Nexus Repository OSS (Community) немесе Pro: айырмашылықтар және қашан көшу керек

Nexus Repository-дің бұрын OSS деп аталған тегін нұсқасы бүгін Community Edition деп аталады: ол тек self-hosted режимінде жұмыс істейді және 40 000 компонентпен немесе күніне 100 000 сұраныммен шектелген. Pro-ға осы шектеулерге тірелгенде немесе жоғары қолжетімділік, SSO, бұлтты сақтағыш және вендор қолдауы қажет болғанда көшу керек. Pro+ кіреберісте зиянды пакеттерді бұғаттағыңыз келсе қажет.

Nexus Repository OSS-ке не болды

«OSS» атауы ескі нұсқаулықтар мен талқылауларда әлі кездеседі, бірақ Sonatype тегін редакцияның атын өзгертті. Sonatype форумында былай делінген: 3.77.0 нұсқасынан бастап тегін редакция Nexus Repository Community Edition деп аталады. Сонда Sonatype өкілі OSS-тің бинарлық құрастыруы тоқтатылғанын («sunset») және 3.77 нұсқасынан бастап барлық бинарлық құрастырулар Community Edition екенін хабарлайды. Жаңарту үшін Community Edition лицензиялық келісімін (EULA) қабылдау керек. 3.77.0-ге тікелей жаңарту 3.71.0 және одан жоғары нұсқадан мүмкін.

Ядроның ашық коды (Nexus Repository Core, EPL лицензиясы) Sonatype мәлімдемесі бойынша GitHub-та бастапқы код түрінде қалады, бірақ дайын құрастырулар ретінде таратылмайды; оны өз бетіңізше құрастыруға болады, бірақ бұл жағдайда OSS мүмкіндіктерінің бір бөлігі ядрода жоқ. Егер «Nexus OSS» бойынша біреудің нұсқаулығын оқысаңыз, шектеулер мен функциялар құрамы өзгеруі мүмкін екенін ескеріңіз. Орнатқыңыз келетін нұсқаның құжаттамасымен салыстырып тексеріңіз.

Community Edition шектеулері

Usage Center анықтамалық бетіне сәйкес, Community Edition орналастыруы мына шектерде қалуы керек:

• жиынтығында 40 000 компонент, немесе
• күніне 100 000 сұраным.

Шектеу асып кетсе, орналастыру екі шекттен де төмен түскенше пайдаланушылар жаңа компоненттерді қоса алмайды. Пайдалану метрикалары бір сағатқа дейін кешігіп жаңарады. Сонымен қатар Sonatype сипаттамасы бойынша, бұрыннан сақталған компоненттер жүктеуге қолжетімді болып қалады. Pro лицензиясын жүктеу шектеулерді алып тастайды.

Назар аударыңыз: әртүрлі материалдарда басқа сандар кездеседі (100 000 компонент және күніне 200 000 сұраным). Бұл ескі беттердегі бұрынғы мәндер; өзекті шектеулерді өз нұсқаңыз үшін Usage Center-ден тексеріңіз.

Өзіңіздің қай деңгейде екеніңізді қалай бағалауға болады? Компонент — репозиторийдегі сақтау бірлігі, мысалы, пакеттің бір нұсқасы. Тәуелділіктер ағашы үлкен бір npm-жобаның өзі мыңдаған компонент әкеледі, ал Maven Central және npmjs.com-ға прокси құрастырулар бұрын-соңды сұраған барлық нұсқаларды кэштейді. Сұраныстар CI/CD-дан келетін барлық жүктеулер бойынша есептеледі: күніне жүздеген құрастыру болғанда, құрастырушы жағында кэш болмаса, 100 000 сұранымға көрінгенінен тезірек жетеді.

Community Edition-да не бар

• Форматтардың кең жиыны. Sonatype «толық экожүйені» көрсетеді: Maven, npm, PyPI, NuGet, Docker/OCI, сондай-ақ Cargo, Composer, Conan және Hugging Face.
• Форматтардың көпшілігі үшін proxy, hosted және group репозиторийлері.
• Банк картасынсыз тегін пайдалану.

