Dependabot vs BundleUpdate+LockDiff

original slide: https://vividmuimui.github.io/slides/dependabot_vs_lockdiff/slides/

Transcript

1. Dependabot vs Dependabot vs BundleUpdate+LockDiff BundleUpdate+LockDiff 2019/06/05 社内LT 資料 @vividmuimui 1
2. 話すこと 話すこと 最近導入された と、 これまで使っていた を比較 2
3. ざっくり用語 ざっくり用語 3
4. Dependabot Dependabot ライブラリのUpdate 自動で行ってPullReqest を上げてくれるサービス 最近、private リポでも完全に無料で使えるようになった https://dependabot.com/ 4
5. BundleUpdate+LockDiff BundleUpdate+LockDiff CircleCI でBundleUpdate(ruby でのライブラリの更新) をしてPullReqest を作れるツール 正確には この資料では長いので と書きます 以下の合わせ技+fork したもの 社内の色んな所で使われている vividmuimui/circleci-runner yhirano55/circleci-runner masutaka/circleci-bundle-update-pr vividmuimui/lock_di 5
6. ざっくり用語まとめ ざっくり用語まとめ Dependabot, BundleUpdate+LockDi どちらも、ライブラリの更新をして PullReqest を上げてくれる。 Dependabot はサービスなのでとても高機能。 BundleUpdate+LockDi は長いこと社内で便利に使ってきたやつ。 6
7. 簡単な機能比較 簡単な機能比較 7
8. Dependabot BundleUpdate+LockDi PR ライブラリごとに 1PR 1 つのPR で一括で更新 言語 Ruby,JS などたくさん Ruby だけ ChangeLog Commits rubygems へのリン ク Vulnerabilities 高機能感 組み込みやすさ 参考PR Dependabot: BundleUpdate+LockDi : vividmuimui/rails_tutorial#44 vividmuimui/lock_di _sample#15 8
9. Dependabot Dependabot ライブラリごとにPR があがる 対応言語が多い 脆弱性対応の更新なのかわかる Compatibility が見れる bot が優秀 必要なくなったら自動で閉じたり、コンフリクトしてたら自動で rebase してくれたりする。 カスタマイズできる 全体通して圧倒的に高機能 PR がたくさん上がってマージしていくので、CI のキューが詰まりがち https://dependabot.com/#languages https://dependabot.com/docs/con g- le/ 9
10. BundleUpdate+LockDiff BundleUpdate+LockDiff CircleCI に簡単に組み込める Ruby のBundle update だけできる Bundle Update してるだけなので、1PR で一括で更新が入る LockDi もそれなりに便利 Tachikoma + LockDi といった感じで組み合わせれば、CircleCi 以 外でも簡単に動く 普段自分たちが使うコマンドでupdate されるので、理解しやすい 基本的には してPR 作ってるだけなので。 Dependabot に比べると機能が少ない 個人のOSS 開発なので 10
11. どっちが良いか・どう使い どっちが良いか・どう使い 分けるか 分けるか 11
12. どっちが良いか・どう使い分けるか どっちが良いか・どう使い分けるか 現状両方使っている。チームの中で、それが良さそうとなった。 まだ、Dependabot を導入して1 週間も立ってないが、 Dependabot はDaily, BundleUpdate+LockDi はWeekly で動かしているのが 良いリズムっぽい。 ちなみに、yarn(JS) に関してもDependabot だけでなく以下を併用して Weekly で更新されるようにしている vividmuimui/circleci-runner yhirano55/circleci-runner taichi/ci-yarn-upgrade 12
13. 良いリズム 良いリズム 基本的には Dependabot が上げてくるPR を毎日消化していく daily で動かしても、多くても1 日2,3PR 程度しか上がらない 溜まってしまったら、 BundleUpdate+LockDi で一括マージする Dependabot のPR はbot が自動で閉じてくれる Security update( 脆弱性対応) は特に高速にマージする 13
14. 終わり 終わり , どっちも便利なので両方使ってい く。 チーム・リポジトリによっては、 Dependabot のsecurity update だけにする だけにする というのも全然アリ。 14
15. ぜひ便利なので、 , 使ってみてくだ さい！。 導入の仕方とか使用感とかに感して、質問・相談あれば遠慮なくしてくださ い。 15