Inhabilitar o limitar GitHub Actions para tu organización

Acerca de los permisos de GitHub Actions para tu organización

De manera predeterminada, GitHub Actions habilita en todos los repositorios y organizaciones. Puedes optar por deshabilitar GitHub Actions o limitarlo a acciones y flujos de trabajo reutilizables en la organización. Para más información sobre GitHub Actions, consulte "Más información sobre las Acciones de GitHub".

Puedes habilitar GitHub Actions para todos los repositorios en tu organización. Cuando habilitas GitHub Actions, los flujos de trabajo pueden ejecutar acciones y flujos de trabajo reutilizables que se encuentran en tu repositorio y en cualquier otro repositorio público. Puede deshabilitar GitHub Actions para todos los repositorios de la organización. Cuando inhabilitas a GitHub Actions, no se ejecuta ningún flujo de trabajo en tu repositorio.

Como alternativa, puedes habilitar GitHub Actions para todos los repositorios de la organización, pero limita las acciones y los flujos de trabajos reutilizables que puede ejecutar un flujo de trabajo.

Administrar los permisos de GitHub Actions para tu organización

Puede elegir deshabilitar GitHub Actions para todos los repositorios de la organización, o bien puede permitir solo repositorios concretos. También puedes limitar el uso de acciones públicas y flujos de trabajo reutilizables, de modo que los usuarios solo puedan utilizar acciones locales y flujos de trabajo reutilizables que existan en la organización.

1. En la esquina superior derecha de GitHub.com, haga clic en la foto de perfil y luego en Your organizations.

   2. Junto a la organización, haga clic en Settings. 1. En la barra lateral izquierda, haz clic en Acciones y, luego, haz clic en General.

2. Debajo de "Políticas", selecciona una opción.

   Si eliges Permitir OWNER y seleccionar acciones que no sean OWNER y flujos de trabajo reutilizables, se permiten acciones y flujos de trabajo reutilizables en tu organización y hay opciones adicionales para permitir otras acciones específicas y flujos de trabajo reutilizables. Para obtener más información, consulta "Habilitación de la ejecución de acciones seleccionadas y flujos de trabajo reutilizables".

   Al permitir acciones y flujos de trabajo reutilizables solo en tuorganización, la directiva bloquea todo el acceso a las acciones que crea GitHub. Por ejemplo, no se podría acceder a la acción actions/checkout.

3. Haga clic en Save(Guardar).

Habilitación de la ejecución de acciones seleccionadas y flujos de trabajo reutilizables

Al elegir Permitir OWNER y seleccionar acciones que no sean OWNER y flujos de trabajo reutilizables, se permiten acciones locales y flujos de trabajo reutilizables y hay opciones adicionales para permitir otras acciones específicas y flujos de trabajo reutilizables:

• Permitir las acciones que crea GitHub: Puedes permitir que los flujos de trabajo utilicen todas las acciones que haya creado GitHub. Las acciones que crea GitHub se encuentran en las organizaciones actions y github. Para más información, consulta las organizaciones actions y github.

• Permitir las acciones de Marketplace de creadores verificados: Puedes permitir que los flujos de trabajo utilicen todas las acciones de GitHub Marketplace creadas por creadores comprobados. Cuando GitHub haya verificado al creador de la acción como una organización asociada, se mostrará la insignia de junto a la acción en GitHub Marketplace.

• Permitir las acciones especificadas y los flujos de trabajo reutilizables: Puedes restringir los flujos de trabajo para que utilicen acciones y flujos de trabajo reutilizables en organizaciones y repositorios concretos.

  Para restringir el acceso a etiquetas específicas o confirmar los SHA de una acción o un flujo de trabajo reutilizable, usa la misma sintaxis que se usa en el flujo de trabajo para seleccionar la acción o el flujo de trabajo reutilizable.

  • Para una acción, la sintaxis es <OWNER>/<REPO>@<TAG OR SHA>. Por ejemplo, usa actions/javascript-action@v1.0.1 para seleccionar una etiqueta o actions/javascript-action@172239021f7ba04fe7327647b213799853a9eb89 para seleccionar un SHA. Para obtener más información, vea «Encontrar y personalizar las acciones».
  • Para un flujo de trabajo reutilizable, la sintaxis es <OWNER>/<REPO>/<PATH>/<FILENAME>@<TAG OR SHA>. Por ejemplo, octo-org/another-repo/.github/workflows/workflow.yml@v1. Para obtener más información, vea «Reutilización de flujos de trabajo».

