Nexus Repository OSS (Community) или Pro: различия и когда переходить

Бесплатная версия Nexus Repository, раньше известная как OSS, сегодня называется Community Edition: она работает только в self-hosted-режиме и ограничена 40 000 компонентов или 100 000 запросов в день. Переходить на Pro нужно, когда упёрлись в эти лимиты или когда понадобились высокая доступность, SSO, облачное хранилище и поддержка вендора. Pro+ нужен, если вы хотите блокировать вредоносные пакеты на входе.

Что случилось с Nexus Repository OSS

Название «OSS» всё ещё встречается в старых руководствах и обсуждениях, но Sonatype переименовал бесплатную редакцию. На форуме Sonatype сказано: начиная с версии 3.77.0 бесплатная редакция называется Nexus Repository Community Edition. Представитель Sonatype там же сообщает, что бинарная сборка OSS прекращена («sunset»), а все бинарные сборки с версии 3.77 — это Community Edition. Для обновления нужно принять лицензионное соглашение (EULA) Community Edition. Прямое обновление на 3.77.0 возможно с версии 3.71.0 и выше.

Открытый код ядра (Nexus Repository Core, лицензия EPL) по заявлению Sonatype остаётся на GitHub в виде исходников, но не распространяется в виде готовых сборок; его можно собрать самостоятельно, при этом часть возможностей OSS в ядре отсутствует. Если вы читаете чужие инструкции по «Nexus OSS», учитывайте, что лимиты и состав функций могли измениться. Сверяйтесь с документацией той версии, которую собираетесь устанавливать.

Лимиты Community Edition

По справочной странице Usage Center, развёртывание Community Edition должно оставаться в границах:

• 40 000 компонентов в сумме, или
• 100 000 запросов в день.

Если лимит превышен, пользователи не могут добавлять новые компоненты, пока развёртывание не вернётся ниже обеих границ. Метрики использования обновляются с задержкой до часа. При этом, по описанию Sonatype, уже сохранённые компоненты остаются доступными для скачивания. Загрузка лицензии Pro снимает ограничения.

Внимание: в разных материалах встречаются другие цифры (100 000 компонентов и 200 000 запросов в день). Это более ранние значения из старых страниц; актуальные лимиты проверяйте в Usage Center для своей версии.

Как оценить, где вы находитесь? Компонент — это единица хранения в репозитории, например одна версия пакета. Один npm-проект с большим деревом зависимостей легко приносит тысячи компонентов, а прокси к Maven Central и npmjs.com кеширует все версии, которые когда-либо запрашивали сборки. Запросы же считаются по всем скачиваниям из CI/CD: при сотнях сборок в день без кеша на стороне сборщика 100 000 запросов достигается быстрее, чем кажется.

Что есть в Community Edition

• Широкий набор форматов. Sonatype указывает «полную экосистему»: Maven, npm, PyPI, NuGet, Docker/OCI, а также Cargo, Composer, Conan и Hugging Face.
• Репозитории proxy, hosted и group для большинства форматов.
• Бесплатное использование без банковской карты.

Для команды разработки из нескольких десятков человек или для пилота этого часто достаточно. Именно как стартовую площадку ее стоит рассматривать.

Что даёт Pro

По таблице функций Sonatype, в Pro доступны:

• Высокая доступность и кластеризация — сервис не останавливается при падении узла.
• SAML 2.0 / OIDC и единый вход (SSO) — интеграция с корпоративным каталогом пользователей.
• Облачное blob-хранилище (AWS S3, Azure, Google Cloud Storage).
• Репликация для аварийного восстановления и откат случайного удаления.
• Поддержка FIPS 140-2.
• Варианты развёртывания: облачный SaaS и self-hosted.
• Отсутствие лимитов использования: Sonatype прямо пишет, что в Pro нет ограничений по компонентам и запросам.

Лицензирование Pro основано на использовании, стоимость определяется по запросу.

Что добавляет Pro+

Pro+ включает всё из Pro и добавляет контроль того, что попадает в репозиторий:

• автоматический карантин вредоносных пакетов, включая новые (zero-day);
• политики приёма: по возрасту пакета, CVSS и уровню риска;
• контроль лицензий и юридические ограничения;
• контроль зависимостей AI-агентов и MCP.

