より大きなランナーへのアクセスの制御

注: この記事の情報と手順は、Linux および Windows オペレーティングシステムのより大きなランナーにのみ適用されます。

ランナーグループについて

Organization や Enterprise レベルのランナーへのアクセスを制御するために、Enterprise および Organization の所有者はランナーグループを使用できます。

ランナーグループは、ランナーのセットを収集し、その周囲にセキュリティ境界を作成するために使用されます。その後、それらのマシンセットでジョブを実行できる Organization またはリポジトリを決定できます。Enterprise の管理者は、Enterprise 内のどの Organization やワークフローがランナーグループにアクセスできるかを制御するアクセスポリシーを構成できます。

ランナーグループにアクセス権を付与すると、そのランナーグループがオーガニゼーションのランナー設定に表示されます。必要に応じて、リポジトリとワークフローの詳細な追加アクセスポリシーを、ランナーグループに割り当てることができます。

特に指定がなければ、新しいランナーが作成されると、自動的に既定のグループに割り当てられます。ランナーは一度に1つのグループにのみ参加できます。ランナーは、別のランナーグループに移動できます。詳しくは、「ランナーをグループに移動する」をご覧ください。

特定のグループのランナーにジョブをルーティングする方法についての情報は、「ジョブのランナーを選択する」を参照してください。

ランナーへのアクセスの管理

注: ワークフローがより大きなランナーにジョブを送信できるようにするには、まずランナーグループのアクセス許可を構成する必要があります。詳しくは、以下のセクションをご覧ください。

ランナーグループは、より大きなランナーでジョブを実行できるリポジトリを制御するために使用されます。より大きなランナーを定義した場所に応じて、管理階層の各レベルからグループへのアクセス権を管理する必要があります。

エンタープライズレベルのランナー: 既定では、Organization 内のリポジトリは Enterprise レベルのランナーグループにアクセスできません。リポジトリに Enterprise ランナーグループへのアクセス権を付与するには、Organization の所有者が各 Enterprise ランナーグループを構成し、アクセスできるリポジトリを選ぶ必要があります。
組織レベルのランナー: 既定では、Organization 内のすべてのリポジトリに、Organization レベルのランナーグループへのアクセス権が付与されます。アクセスできるリポジトリを制限するには、Organization の所有者が Organization ランナーグループを構成し、アクセスできるリポジトリを選ぶ必要があります。

たとえば、次の図には、Enterprise レベルに grp-ubuntu-20.04-16core という名前のランナーグループがあります。 octo-repo という名前のリポジトリがグループ内のランナーを使用できるようにするには、まず、octo-org 組織へのアクセスを許可するようにエンタープライズレベルでグループを構成する必要があります。次に、octo-repo へのアクセスを許可するように組織レベルでグループを構成する必要があります。

Enterprise レベルのランナーグループと Organization の間、および Organization と Organization が所有する 2 つのリポジトリの間のロックを示す図。

Organization のランナーグループを作成する

警告: 固定 IP 範囲を使っている場合、プライベートリポジトリにはより大きなランナーのみを使うことをお勧めします。ワークフロー内でコードを実行する pull request を作成することで、リポジトリのフォークによって、より大きなランナー上で危険なコードが実行される可能性があります。

すべての Organization には、単一の既定のランナーグループがあります。 Enterprise アカウント内の Organization は、追加のグループを作成できます。 Organization の管理者は、個々のリポジトリにランナーグループへのアクセスを許可できます。 REST API を使ってランナーグループを作成する方法について詳しくは、「アクション」をご覧ください。

登録プロセスでグループを指定しなかった場合、ランナーは自動的に既定のグループに追加されます。後で、ランナーを既定のグループからカスタムグループに移動することができます。詳しくは、「ランナーをグループに移動する」をご覧ください。

グループを作成するときは、ランナーグループにアクセスできるリポジトリとワークフローが定義されているポリシーを選ぶ必要があります。

GitHub.com で、Organization のメインページへ移動します。
組織名の下で、 [設定] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウンメニューを選び、 [設定] をクリックします。
左サイドバーにある [アクション] をクリックし、 [ランナーグループ] をクリックします。
"ランナーグループ" セクションで、 [新しいランナーグループ] をクリックします。
ランナーグループの名前を入力します。
リポジトリアクセスのポリシーを割り当てます。

リポジトリの特定のリストまたは組織内のすべてのリポジトリにアクセス可能なランナーグループを設定できます。既定では、プライベートリポジトリのみがランナーグループ内のランナーにアクセスできますが、これをオーバーライドできます。エンタープライズによって共有された組織のランナーグループを構成する場合、この設定をオーバーライドすることはできません。
ワークフローアクセス用のポリシーを割り当てます。