  Puedes usar el carácter comodín * para buscar coincidencias con patrones. Por ejemplo, para permitir todas las acciones y los flujos de trabajo reutilizables en las organizaciones que comienzan con space-org, puedes especificar space-org*/*. Para permitir todas las acciones y los flujos de trabajo reutilizables en los repositorios que empiezan con octocat, puedes usar */octocat**@*. Para más información sobre el uso del carácter comodín *, consulta "Sintaxis del flujo de trabajo para Acciones de GitHub".

  Nota: La opción Permitir las acciones especificadas y los flujos de trabajo reutilizables solo está disponible en los repositorios públicos con el plan GitHub Free, GitHub Pro, GitHub Free para organizaciones o GitHub Team.

Este procedimiento muestra cómo agregar acciones específicas y flujos de trabajo reutilizables a la lista de permitidos.

1. En la esquina superior derecha de GitHub.com, haga clic en la foto de perfil y luego en Your organizations.

   2. Junto a la organización, haga clic en Settings. 1. En la barra lateral izquierda, haz clic en Acciones y, luego, haz clic en General.

2. En "Directivas", selecciona Permitir OWNER y seleccionar acciones que no sean OWNER y flujos de trabajo reutilizables y agrega las acciones necesarias y los flujos de trabajo reutilizables a la lista.

3. Haga clic en Save(Guardar).

Configurar las aprobaciones requeridas para los flujos de trabajo desde las bifurcaciones pùblicas

Cualquiera puede bifurcar un repositorio público y luego emitir una solicitud de cambios que proponga cambios en los flujos de trabajo de GitHub Actions del mismo. Aunque los flujos de trabajo de las bifurcaciones no tienen acceso a datos sensibles tales como los secretos, pueden ser molestos para los mantenedores si se modifican para fines de abuso.

Para ayudar a prevenir esto, los flujos de trabajo sobre las solicitudes de cambio en los repositorios públicos de algunos contribuyentes no se ejecutarán automáticamente y podrían necesitar aprobarse primero. Predeterminadamente, todos los contribuyentes de primera vez necesitan aprobación para ejecutar flujos de trabajo.

Puedes configurar este comportamiento de una organización utilizando los siguientes procedimientos. El modificar este ajuste anula el ajuste de configuraciòn a nivel empresarial.

1. En la esquina superior derecha de GitHub.com, haga clic en la foto de perfil y luego en Your organizations.

   2. Junto a la organización, haga clic en Settings. 1. En la barra lateral izquierda, haz clic en Acciones y, luego, haz clic en General. 1. En Bifurcar flujos de trabajo de solicitud de incorporación de cambios de colaboradores externos, selecciona tu opción. Las opciones se listan desde la menos hasta la más restrictiva.

   

2. Haz clic en Guardar para aplicar los valores.

Para más información sobre cómo aprobar ejecuciones de flujo de trabajo a las que se aplica esta directiva, consulta "Aprobar ejecuciones de flujo de trabajo desde bifurcaciones públicas".

Adición de un flujo de trabajo obligatorio a una organización

Puedes configurar los flujos de trabajo necesarios para que se ejecuten en todos los repositorios o en repositorios seleccionados de una organización en la que seas el propietario. Los flujos de trabajo necesarios se desencadenan mediante solicitudes de incorporación de cambios y deben pasarse antes de que se pueda combinar una solicitud de incorporación de cambios. Para obtener más información, vea «Flujos de trabajo obligatorios».

Prerrequisitos

Antes de configurar un flujo de trabajo obligatorios, debes tener en cuenta los siguientes requisitos previos:

