GitHub Actions ワークフローのトリガーを制御する機能を公開プレビューへ

GitHub Enterprise、組織、およびリポジトリ向けに、ワークフロー実行保護機能がパブリックプレビューとして利用可能になりました。この新機能により、企業管理者は許可リストを定義して、誰が GitHub Actions ワークフローを実行できるか、またどのイベントがその実行を許可されるかを制御できます。これにより、予測可能で安全なワークフロー実行が可能になります。 従来、ワークフローはそれをトリガーしたコミットに含まれるワークフローファイルに基づいて実行されていました。リポジトリへのアクセス権を持つ攻撃者は、そのファイルを改変して悪意のあるコードを実行させることが可能でした。ワークフロー実行保護機能はこの隙間を埋めます。管理者がルールを定義し、GitHub Actions が実行前にそれを評価するため、不正なアクターやイベントが望ましくないワークフローの実行を引き起こすことは決してありません。 一つのポリシーで全リポジトリに対応 ワークフロー実行保護機能は GitHub のルールセットフレームワークに基づいて構築されているため、ルールセットから既に知っているターゲット指定機能がここでも利用可能です。組織全体のルールセットを使用して企業全体に保護を適用し、リポジトリ固有のカスタムプロパティを使って特定のレポジトリにスコープを限定できます。つまり、セキュリティについて YAML ファイルごとに個別に検討する必要がなくなり、広範な保護を一つの場所で可視化して強制できるようになります。また、評価モードを使用してルールをシャドウ実行することもでき、ポリシーを適用・展開する前に、ルールが具体的に何をブロックするかを確認できます。これにより、既存のワークフローを破損させるリスクを防ぐことができます。 まずは二つのルールタイプ イベントとアクターが最初の二つのルールタイプであり、将来的にはさらに追加される予定です。 アクタールールは、ワークフローを実行できる主体を制御します。これには個別のユーザー、リポジトリロール（例：Read、Maintain、Admin）、GitHub Apps、Copilot、Dependabot が含まれます。 イベントルールは、許可されるイベントを制御します。具体的には push、pull_request、pull_request_target、workflow_dispatch などです。 デフォルトでは、リポジトリに書き込み権限を持つすべてのユーザーがワークフローを実行できます。アクタールールを使用すると、コードの貢献者と CI を実行する者を分離できるため、貢献者に書き込み権限を付与しても、ワークフローの実行権限は付与する必要がありません。 一般的な攻撃者の手法を阻止する ワークフロー実行保護機能は、現実世界で頻繁に発生するいくつかの攻撃パターンを妨害します： プルリクエストからの汚染されたパイプライン実行：pull_request_target を組織全体、特に最も悪用されやすい公開リポジトリでも制限または禁止します。 手動トリガーの濫用：workflow_dispatch をメンテナーに限定し、信頼できないアイデンティティがワークフローを開始できないようにします。 信頼できないアクターによる実行：低信頼度のアイデンティティがワークフローを完全にトリガーできないようにブロックします。 設定ミスの悪用：単一の設定ミスのあるワークフローファイルでも即座に無効化する中央ポリシーを適用します。 はじめに 「Actions」セクション内の新しい「Policies」セクションで、組織およびリポジトリ設定にてワークフロー実行保護機能を見つけることができます。この「Policies」セクションは新しく、既存の「General」アクション設定とは別に設けられています。 詳細については、GitHub Actions ドキュメントの「ワークフロー実行保護機能」に関する記事をお読みください。 GitHub コミュニティ内での議論に参加してください。 「誰が、何が GitHub Actions ワークフローをトリガーするかを制御する」という投稿は、最初に The GitHub Blog で掲載されました。

GitHub Actions ワークフローのトリガーを制御する機能を公開プレビューへ

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト