アップストリームソースとは

[アーティクル]
03/24/2025

Azure DevOps Services | Azure DevOps Server 2022 - Azure DevOps Server 2019

Azure Artifacts アップストリームソースを使用すると、開発者は、発行したパッケージや、外部フィードや NuGet.org、npmjs.com などのパブリックレジストリからインストールされたものなど、さまざまなソースのパッケージを 1 つのフィードに簡単に格納できます。アップストリームソースが有効になると、アップストリームソースからインストールされたすべてのパッケージがフィードに自動的に保存されます。

注

アップストリームからパッケージを保存するには、 Feed およびアップストリーム閲覧者 (コラボレーター) ロール以上が必要です。詳細については、「管理のアクセス許可を参照してください。

アップストリームソースを使用する理由

アップストリームソースを有効にすると、1 つのフィード内で製品の依存関係を管理するためのいくつかの利点があります。

簡易: すべてのパッケージを 1 つのフィードに格納すると、NuGet.config、npmrc、settings.xmlなどの構成ファイルが簡略化されます。構成ファイルにフィードが 1 つしかないので、エラーの可能性を減らし、セットアップを合理化できます。
一貫性のあるビルド: フィードは、定義された順序でパッケージ要求を解決し、より予測可能で信頼性の高いビルドを保証します。
パッケージの整合性: フィードにはアップストリームソースから保存されたパッケージに関するメタデータが保持されるため、その信頼性を確認し、コピーや悪意のある可能性のあるバージョンではなく、元のバージョンを使用していることを確認できます。
信頼性: アップストリームソースからインストールされたパッケージは、フィードに自動的に保存されます。これにより、メンテナンスやその他の問題によってアップストリームソースが使用できなくなった場合でも、継続的なアクセスが保証されるため、自信を持って開発と構築を続けることができます。

パッケージコンシューマーのベストプラクティス

パッケージコンシューマーとしてのアップストリームソースの利点を最大限に活用するには、次のベストプラクティスに従います。

1. 構成ファイルで 1 つのフィードを使用する

フィードが決定論的な復元を提供するには、構成ファイル (nuget.config や npmrc など) がアップストリームソースが有効になっている 1 つのフィードのみを参照していることを確認します。

例:
```
registry=https://pkgs.dev.azure.com/fabrikam/_packaging/FabrikamFiber/npm/registry/
always-auth=true
```
```
<packageSources>
  <clear />
  <add key="FabrikamFiber" value="https://pkgs.dev.azure.com/fabrikam/_packaging/FabrikamFiber/nuget/v3/index.json" />
</packageSources>
```
注記

NuGet は複数の構成ファイルをコンパイル適用するオプションの完全なセットを決定します。 <clear /> を使用すると、上位レベルの構成ファイルで指定されている他のすべてのパッケージソースが無視されます。

2. アップストリームソースを意図的に注文する

NuGet.org や npmjs.com などのパブリックレジストリのみを使用している場合、アップストリームソースの順序は関係ありません。フィードへの要求は、「検索順序」セクションで説明されている順序に従います。

ただし、フィードとパブリックレジストリの組み合わせなど、複数のソースを管理する場合、各アップストリームソースはフィードの構成設定で定義されている順序で検索されます。この場合は、アップストリームソースの一覧の最初にパブリックレジストリを配置することをお勧めします。

一部の固有のシナリオでは、セキュリティ上の問題に対処したり、機能を強化したり、パブリックリポジトリから直接取得するのではなく、パッケージを内部的に再構築する必要がある特定の内部要件を満たすために、オープンソースソフトウェア (OSS) パッケージを変更する組織もあります。組織がこの方法に従う場合は、これらのカスタマイズされた OSS パッケージを含むアップストリームソースを他のパブリックレジストリの前に配置します。これにより、カスタマイズしたバージョンがパブリックバージョンではなく使用されるようになります。

フィード所有者とパッケージ発行元のベストプラクティス

フィードをアップストリームソースとして簡単に構成できるようにするには、次のベストプラクティスに従います。

1. 既定のビューを使用する

新しく作成されたすべてのフィードの既定のビューは @Localです。このビューには、フィードに発行されたすべてのパッケージと、アップストリームソースから保存されたパッケージが含まれます。

新しくリリースされたパッケージバージョンのビューなどの他のビューを使用する場合は、パッケージを @Release ビューに昇格させ、そのビューをターゲットコンシューマーが使用できるようにします。詳細については、「フィードビュー」を参照してください。

2. パッケージグラフを作成する

パッケージグラフを作成するには、フィードの既定のビューに接続し、共有するパッケージをインストールするだけです。パッケージが既定のビューに保存されると、パッケージを使用するユーザーはパッケージグラフを解決し、目的のバージョンをインストールできます。アップストリームソースからのパッケージは、対応するアップストリームソースの構成済みビューに基づいて表示されます。詳細については、「アップストリームが使用可能なパッケージのセットを構築する方法を参照してください。

検索の順番

NuGet や Maven など、複数のフィードをサポートするパブリックパッケージマネージャーの場合、フィードのクエリ順序が不明確または非決定的な場合があります。たとえば、NuGet は、構成ファイル内のすべてのフィードに並列クエリを送信し、先入れ先出し (FIFO) 方式で応答を処理するため、結果に不整合が生じる可能性があります。