• GitHub Actions deben estar habilitados para un repositorio en la configuración de la organización para que se ejecuten los flujos de trabajo obligatorios. Una vez que se habilitan en un nivel de organización, los flujos de trabajo obligatorios se ejecutarán incluso cuando GitHub Actions se deshabilita en la configuración del repositorio. Para más información sobre cómo administrar GitHub Actions en los repositorios de la organización, consulta "Inhabilitar o limitar GitHub Actions para tu organización".
• Los flujos de trabajo obligatorios están disponibles para las organizaciones y solo en repositorios en los que el plan de la organización admite las comprobaciones de estado obligatorias. Si no se admiten las comprobaciones de estado obligatorias, el flujo de trabajo se seguirá ejecutando, pero no será una comprobación obligatoria y no bloqueará la combinación. Para más información sobre la compatibilidad con las comprobaciones de estado obligatorias, consulta "Acerca de las ramas protegidas".
• La rama predeterminada del repositorio debe coincidir con la configuración de rama predeterminada de la organización para que los flujos de trabajo obligatorios se ejecuten como comprobaciones de estado obligatorias. Si los nombres de rama predeterminados no coinciden, el flujo de trabajo se seguirá ejecutando, pero no será una comprobación obligatoria. Para más información sobre cómo administrar los nombres de ramas predeterminadas, consulta "Administrar el nombre de la rama predeterminada para los repositorios en tu organización" y "Cambiar la rama predeterminada".
• Para que se ejecuten los flujos de trabajo obligatorios, el repositorio de origen de la solicitud de incorporación de cambios debe estar en la misma organización que el repositorio de destino. GitHub generará el flujo de trabajo necesario de una rama, etiqueta o confirmación sha especificada del repositorio que contiene el flujo de trabajo.
• Los secretos usados en un flujo de trabajo obligatorio se deben crear en el nivel de organización o en los repositorios de destino.
• Los secretos del repositorio de origen no se capturarán cuando se ejecute un flujo de trabajo en el repositorio de destino.

Restricciones y comportamientos para el repositorio de origen

Debes tener en cuenta las siguientes restricciones y comportamientos para el repositorio de origen y el flujo de trabajo:

• Los flujos de trabajo obligatorios se pueden almacenar en cualquier carpeta del repositorio y no están restringidos a la carpeta .github/workflows, como los flujos de trabajo normales. Si un flujo de trabajo obligatorio llama a un flujo de trabajo reutilizable, el flujo de trabajo reutilizable debe almacenarse en la carpeta .github/workflows. Al llamar a un flujo de trabajo reutilizable, un flujo de trabajo obligatorio debe usar la ruta completa y la referencia al flujo de trabajo reutilizable. Por ejemplo, {owner}/{repo}/.github/workflows/{filename}@{ref}.

• Si el flujo de trabajo obligatorio está incluido en un repositorio privado , debes asegurarte de que otros repositorios de la organización pueden acceder a los flujos de trabajo dentro del repositorio. Para obtener más información, consulta "Administrar los ajustes de las GitHub Actions de un repositorio".

• Los flujos de trabajo almacenados en un repositorio público se pueden configurar como flujos de trabajo obligatorios para cualquier repositorio de la organización. Los flujos de trabajo almacenados en un repositorio privado solo se pueden configurar como flujos de trabajo obligatorios para otros repositorios privados de la organización.

• CodeQL no se admite en los flujos de trabajo obligatorios, ya que necesita configuración en el nivel de repositorio. Para información sobre la configuración del examen de código, consulta "Configuración del análisis de código para un repositorio".

• Para insertar en una rama en la que se apliquen flujos de trabajo necesarios a nivel organizativo, cree una solicitud de incorporación de cambios para realizar los cambios necesarios. No podrá insertar directamente en ramas con las aplicaciones de flujo de trabajo necesarias.

• Si desea permitir inserciones directas en un repositorio determinado, debe quitar el repositorio como destino de los respectivos flujos de trabajo necesarios.

• Puede hacer referencia a los flujos de trabajo necesarios mediante cualquier rama, etiqueta o confirmación SHA del repositorio que contenga el archivo de flujo de trabajo.

Restricciones y comportamientos para el repositorio de destino

Debes tener en cuenta las siguientes restricciones y comportamientos para los repositorios de destino:

• Al configurar un flujo de trabajo necesario para ejecutarse en todos o algunos repositorios, la visibilidad del repositorio que contiene el flujo de trabajo necesario afectará a los repositorios de la organización en los que se ejecuta el flujo de trabajo. Los flujos de trabajo necesarios almacenados en repositorios públicos se ejecutarán en todos los repositorios. Los flujos de trabajo necesarios almacenados en repositorios privados solo se ejecutarán en otros repositorios privados.
• Los flujos de trabajo necesarios no se pueden configurar para ejecutarse en el repositorio en el que se crea el flujo de trabajo. Debes considerar la posibilidad de crear un repositorio independiente para almacenar los flujos de trabajo necesarios.
• Al configurar un flujo de trabajo necesario para ejecutarse en todos los repositorios o seleccionados, los flujos de trabajo necesarios no se ejecutarán en repositorios en los que las acciones estén deshabilitadas en la configuración de la organización.

