GitOps: Renovate einrichten und mit Bot Dependencies aktuell halten
Um Software sicher und Updates schlank zu halten, müssen Abhängigkeiten regelmäßig auf neue Versionen geprüft werden. Mit dem Renovate Bot geht das automatisch.
- Danny Steinbrecher
Ohne Abhängigkeiten (Dependencies) geht es in der Softwarewelt kaum mehr. Fertige Pakete von außerhalb sparen zwar Entwicklungszeit, bergen jedoch die Gefahr leicht zu übersehender Schwachstellen, die als Common Vulnerabilities and Exposures (CVEs) geführt werden. Abhängigkeiten erfordern also einen gewissen Wartungsaufwand. Das eindrücklichste Beispiel für die tickende Zeitbombe, die vernachlässigte Dependencies darstellen, ist der Vorfall um das Java-Logging-Framework Log4j im Jahr 2021.
Von Katastrophen wie dieser abgesehen, müssen Updates und Bugfixes aber auch deshalb regelmäßig nachgeladen werden, weil bei größeren Versionssprüngen die Gefahr besteht, dass Teile der Software inkompatibel werden – aufwendiges Nachjustieren ist die Folge. Um so eine Regelmäßigkeit gewährleisten zu können, automatisiert man am besten: Das kann der Renovate Bot leisten.
Der Renovate Bot, den der Anbieter des Tools mend.io eigentlich Mend Renovate getauft hat, kümmert sich um die Dependencies innerhalb einer Anwendung. Er schaut nach, auf welchem Stand sie sind, und vergleicht sie mit den neusten Versionen. Zusätzlich gibt es noch eine Einschätzung, wie groß das Update sein würde – von Patch (v1.0.0 −> 1.0.1) über Minor (v1.0.0 −> 1.1.0) bis zu Major (v1.0.0 −> 2.0.0). Anschließend erstellt Renovate einen Pull Request in GitHub, der je nach Konfiguration automatisch oder manuell gemergt wird. Den Prozess kann man auf die Anwendung zuschneiden, sodass Renovate Bot beispielsweise unkritische Minor Updates automatisch und größere Major Updates manuell mergt.
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Boox Note Air3 C im Test: Hybrid-Tablet mit farbigem E-Paper-Display
Fujifilm X100VI im Test: Neuauflage der beliebten Edelkompaktkamera
Proxmox VE: Was es kann und was man dafür braucht
Papierloses Büro: Wie man mit paperless-ngx die Dokumentenverwaltung optimiert
Drei KI-Sprechtrainer im Test: Fremdsprache mit KI lernen
Custom-ROM "GrapheneOS" vorgestellt: Android ganz privat
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Boox Note Air3 C im Test: Hybrid-Tablet mit farbigem E-Paper-Display
Fujifilm X100VI im Test: Neuauflage der beliebten Edelkompaktkamera
Proxmox VE: Was es kann und was man dafür braucht
Papierloses Büro: Wie man mit paperless-ngx die Dokumentenverwaltung optimiert
Drei KI-Sprechtrainer im Test: Fremdsprache mit KI lernen