ発行元

フィードがアップストリームソースとして簡単に構成されるようにするには、次のベストプラクティスを適用することを検討してください。

既定のビューを使用します。

新しく作成されたすべてのフィードの既定のビューは @Local ビューです。このビューには、フィードに発行されたすべてのパッケージ、またはアップストリームソースから保存されたすべてのパッケージが含まれます。

新しくリリースされたパッケージバージョンのビューなどの他のビューを使用する場合は、パッケージを @Release ビューに昇格させ、そのビューをパッケージコンシューマーが使用できるようにします。

パッケージグラフを作成します。

パッケージグラフを作成するには、フィードの既定のビューに接続し、共有するパッケージをインストールするだけです。パッケージを既定のビューに保存すると、パッケージを使用するユーザーはパッケージグラフを解決し、目的のパッケージをインストールできます。アップストリームソースからのパッケージは、対応するアップストリームソースの構成済みビューに基づいて表示されます。

検索の順番

NuGet や Maven などの複数のフィードをサポートするパブリックパッケージマネージャーの場合、フィードのクエリ順序が不明確または非決定的な場合があります。たとえば、NuGet では、並列クエリは構成ファイル内のすべてのフィードに送信され、応答は先入れ先出し (FIFO) 方式で処理されます。

アップストリームソースは、フィードとそのアップストリームソースを次の順序で検索することで、この非決定論的な動作に対処します。

フィードに直接発行されたパッケージ。
アップストリームソースから保存されたパッケージ。
アップストリームソースから利用できるパッケージ。各アップストリームソースは、フィードの構成に記載されている順序で検索されます。

高速参照機能を最大限に活用するには、構成ファイルに含めるフィードを 1 つだけにすることをお勧めします。

Note

NuGet パッケージエクスプローラーを使用したアップストリームソースでのパッケージの検索はサポートされていません。

アップストリームソースからパッケージを保存

フィードのアップストリームソースを有効にし、アップストリームソースからパッケージをインストールすると、そのパッケージの自動コピーがフィードに保存されます。この方法では、ダウンロードのパフォーマンスが向上し、ネットワーク帯域幅が節約されます。

たとえば、 npm install express などのコマンドを使用して、アップストリームソースから直接パッケージをインストールできます。または、依存関係解決プロセスの一部としてパッケージがインストールされる場合があります。後者のシナリオでは、 express をインストールすると、 acceptsなどの依存関係も保存されます。

Note

カスタムアップストリームソースは、npm パッケージでのみサポートされます。

アップストリームソースからのパッケージをオーバーライドする

アップストリームソースを有効にする場合は、アップストリームソースに既に存在するパッケージバージョンを発行できないことに注意することが重要です。たとえば、アップストリーム NuGet.org を有効にした場合、NuGet.org に正確なバージョンが既に存在するため、 Newtonsoft.Json 10.0.3 パッケージを発行することはできません。

アップストリームソースのいずれかに既に存在するパッケージバージョンを発行する必要がある場合は、次の手順に従う必要があります。

関連するアップストリームソースを無効にします。
パッケージを発行します。
アップストリームソースを再度有効にします。

Note

パッケージバージョンは不変です。アップストリームソースが無効または削除された場合でも、保存されたパッケージはフィードに残ります。

アップストリームソースの正常性状態

フィードに障害が発生したアップストリームソースがある場合、同じプロトコルのパッケージのメタデータを更新できなくなります。アップストリームソースの正常性状態を確認するには、次の手順に従います。

Azure DevOps 組織にサインインしてから、プロジェクトに移動します。
[ 成果物] を選択し、ドロップダウンメニューからフィードを選択します。
歯車アイコンを選択して Feed 設定に移動しupstream ソース 選択します。
エラーが発生した場合は、警告メッセージが表示されます。 Failed状態をクリックすると、エラーの原因や解決方法などの詳細が表示されます。

Note

NuGet.org などのパブリックレジストリの場合、パッケージがパブリックレジストリにプッシュされてからダウンロードできるようになるまで、3 ~ 6 時間の遅延があります。この遅延は、ジョブのタイミングとデータ伝達によって異なります。ただし、アップストリームソースが Azure Artifacts フィードの場合、待機時間は通常数分以下です。

オフラインアップストリームソース

アップストリームソースは、コンシューマーとインフラストラクチャにとって重要なセーフガードとして機能し、予期しない停止からそれらを保護します。アップストリームソースからパッケージをインストールすると、そのパッケージのコピーがフィードに保存されます。アップストリームソースでダウンタイムが発生した場合、メンテナンス中、または一時的に使用できなくなった場合でも、フィードから必要なパッケージを取得し、開発を続行できます。

FAQ

Q: フィードのアップストリームのいずれかでパッケージが表示されていても、パッケージが見つかりませんか?

A: アップストリームソースからのパッケージは、公開後すぐにダウンストリームフィードで使用できるようになります。ただし、パッケージはフィードに保存された後にのみ閲覧者に表示されます。 Feed および Upstream Reader (コラボレーター) 以上のアクセス許可を持つユーザーがダウンストリームフィードにバージョンをインストールすると、パッケージが保存されます。これにより、ダウンストリームがアップストリームからパッケージのコピーを保存し、その後は完全に保存され、すべてのリーダーがダウンストリームで使用できるようになります。これは、パッケージのバージョンが Web UI のパッケージバージョンセクションに表示される場合です。

Q: フィードビューとは

A: ビューを使用すると、開発者は、まだ開発中または品質基準を満たしていないパッケージを除き、テストおよび検証されたパッケージバージョンのサブセットを選択的に共有できます。詳細については、「フィードビューとはを参照してください。

Q: アップストリームソースとして構成するフィードが見つかりませんか?

A: フィードの所有者がアップストリームソースとしてビューを共有していることを確認します。

Q: Feed Reader ロールを持つユーザーは、アップストリームソースからパッケージをダウンロードできますか。

A: いいえ。 Azure Artifacts フィードに Feed Reader ロールを持つユーザーは、フィードに保存されているパッケージのみをダウンロードできます。パッケージは、 Feed および Upstream Reader (コラボレーター)、 Feed Publisher (共同作成者)、または Feed 所有者 アップストリームからこれらのパッケージをインストールすると、フィードに保存されます。

Q: ユーザーがアップストリームソースから保存されたパッケージを削除または発行解除するとどうなりますか?

A: パッケージはフィードからダウンロードできなくなり、バージョン番号は完全に予約されます。さらに、パッケージはアップストリームソースから保存されなくなります。以前のバージョンとそれ以降のバージョンのパッケージは影響を受けません。

Q: ユーザーがアップストリームソースから保存されたパッケージを非推奨にした場合はどうなりますか?

A: ユーザーがパッケージを非推奨にすると、パッケージのメタデータに警告メッセージが追加されます。これは、パッケージがフィードから表示またはインストールされるたびに表示されます。

次の方法で共有

Azure Artifacts アップストリームソース

長所