Configuración de un flujo de trabajo necesario para una organización

1. En la esquina superior derecha de GitHub.com, haga clic en la foto de perfil y luego en Your organizations.

   2. Junto a la organización, haga clic en Settings. 1. En la barra lateral izquierda, haz clic en Acciones y, luego, haz clic en General.

2. A la derecha de "Flujos de trabajo necesarios", haz clic en Agregar flujo de trabajo.

3. En "Flujo de trabajo requerido", usa el menú desplegable para seleccionar el repositorio que contiene el flujo de trabajo. A continuación, escribe la ruta de acceso al flujo de trabajo en el campo de texto. Puedes hacer referencia a cualquier rama, etiqueta o confirmación SHA desde el repositorio que contiene el archivo de flujo de trabajo mediante la sintaxis {path}@{ref}.

4. Opcionalmente, para especificar ramas de destino en las que aplicar el flujo de trabajo necesario, escribe la rama o varias ramas en el campo de texto en "Ramas de destino". Si no escribes una rama de destino, se aplicará el flujo de trabajo necesario en la rama predeterminada del repositorio.

5. En "Aplicar a repositorios...", usa el menú desplegable para seleccionar a qué repositorios se aplica el flujo de trabajo necesario. Selecciona Todos los repositorios para aplicar el flujo de trabajo necesario a todos los repositorios de la organización o Repositorios seleccionados para elegir a qué repositorios se aplicará.

6. Opcionalmente, si eliges "Repositorios seleccionados", haz clic en para abrir el modal de selección del repositorio y luego usa las casillas para seleccionar los repositorios. Por último, haz clic en Aplicar selección. Puedes usar filtros para restringir la búsqueda.

7. Para agregar el flujo de trabajo necesario, haz clic en Agregar flujo de trabajo.

Habilitar flujos de trabajo para las bifurcaciones de repositorios privados

Si se basa en el uso de bifurcaciones de sus repositorios privados, puede configurar las directivas que controlan cómo los usuarios pueden ejecutar flujos de trabajo en los eventos de pull_request. Están disponibles solo para repositorios privados. Puedes configurar estas opciones de directiva para organizaciones o repositorios.

Si una política se inhabilita para una organización, no podrá habilitarse en los repositorios. Si una organización habilita una política, esta podrá inhabilitarse para los repositorios individuales.

• Ejecutar flujos de trabajo desde solicitudes de incorporación de cambios de bifurcación: permite a los usuarios ejecutar flujos de trabajo desde solicitudes de incorporación de cambios de bifurcación, utilizando un GITHUB_TOKEN con permiso de solo lectura y sin acceso a secretos.
• Enviar tokens de escritura a flujos de trabajo desde solicitudes de incorporación de cambios: permite que las solicitudes de incorporación de cambios de bifurcaciones usen un GITHUB_TOKEN con permiso de escritura.
• Enviar secretos a flujos de trabajo desde solicitudes de incorporación de cambios: hace que todos los secretos estén disponibles para la solicitud de incorporación de cambios.
• Requerir aprobación para flujos de trabajo de solicitud de incorporación de cambios de bifurcación: las ejecuciones de flujo de trabajo en solicitudes de incorporación de cambios de colaboradores sin permiso de escritura requerirá la aprobación de alguien con permiso de escritura antes de que se ejecuten.

Configurar la política de bifurcaciones privadas para una organización

1. En la esquina superior derecha de GitHub.com, haga clic en la foto de perfil y luego en Your organizations.

   2. Junto a la organización, haga clic en Settings. 1. En la barra lateral izquierda, haz clic en Acciones y, luego, haz clic en General. 1. En Fork pull request workflows (Bifurcar flujos de trabajo de solicitud de incorporación de cambios), seleccione las opciones. Por ejemplo:

2. Haga clic en Save (Guardar) para aplicar los valores.

Establecimiento de los permisos de GITHUB_TOKEN para la organización

Puedes establecer los permisos predeterminados concedidos al GITHUB_TOKEN. Para obtener más información sobre GITHUB_TOKEN, consulta "Autenticación automática de tokens". Puedes elegir un conjunto restringido de permisos como valor predeterminado o aplicar la configuración permisiva.