Pro+ включает право использования Repository Firewall со всеми общедоступными возможностями. Для self-hosted-развёртываний начиная с Nexus Repository 3.97.0 требуется отдельно установить IQ Server версии 208 или выше, подключить его к Nexus и настроить защищаемые репозитории. Pro+ на версии ниже 3.97.0 работает как обычный Pro. Если у вас уже есть отдельная лицензия на Firewall, Pro тоже может работать с Repository Firewall.

Зачем такая защита нужна, мы разбирали в статье об атаках на цепочку поставок.

Как оценить свои текущие объёмы

Прежде чем решать, нужен ли Pro, снимите фактические цифры. Sonatype добавил в продукт панель использования, и именно по ней проверяется соблюдение лимитов. Порядок оценки такой:

1. Откройте панель использования в административном разделе и зафиксируйте число компонентов и запросов в день. Запомните, что метрики обновляются с задержкой до часа.
2. Посмотрите динамику за несколько недель: рост числа компонентов обычно идёт ступеньками — при добавлении нового проекта или смене версий зависимостей.
3. Учтите пиковые дни. Запросы в день сильнее всего растут при массовых пересборках, например после обнаружения уязвимости в популярной библиотеке, когда все команды одновременно обновляют зависимости.
4. Прикиньте рост на год: сколько новых проектов, команд и форматов планируется подключить.

Если прогноз выходит за лимиты, разумнее сразу запланировать Pro, чем получить блокировку добавления компонентов посреди релиза. Отдельно учтите, что чем раньше вы согласуете бюджет, тем меньше будет давления при закупке: лицензирование Pro основано на использовании, и расчёт делается по запросу.

Когда пора переходить на Pro

Ориентиры для решения:

1. Приближаетесь к лимитам. Если в Usage Center вы стабильно используете более 70–80 процентов компонентов или запросов, планируйте переход заранее: блокировка загрузки новых компонентов остановит сборки в самый неудобный момент. (Порог в 70–80 процентов — наш практический ориентир, а не требование Sonatype.)
2. Репозиторий стал критичной инфраструктурой. Если простой Nexus останавливает работу всех команд, одна виртуальная машина без кластера — это единая точка отказа.
3. Нужна корпоративная аутентификация. Требование ИБ о едином входе через SAML/OIDC без Pro не выполняется.
4. Требования к хранению и восстановлению. Облачное хранилище blob, репликация и откат удаления нужны при регламентах RPO/RTO.
5. Нужна поддержка вендора. Community Edition поддерживается силами сообщества, а коммерческая поддержка вендора связана с платными редакциями.
6. Нужно блокировать вредоносные пакеты. Это уже вопрос Pro+ (или Pro плюс отдельный Firewall).

Когда Community Edition остаётся разумным выбором

• Небольшая команда или единичные проекты в пределах лимитов.
• Пилот и оценка Nexus перед покупкой.
• Тестовые и учебные стенды.
• Проекты, где допустим простой на время восстановления из резервной копии.

Практический совет: даже на Community включите регулярное резервное копирование и мониторинг метрик использования, чтобы переход не стал аварийным.

Что учесть при планировании бюджета

• Модель лицензирования. Pro и Pro+ лицензируются по использованию, поэтому заранее оцените объём и динамику его роста.
• Инфраструктура. Кластер высокой доступности требует нескольких узлов, внешней базы данных и общего хранилища; эти затраты нужно добавить к стоимости лицензии.
• Модули безопасности. Если защита приёма пакетов нужна сразу, сравните два пути: Pro+ с правом использования Repository Firewall или Pro с отдельной лицензией Firewall.
• Срок миграции. Заложите время на тестирование обновления, особенно если инстанс работал на старой версии.

Как перейти

Загрузка лицензии Pro снимает ограничения использования, не требуя переустановки. Для переноса на кластерную конфигурацию, облачное хранилище или PostgreSQL порядок действий зависит от версии; перед миграцией сверьтесь с документацией Sonatype и сделайте резервную копию. Если у вас большой существующий инстанс, имеет смысл заранее согласовать план с интегратором. Сравнение с альтернативами читайте в статье Nexus Repository vs JFrog Artifactory.

Частые вопросы

Источники

• Sonatype: Nexus Repository Editions and Feature Availability
• Sonatype: Usage Center
• Sonatype: Nexus Repository Community Edition
• Sonatype: поддерживаемые форматы
• Форум Sonatype: OSS теперь Community Edition
• Форум Sonatype: изменения в кодовой базе Nexus Repository Core