アップストリームソースは、フィードとそのアップストリームソースを次の順序で検索することで、構造化された検索順序を適用することで、この不確定性を排除します。

フィードに直接公開されたパッケージ。
アップストリームソースから保存されたパッケージ。
アップストリームソースから利用できるパッケージ。各アップストリームソースは、フィードの構成に記載されている順序で検索されます。

Note

Azure Artifacts では、Visual Studio の NuGet パッケージエクスプローラーを使用したアップストリームソースでのパッケージの検索はサポートされていません。

アップストリームソースからパッケージを保存

フィードでアップストリームソースが有効になっている場合、Azure Artifacts は、コラボレーター以上がアップストリームからインストールしたパッケージのコピーを自動的に保存します。

たとえば、 npm install express などのコマンドを使用して、アップストリームソースから直接パッケージをインストールできます。または、依存関係解決プロセスの一部としてパッケージがインストールされる場合があります。この場合、express をインストールすると、がを受け入れるなど、依存関係が保存されます。

アップストリームソースは、コンシューマーとインフラストラクチャに重要なセーフガードを提供し、予期しない停止から保護します。アップストリームソースでダウンタイム、メンテナンスが発生した場合、または一時的に使用できなくなった場合でも、フィードから必要なパッケージを取得し、開発を続行できます。

Note

カスタムアップストリームソースは、npm パッケージでのみサポートされます。

アップストリームソースからのパッケージをオーバーライドする

アップストリームソースを有効にする場合は、アップストリームソースに既に存在するパッケージバージョンを発行できないことに注意してください。たとえば、アップストリームで NuGet.org を有効にした場合、NuGet.org で既にそのバージョンを使用できるため、Newtonsoft.Json 10.0.3 パッケージを発行することはできません。

アップストリームソースのいずれかに既に存在するパッケージバージョンを発行する必要がある場合は、次の手順に従う必要があります。

関連するアップストリームソースを無効にします。
パッケージを発行します。
アップストリームソースを再度有効にします。

このプロセスにより、アップストリームソースの整合性を維持しながら、目的のバージョンを発行できるようになります。

注

パッケージバージョンは不変です。アップストリームソースが無効または削除された場合でも、保存されたパッケージはフィードに残ります。

アップストリームソースの正常性状態

フィードに障害が発生したアップストリームソースがある場合、同じプロトコルのパッケージのメタデータを更新できなくなります。アップストリームソースの正常性状態を確認するには、次の手順に従います。

Azure DevOps 組織にサインインしてから、プロジェクトに移動します。
[ 成果物] を選択し、ドロップダウンメニューからフィードを選択します。
歯車アイコンを選択して Feed 設定に移動しupstream ソース 選択します。
エラーが発生した場合は、警告メッセージが表示されます。 失敗した 状態をクリックすると、エラーの原因や解決方法などの追加の詳細が表示されます。

Note

NuGet.org などのパブリックレジストリの場合、パッケージがパブリックレジストリにプッシュされてからダウンロード可能になるまでに 3 ~ 6 時間の遅延があります。この遅延は、ジョブのタイミングとデータ伝達によって異なります。ただし、アップストリームソースが Azure Artifacts フィードの場合、待機時間は通常数分以下です。

FAQ

Q: フィードのアップストリームの 1 つではパッケージが表示されているのに、パッケージが見つからないのはなぜですか?

A: アップストリームソースからのパッケージは、公開後すぐにダウンストリームフィードで使用できるようになります。ただし、パッケージはフィードに保存された後にのみ閲覧者に表示されます。 Feed および Upstream Reader (コラボレーター) 以上のアクセス許可を持つユーザーがダウンストリームフィードにバージョンをインストールすると、パッケージが保存されます。これにより、ダウンストリームがアップストリームからパッケージのコピーを保存し、その後は完全に保存され、すべてのリーダーがダウンストリームで使用できるようになります。これは、パッケージのバージョンが Web UI のパッケージバージョンセクションに表示される場合です。

Q: フィードビューとは

A: ビューを使用すると、開発者は、まだ開発中または品質基準を満たしていないパッケージを除き、テストおよび検証されたパッケージバージョンのサブセットを選択的に共有できます。詳細については、「フィードビューとは」を参照してください。

Q: アップストリームソースとして構成するフィードが見つかりませんか?

A: フィードの所有者がアップストリームソースとしてビューを共有していることを確認します。詳細については、「アップストリームソースとして別の組織にフィードを追加する」を参照してください。

Q: Feed Reader ロールを持つユーザーは、アップストリームソースからパッケージをダウンロードできますか。

A: いいえ。 Azure Artifacts フィードの フィード閲覧者 ロールを持つユーザーは、フィードに保存されているパッケージのみをダウンロードできます。パッケージは、フィードとアップストリームリーダー (コラボレーター)、フィードパブリッシャー (共同作成者)、またはフィード所有者がアップストリームからこれらのパッケージをインストールすると、フィードに保存されます。

Q: ユーザーがアップストリームソースから保存されたパッケージを削除または発行解除するとどうなりますか?

A: パッケージはフィードからダウンロードできなくなり、バージョン番号は完全に予約されます。さらに、パッケージはアップストリームソースから保存されなくなります。以前のバージョンとそれ以降のバージョンのパッケージは影響を受けません。

Q: ユーザーがアップストリームソースから保存されたパッケージを非推奨にした場合はどうなりますか?

A: ユーザーがパッケージを非推奨にすると、パッケージのメタデータに警告メッセージが追加されます。この警告は、パッケージがフィードから表示またはインストールされるたびに表示されます。

次の方法で共有

アップストリームソースとは

アップストリームソースを使用する理由