Puede configurar los permisos predeterminados para GITHUB_TOKEN en la configuración de la organización o los repositorios. Si seleccionas una opción restrictiva como predeterminada en la configuración de tu organización, se seleccionará la misma opción en la configuración de repositorios de la organización y la opción permisiva se deshabilitará. Si tu organización pertenece a una cuenta de GitHub Enterprise y se ha seleccionado un valor predeterminado más restrictivo en la configuración de empresa, no podrás seleccionar el valor predeterminado más permisivo en la configuración de la organización.

Cualquiera con acceso de escritura en un repositorio puede modificar los permisos que se han otorgado a GITHUB_TOKEN, y agregar o quitar el acceso según sea necesario, si editan la clave permissions en el archivo de flujo de trabajo. Para más información, vea permissions.

Configuración de los permisos de GITHUB_TOKEN predeterminados

De forma predeterminada, al crear una organización, GITHUB_TOKEN solo tiene acceso de lectura para los ámbitos contents y packages.

1. En la esquina superior derecha de GitHub.com, haga clic en la foto de perfil y luego en Your profile (Su perfil).

   1. En la esquina superior derecha de GitHub.com, haga clic en la foto de perfil y luego en Your organizations.

   2. Junto a la organización, haga clic en Settings. 1. En la barra lateral izquierda, haz clic en Acciones y, luego, haz clic en General.

2. En "Permisos de flujo de trabajo", elige si quieres que GITHUB_TOKEN tenga acceso de lectura y escritura para todos los ámbitos, o simplemente acceso de lectura para el ámbito contents y el ámbito packages.

          ![Establecer permisos de GITHUB_TOKEN para esta organización](/assets/images/help/settings/actions-workflow-permissions-organization-with-default-restrictive.png)      
   

3. Haga clic en Save (Guardar) para aplicar los valores.

Impedir que GitHub Actions cree o apruebe solicitudes de incorporación de cambios

Puedes elegir si permitir o impedir que los flujos de trabajo de GitHub Actions creen o aprueben las solicitudes de incorporación de cambios.

De manera predeterminada, al crear una nueva organización, los flujos de trabajo no pueden crear ni aprobar solicitudes de incorporación de cambios.

1. En la esquina superior derecha de GitHub.com, haga clic en la foto de perfil y luego en Your profile (Su perfil).

   1. En la esquina superior derecha de GitHub.com, haga clic en la foto de perfil y luego en Your organizations.

   2. Junto a la organización, haga clic en Settings. 1. En la barra lateral izquierda, haz clic en Acciones y, luego, haz clic en General.

2. En "Permisos de flujo de trabajo", usa la opción Permitir que Acciones de GitHub cree y apruebe solicitudes de incorporación de cambios para configurar si GITHUB_TOKEN puede crear y aprobar solicitudes de incorporación de cambios.

   ![Establecer permisos de GITHUB_TOKEN para esta organización](/assets/images/help/settings/actions-workflow-permissions-organization-with-default-restrictive.png)  
   

3. Haga clic en Save para aplicar los valores.

Administrar el almacenamiento en caché de GitHub Actions para una organización

Los administradores de la organización pueden ver GitHub Actions para todos los repositorios de la organización.

Visualización del almacenamiento en caché de GitHub Actions por repositorio

Para cada repositorio de la organización, puedes ver la cantidad de almacenamiento en caché que usa un repositorio, el número de cachés activas y si un repositorio está cerca del límite total de tamaño de caché. Para obtener más información sobre el uso y el proceso de expulsión de la caché, consulta "Almacenar en caché las dependencias para agilizar los flujos de trabajo".

1. En la esquina superior derecha de GitHub.com, haga clic en la foto de perfil y luego en Your profile (Su perfil).

   1. En la esquina superior derecha de GitHub.com, haga clic en la foto de perfil y luego en Your organizations.

   2. Junto a la organización, haga clic en Settings.

2. En la barra lateral izquierda, haz clic en Acciones y haz clic en Cachés.

3. Revisa la lista de repositorios para obtener información sobre sus cachés de GitHub Actions. Puedes hacer clic en un nombre de repositorio para ver más detalles sobre las cachés del repositorio.