CODEOWNERSに担当者を書いても、承認必須にはならない：AIの変更を受け取る条件

A&Aの考え方

A&Aの読み方では、この二つの説明の間に段差があります。CODEOWNERSはレビュー依頼の宛先を決める仕組みで、その依頼に返事があるかどうか、承認が付いたかどうかは、また別の設定で決まります。宛先を書くことと、承認を得なければマージできないようにすることを、同じ操作として扱うと、担当者の名前を書いた段階で「守れた」つもりになり、後から守れていないことに気付く運用が生まれます。

A&Aの考え方

AIエージェントがプルリクエストを開く運用では、この二層の関係を確認しないままリポジトリを増やすことがあります。テンプレートをコピーして新しいリポジトリを作ると、CODEOWNERSの内容は複製されても、ブランチ保護の設定は複製元と同じにはなりません。「同じ運用を横展開した」つもりでも、承認必須の効いていないリポジトリと、効いているリポジトリが混在します。導入担当者は、CODEOWNERSの中身と、対象ブランチのブランチ保護設定を、別々の証跡として確認する必要があります。

A&Aの考え方

この確認は、GitHubの画面上でブランチ保護のルールを開き、コードオーナーからのレビューを必須にする項目にチェックが入っているかを見るのが最短です。組織で新しめの管理機能であるリポジトリのRulesetを使う場合も、レビュー必須の項目が同じ意味で存在するかを、実際のUIの表示に沿って確認します。ドキュメントの断片で判断せず、対象リポジトリの現在の設定を、担当者本人が開いて確かめます。

A&Aの考え方

AIエージェントが自分の作業ブランチにCODEOWNERSを追加するPRを出すことは技術的には可能ですが、そのPR自体は、まだベースブランチにCODEOWNERSが無い状態でレビューされます。ベースに反映されて初めて、次のPRから宛先ルーティングが効きます。担当者の記載を変える変更は、変更そのものが承認必須の対象になるよう、ブランチ保護側で先に守っておく必要があります。

A&Aの考え方

AIエージェントを日常的に走らせるチームで、CODEOWNERSとブランチ保護の設定が食い違ったまま運用されると、担当者の目に触れないマージが発生します。抜けやすい点は三つあります。第一に、CODEOWNERSは書いてあるが、ブランチ保護の承認必須がオフになっている。第二に、承認必須はオンだが、必要レビュー数が1で、AIが自身のPRを開いたときに、担当者ではない同僚の一票でマージできてしまう。第三に、CODEOWNERSのパターン順が新旧の役割変更を反映しておらず、最後にマッチするパターンが古いチームを指したままになっている。

A&Aの考え方

この三点は、AIエージェントが速いから発生する問題ではなく、設定の意味が二層に分かれていることに気付かないと、人が作るPRでも同じ抜けが起きます。ただし、AIが日々多くのPRを開く運用では、抜けの発生頻度が上がるので、先に気付けるようになります。導入時の確認手順として、対象リポジトリのCODEOWNERSと、対象ブランチのブランチ保護設定と、直近のマージ済みPRの承認者を、この三つを一度に見比べる時間を取ります。

A&Aの考え方

運用に入れる前に、対象の各リポジトリで四つを順番に確かめます。第一に、CODEOWNERSがベースブランチにあり、想定する担当者を最後に一致するパターンに書いているか。第二に、対象ブランチのブランチ保護またはRulesetで、必須レビューが有効で、コードオーナーからのレビューが必須になっているか。第三に、必要レビュー数が対象コードのリスクに合っているか。第四に、直近のマージ済みPRを数件開き、実際に必要な承認が付いた上でマージされていたか。四つが揃うまで、新しくAIにPRを出させる範囲を広げません。

A&Aの考え方

この確認は、担当者が本当に何人いるか、休暇時の代理をどうするかという別の運用課題も可視化します。承認必須をきつくすると、担当者が不在のときにマージが止まります。止まる状態は望ましい場合もあれば、開発の速度を下げすぎる場合もあり、事業側の判断が要ります。CODEOWNERSに書く「所有者」は個人だけでなくチームにもできるため、代理を含めた小さなチームを所有者にすると、AIの変更を安全に受け取りつつ、休暇で止まりにくい運用に近づきます。設定の妥当性は、変更したときにもう一度、実際のマージ履歴で確かめます。

A&Aの考え方

A&Aが小さな開発チームに提案する形は、AIエージェントの導入前に、この四項目の現状を1枚の表にまとめ、抜けが見つかった項目から順に直すことです。全リポジトリを一度に整えるより、AIに任せる範囲が大きいリポジトリから片付けます。関連記事「AIが『完了』と言ったあと、業務の成果をどう確かめるか」では、同じ考え方を、業務の実行結果を担当者が確かめる場面に広げて扱っています。