特定のワークフローの一覧またはすべてのワークフローからアクセスできるようにランナーグループを構成できます。エンタープライズによって共有された組織のランナーグループを構成している場合、この設定をオーバーライドできません。ランナーグループにアクセスできるワークフローを指定する場合は、リポジトリ名と所有者を含むワークフローへの完全なパスを使用し、ワークフローをブランチ、タグ、または完全 SHA にピン留めする必要があります。 (例: octo-org/octo-repo/.github/workflows/build.yml@v2, octo-org/octo-repo/.github/workflows/deploy.yml@d6dc6c96df4f32fa27b039f2084f576ed2c5c2a5, monalisa/octo-test/.github/workflows/test.yml@main)。

選択したワークフロー内で直接定義されたジョブのみがランナーグループにアクセスできます。 Organization が所有するランナーグループは、Enterprise 内の別の Organization からのワークフローにはアクセスできません。代わりに、Enterprise が所有するランナーグループを作成する必要があります。 1. [グループの作成] をクリックしてグループを作成し、ポリシーを適用します。

Enterprise のランナーグループを作成する

警告: 固定 IP 範囲を使っている場合、プライベートリポジトリにはより大きなランナーのみを使うことをお勧めします。ワークフロー内でコードを実行する pull request を作成することで、リポジトリのフォークによって、より大きなランナー上で危険なコードが実行される可能性があります。

Enterprise を使うと、ランナーがグループに追加されて、アクセス管理を行うことができます。 Enterprise は、Enterprises アカウント内の特定の Organization 、または特定のワークフローにアクセス可能なランナーのグループを作成できます。その後、Organization の所有者は、Enterprise ランナーグループに対し、追加の詳細なリポジトリまたはワークフローアクセスポリシーを割り当てることができます。 REST API を使ってランナーグループを作成する方法については、GitHub Actions REST API の Enterprise エンドポイントをご覧ください。

登録プロセスでグループを指定しなかった場合、ランナーは自動的に既定のグループに追加されます。後で、ランナーを既定のグループからカスタムグループに移動することができます。詳しくは、「ランナーをグループに移動する」をご覧ください。

グループを作成するときは、ランナーグループにアクセスできる Organization を定義するポリシーを選択する必要があります。

GitHub.com の右上の自分のプロファイル写真をクリックし、 [自分の Enterprise] をクリックします。
Enterpriseのリストで、表示したいEnterpriseをクリックしてください。
Enterprise アカウントのサイドバーで、 [ポリシー] をクリックします。
「ポリシー」で、[アクション] をクリックします。
[ランナーグループ] タブをクリックします。
[New runner group](新しいランナーグループ) をクリックします。
[グループ名] に、ランナーグループの名前を入力します。1. Organization アクセスのポリシーを選ぶには、 [Organization のアクセス] ドロップダウンメニューを選び、[ポリシー] をクリックします。組織の特定のリストまたはエンタープライズ内のすべての組織にアクセス可能なランナーグループを設定できます。
ワークフローアクセス用のポリシーを割り当てます。

特定のワークフローの一覧またはすべてのワークフローからアクセスできるようにランナーグループを構成できます。エンタープライズによって共有された組織のランナーグループを構成している場合、この設定をオーバーライドできません。ランナーグループにアクセスできるワークフローを指定する場合は、リポジトリ名と所有者を含むワークフローへの完全なパスを使用し、ワークフローをブランチ、タグ、または完全 SHA にピン留めする必要があります。 (例: octo-org/octo-repo/.github/workflows/build.yml@v2, octo-org/octo-repo/.github/workflows/deploy.yml@d6dc6c96df4f32fa27b039f2084f576ed2c5c2a5, monalisa/octo-test/.github/workflows/test.yml@main)。

選択したワークフロー内で直接定義されたジョブのみがランナーグループにアクセスできます。
[グループの保存] をクリックしてグループを作成し、ポリシーを適用します。

ランナーグループに一意の名前を使用する

GitHub Actions では、ランナーグループ名が Organization レベルで一意である必要があります。つまり、Organization は、Enterprise 内のランナーグループと同じ名前を持つものを作成できなくなります。さらに、ユーザーには、Enterprise 内のグループと同じ名前を共有するすべてのランナーグループに、Organization グループの名前を変更することを提案する警告バナーが表示されます。

