Renovateでライブラリの定期的なアップデートを行う

公開日: 2021/09/07最終更新日: 2021/09/07

放置されがちなライブラリのアップデートを定期的にきちんと行おうという志の元、Renovateを設定したときのメモ

導入した感想としては、とてもいい感じで運用できそうである。
定期的にアップデートできる仕組みが整ったしPR作成も自動でやってくれるので諸々のわずらわしさがなく、非常に便利だなという印象。

同じようなことができるものにdependabotがあって、当初はこれを使おうとしていたんだけどいくつかの理由からRenovateを使うことにした。
この辺は後で比較する

Renovateとは

ライブラリなど諸々の依存関係のバージョンを定期的にチェックしてくれて、バージョンアップのためのPR作成などを自動で行ってくれるツール。
これを導入することでたとえば、週一や月一でライブラリのバージョンアップデートができるようになる

PRの自動作成がとても便利で、PR上でリリースノートを表示してくれるのでそれを見て問題がなければそのPRをマージするだけ、という運用にすることができる。
たとえばメジャーバージョンアップデートの時に破壊的変更がないかの確認もPR上で確認できる

こまめにライブラリをアップデートするモチベーションとしてはたとえば以下のようなものがあると思う

1. 差分の大きいバージョンアップはリスクが高い
2. ライブラリに脆弱性が見つかった際はバージョンアップが必要
3. 使いたい最新の機能をすぐに使えるようになる

ライブラリの新しい機能を使いたいと思ってアップデートしようと思っても、最後にアップデートしたのがかなり前だと他のライブラリもいくつか一緒にアップデートしなきゃいけないみたいな事態になったりする

そういったライブラリの数が多いとリスクも高くなるし新しい機能を使うまでがスムーズにいかなくなるので、ライブラリは定期的にアップデートしておきましょうということだと認識している

Renovateの設定

まず公式ページからinstallして対象のリポジトリを選択する

そうするとそのリポジトリで設定用のPRが作成されるのでそれをマージするのみ
これだけで設定が終わる。とても簡単。

このPRによってrenovate.jsonという設定用ファイルが作成されるのでこの中身をいじれば好きな設定にできる

んで、この設定項目が非常に多い！
詳細は公式ドキュメント参照として、ここでは実際に設定した項目だけ見ていく

renovate.json

{
  "extends": ["config:base"],
  "schedule": "before 9am on the first day of the month",
  "timezone": "Asia/Tokyo",
  "prHourlyLimit": 0,
  "rangeStrategy": "bump",
  "packageRules": [
    {
      "matchUpdateTypes": ["patch", "minor"],
      "groupName": "update all minor and patch dependencies",
      "excludePackageNames": ["typescript"],
    },
    {
      "matchPackageNames": ["react", "@types/react", "react-dom", "@types/react-dom"],
      "groupName": "react"
    }
  ],
  "enabledManagers": ["github-actions", "npm"],
  "ignoreDeps": [
    ...
  ]
}

初期設定だとextendsにconfig:baseだけが設定されていてこれによってある程度の設定が行われる。

それ以外のカスタマイズをその下でやっている
以下に簡単に列挙する

schedule

毎月1日の午前9時くらいにPR作成するようにしている
daily, weeklyの設定も可能

prHourlyLimit

デフォルトだと1時間に2つしかPRを作成しないような設定になっている

アップデートすべきライブラリ数が多いとPRを何個か作成する必要が出てくるので0を指定してPR数を制限しないようにしている

rangeStrategy

どんなバージョンアップの場合にPRを作成するかという基準
主にバージョンの指定でキャレット(^)などを使っている際に指定するもの

bumpだと^1.0.0 -> ^1.1.0の場合にもアップデートするが、replaceだとこの場合はアップデートの対象にならないなどの設定

packageRules

PR作成する際の細かな設定を行える部分

初期設定だと1つのライブラリで1つのPRを作成するようになっている
メジャーバージョンアップデートではそれでもいいのだが、マイナーバージョンとパッチバージョンのアップデートでそれをすると、PR数がとんでもなく多くなることになる

なのでマイナーバージョン以下のアップデートはまとめて1つのPRにするように設定
matchUpdateTypesでminor, patchを指定して、groupNameを設定するとそれらを1つのPRにすることができる

pinというのも指定できて、これはバージョンをキャレット(^)やチルダ(~)を使わずに固定するというもの
それぞれメリットデメリットはあるが、今回はチームで話し合った結果、バージョンの固定はしないこととした
ちなみにRenovate公式では固定推奨

固定しない主な理由としては、pinしてあるものはバージョンアップで不具合があった場合にダウングレードしたなど、意図的にそのバージョンに固定する必要があるということを示唆するものであるべきという意見からそうなった

"excludePackageNames": ["typescript"]で1つにまとめるPRからTypeScriptを除外している。
これはTypeScriptがマイナーバージョンアップデートでも破壊的変更してくることが後に発覚したため除外することとした
まとめるPRはできるだけ気兼ねなくマージできるように変更がないものでまとめておきたいため

あとはReactのアップデートは関連するものをまとめて1PRでアップデートするように設定してある

この他にもdevDependenciesを1つのPRにまとめるとか色々カスタマイズできる要素はあるので、運用しながら適切な設定を探っていくのが良さそう