Бірнеше ондаған адамнан тұратын әзірлеу командасы немесе пилот үшін бұл жиі жеткілікті. Оны дәл бастапқы алаң ретінде қарастыру керек.

Pro не береді

Sonatype функциялар кестесі бойынша, Pro-да мыналар қолжетімді:

• Жоғары қолжетімділік және кластерлеу — түйін істен шықса да, сервис тоқтамайды.
• SAML 2.0 / OIDC және бірыңғай кіру (SSO) — пайдаланушылардың корпоративтік каталогымен интеграция.
• Бұлтты blob-сақтағыш (AWS S3, Azure, Google Cloud Storage).
• Апаттан кейін қалпына келтіру үшін репликация және кездейсоқ жоюды болдырмау.
• FIPS 140-2 қолдауы.
• Орналастыру нұсқалары: бұлттық SaaS және self-hosted.
• Пайдалану шектеулерінің болмауы: Sonatype Pro-да компоненттер мен сұраныстар бойынша шектеу жоқ екенін тікелей жазады.

Pro лицензиялауы пайдалануға негізделген, құны сұраным бойынша анықталады.

Pro+ не қосады

Pro+ Pro-дағы барлық нәрсені қамтиды және репозиторийге не түсетінін бақылауды қосады:

• зиянды пакеттерді, соның ішінде жаңаларын (zero-day), автоматты карантинге салу;
• қабылдау саясаты: пакеттің жасы, CVSS және тәуекел деңгейі бойынша;
• лицензияларды бақылау және заңдық шектеулер;
• AI-агенттер мен MCP тәуелділіктерін бақылау.

Pro+ барлық жалпыға қолжетімді мүмкіндіктері бар Repository Firewall пайдалану құқығын қамтиды. Self-hosted орналастырулар үшін Nexus Repository 3.97.0 нұсқасынан бастап IQ Server 208 немесе одан жоғары нұсқасын бөлек орнату, оны Nexus-қа қосу және қорғалатын репозиторийлерді баптау қажет. 3.97.0-ден төмен нұсқадағы Pro+ қарапайым Pro ретінде жұмыс істейді. Егер сізде Firewall-ға бөлек лицензия болса, Pro да Repository Firewall-мен жұмыс істей алады.

Мұндай қорғаныстың не үшін қажет екенін біз жеткізу тізбегіне жасалатын шабуылдар туралы мақалада талдадық.

Қазіргі көлемдеріңізді қалай бағалауға болады

Pro қажет пе, жоқ па, шешпес бұрын нақты сандарды алыңыз. Sonatype өнімге пайдалану панелін қосты, шектеулердің сақталуы дәл сол арқылы тексеріледі. Бағалау тәртібі мынадай:

1. Әкімшілік бөлімде пайдалану панелін ашып, компоненттер санын және күніне сұраным санын тіркеңіз. Метрикалар бір сағатқа дейін кешігіп жаңаратынын есте сақтаңыз.
2. Бірнеше апталық динамиканы қараңыз: компоненттер санының өсуі әдетте сатылап жүреді — жаңа жоба қосылғанда немесе тәуелділік нұсқалары ауысқанда.
3. Шыңдық күндерді ескеріңіз. Күніне сұраныстар жаппай қайта құрастыру кезінде, мысалы, танымал кітапханадан осалдық табылғаннан кейін барлық команда бір мезгілде тәуелділіктерді жаңартқанда, ең қатты өседі.
4. Бір жылға өсімді болжаңыз: қанша жаңа жоба, команда және формат қосу жоспарланған.

Болжам шектеулерден асып кетсе, релиздің ортасында компонент қосуды бұғаттаудан гөрі, Pro-ны бірден жоспарлаған дұрыс. Бөлек ескеріңіз: бюджетті қаншалықты ертерек келіссеңіз, сатып алу кезіндегі қысым соншалықты аз болады: Pro лицензиялауы пайдалануға негізделген, есептеу сұраным бойынша жасалады.

