配置开放源代码许可证策略

注意

开源许可证合规性处于公开预览，且可能会发生变更。

先决条件

在配置许可证策略之前，请确保：

开源许可证合规功能可让您定义一项策略，用于指定您的依赖项允许使用哪些许可证。

通过规则集强制执行策略时，GitHub 会评估更改包清单的拉取请求，检查其直接依赖项和传递依赖项，并将检测到的许可证与你的策略进行比较。包含不合规依赖项的拉取请求将持续被阻止，直到违规问题得到解决。

冲突通常由以下方法解决：

导航到您的企业。例如，从 GitHub.com 上的公司页面。
在页面顶部，单击“ 策略”。
在边栏中，单击“ 许可证符合性”。
单击 “默认策略”。
在 “编辑许可证策略 ”页上，单击“ 添加许可证 ”，然后选择“ 从列表中选择”。
从许可证选取器中，选择要允许的许可证。此列表中的许可证根据其在企业环境中使用的一般风险级别进行分类，但这纯粹是信息性的，并不构成法律建议。 请始终与组织的法律团队联系以获取策略指导。
保存所做的更改。

或者，如果有来自另一个工具的现有许可证策略，则可以将其导入为 SPDX 表达式列表。

您添加的许可证形成您的基线策略。稍后可以在处理警报时添加包级异常。

分配此角色还会使审阅者订阅请求通知，以便他们能够快速响应驳回请求。

如果需要逐步推出，请使用存储库自定义属性来控制每个存储库是否处于非活动、评估或活动强制模式。

在 GitHub 上，导航到组织的主页面。
在组织名称下，单击 “Settings”****。如果看不到“设置”选项卡，请选择“”下拉菜单，然后单击“设置”********。
在左边栏的“Code, planning, and automation”部分，单击“ Repository”，然后单击“Custom properties”********。
例如 open_source_license_compliance，创建单选存储库自定义属性。
为 inactive、evaluate 和 active 添加值。
将默认值设置为 inactive.
确定谁可以更改属性值。
根据存储库的推出阶段将属性值分配给存储库。

建议创建两个规则集，一个用于评估模式，一个用于活动模式。如果创建了自定义属性来控制推出，则可以在此处针对这些属性。

转到要强制执行的范围的规则集页。
创建分支规则集。
在规则集名称下，设置 “强制”状态：
- 对于第一个规则集，请选择“ 评估”。
- 对于第二个规则集，请选择“启用”。
选择如何以存储库为目标：
- 如果使用自定义属性，请通过 open_source_license_compliance 进行定位：
  - 对于评估模式规则集，将属性值为 evaluate 的存储库作为目标。
  - 对于活动模式规则集，将属性值为 active 的存储库设为目标。
- 如果不使用自定义属性，则按存储库模式或显式存储库选择来定位存储库。
启用合并前要求提供许可证合规性结果。
保存所做的更改。