Pro-ға қашан көшу керек

Шешім қабылдау бағдарлары:

1. Шектеулерге жақындап қалдыңыз. Егер Usage Center-де компоненттердің немесе сұраныстардың 70–80 пайыздан астамын тұрақты пайдалансаңыз, көшуді алдын ала жоспарлаңыз: жаңа компоненттерді жүктеуді бұғаттау құрастыруларды ең ыңғайсыз сәтте тоқтатады. (70–80 пайыз шегі — біздің практикалық бағдарымыз, Sonatype талабы емес.)
2. Репозиторий сыни инфрақұрылымға айналды. Nexus тоқтап қалуы барлық командалардың жұмысын тоқтатса, кластерсіз бір виртуалды машина — бірыңғай ақаулық нүктесі.
3. Корпоративтік аутентификация қажет. SAML/OIDC арқылы бірыңғай кіру туралы АҚ талабы Pro-сыз орындалмайды.
4. Сақтау және қалпына келтіру талаптары. Бұлтты blob-сақтағыш, репликация және жоюды болдырмау RPO/RTO регламенттері болғанда қажет.
5. Вендор қолдауы қажет. Community Edition қауымдастық күшімен қолдау табады, ал вендордың коммерциялық қолдауы ақылы редакциялармен байланысты.
6. Зиянды пакеттерді бұғаттау қажет. Бұл — Pro+ (немесе Pro және бөлек Firewall) мәселесі.

Community Edition қашан ақылға қонымды таңдау болып қалады

• Шектеулер шегіндегі шағын команда немесе жекелеген жобалар.
• Сатып алу алдында Nexus-ты пилоттау және бағалау.
• Сынақ және оқу стендтері.
• Резервтік көшірмеден қалпына келтіру уақытына тоқтап тұруға болатын жобалар.

Практикалық кеңес: Community-де де үнемі резервтік көшіру мен пайдалану метрикаларының мониторингін қосыңыз, сонда көшу апаттық болмайды.

Бюджетті жоспарлағанда нені ескеру керек

• Лицензиялау моделі. Pro және Pro+ пайдалану бойынша лицензияланады, сондықтан көлемді және оның өсу динамикасын алдын ала бағалаңыз.
• Инфрақұрылым. Жоғары қолжетімділік кластері бірнеше түйінді, сыртқы дерекқорды және ортақ сақтағышты талап етеді; бұл шығындарды лицензия құнына қосу керек.
• Қауіпсіздік модульдері. Пакеттерді қабылдауды қорғау бірден қажет болса, екі жолды салыстырыңыз: Repository Firewall пайдалану құқығы бар Pro+ немесе Firewall-дың бөлек лицензиясы бар Pro.
• Көшіру мерзімі. Жаңартуды сынауға уақыт қарастырыңыз, әсіресе инстанс ескі нұсқада жұмыс істеген болса.

Қалай көшуге болады

Pro лицензиясын жүктеу қайта орнатуды талап етпей, пайдалану шектеулерін алып тастайды. Кластерлік конфигурацияға, бұлтты сақтағышқа немесе PostgreSQL-ге көшіру үшін әрекеттер реті нұсқаға байланысты; көшірер алдында Sonatype құжаттамасымен салыстырып, резервтік көшірме жасаңыз. Егер сізде үлкен қолданыстағы инстанс болса, жоспарды алдын ала интегратормен келісіп алған жөн. Баламалармен салыстыруды Nexus Repository vs JFrog Artifactory мақаласынан оқыңыз.

Жиі қойылатын сұрақтар

Дереккөздер

• Sonatype: Nexus Repository Editions and Feature Availability
• Sonatype: Usage Center
• Sonatype: Nexus Repository Community Edition
• Sonatype: қолдау көрсетілетін форматтар
• Sonatype форумы: OSS енді Community Edition
• Sonatype форумы: Nexus Repository Core код базасындағы өзгерістер