あいまいさを回避するために、Organization と Enterprise に重複するランナーグループがある場合、ワークフローは失敗します。これに対処するには、Organization 内または Enterprise のいずれかのランナーグループの名前を変更するか、ワークフローファイルを更新してランナーグループ名にプレフィックスを追加します。

org/ または organization/
ent/ または enterprise/

例: プレフィックスを使用してランナーグループを区別する

たとえば、Organization 内に my-group という名前のランナーグループがあり、Enterprise 内に my-group という名前のランナーグループがある場合は、ワークフローファイルを更新して、org/my-group または ent/my-group を使用して 2 つを区別できます。

org/の使用

runs-on:
  group: org/my-group
  labels: [ self-hosted, label-1 ]

ent/の使用

runs-on:
  group: ent/my-group
  labels: [ self-hosted, label-1 ]

ランナーグループにアクセスできる組織を変更する

警告: 固定 IP 範囲を使っている場合、プライベートリポジトリにはより大きなランナーのみを使うことをお勧めします。ワークフロー内でコードを実行する pull request を作成することで、リポジトリのフォークによって、より大きなランナー上で危険なコードが実行される可能性があります。

エンタープライズのランナーグループの場合、エンタープライズ内のどの組織がランナーグループにアクセスできるかを変更できます。

GitHub.com の右上の自分のプロファイル写真をクリックし、 [自分の Enterprise] をクリックします。
Enterpriseのリストで、表示したいEnterpriseをクリックしてください。
Enterprise アカウントのサイドバーで、 [ポリシー] をクリックします。
「ポリシー」で、[アクション] をクリックします。
[ランナーグループ] タブをクリックします。
[Organization アクセス] で、ドロップダウンメニューを使用して [選択した Organization ] をクリックします。
1. ドロップダウンメニューの右側にあるをクリックします。
2. ポップアップで、チェックボックスを使って、このランナーグループを使用できる Organization を選択します。
[グループの保存] をクリックします。

ランナーグループにアクセスできるリポジトリを変更する

警告: 固定 IP 範囲を使っている場合、プライベートリポジトリにはより大きなランナーのみを使うことをお勧めします。ワークフロー内でコードを実行する pull request を作成することで、リポジトリのフォークによって、より大きなランナー上で危険なコードが実行される可能性があります。

組織のランナーグループの場合、組織内のどのリポジトリがランナーグループにアクセスできるかを変更できます。

ランナーグループが配置されている組織のメインページに移動します。
[設定] をクリックします。
左サイドバーにある [アクション] をクリックし、 [ランナーグループ] をクリックします。
グループのリストで、構成するランナーグループをクリックします。
[リポジトリアクセス] で、ドロップダウンメニューを使って [選択した Organization] をクリックします。
1. ドロップダウンメニューの右側にあるをクリックします。
2. ポップアップで、チェックボックスを使って、このランナーグループにアクセスできるリポジトリを選択します。
[グループの保存] をクリックします。

ランナーグループにアクセスできるワークフローを変更する

警告: 固定 IP 範囲を使っている場合、プライベートリポジトリにはより大きなランナーのみを使うことをお勧めします。ワークフロー内でコードを実行する pull request を作成することで、リポジトリのフォークによって、より大きなランナー上で危険なコードが実行される可能性があります。

選択したワークフローまたはすべてのワークフローを実行するようにランナーグループを構成できます。たとえば、この設定を使って、ランナーに格納されているシークレットを保護したり、ランナーグループが特定の再利用可能なワークフローのみを実行するように制限してデプロイワークフローを標準化したりすることができます。エンタープライズによって共有された組織のランナーグループを構成している場合、この設定をオーバーライドできません。

組織のランナーグループにアクセスできるワークフローを変更する
エンタープライズのランナーグループにアクセスできるワークフローを変更する

より大きなランナーのプライベートネットワークアクセスの構成

Azure と GitHub Enterprise Cloud を使っている場合は、Azure VNET で GitHub ホステッドランナーを作成できます。これにより、ランナーのネットワークポリシーを完全に制御しながら、CI/CD の GitHub マネージドインフラストラクチャを利用することができます。 Azure VNET の詳細については、Azure ドキュメントの「Azure Virtual Network とは」を参照してください。

Azure VNET に接続するようにエンタープライズを構成している場合は、ランナーグループに仮想ネットワークへのアクセス権を付与できます。詳しくは、「GitHub でホストされたランナーを使用してプライベートネットワークに接続する」を参照してください。

組織のランナーグループにアクセスできるワークフローを変更する

ランナーグループが配置されている組織のメインページに移動します。
[設定] をクリックします。
左サイドバーにある [アクション] をクリックし、 [ランナーグループ] をクリックします。
グループのリストで、構成するランナーグループをクリックします。
[ワークフローアクセス] で、ドロップダウンメニューを選択し、 [選択したワークフロー] をクリックします。
をクリックします。
ランナーグループにアクセスできるワークフローのコンマ区切りの一覧を入力します。リポジトリ名と所有者を含む完全なパスを使用します。ワークフローをブランチ、タグ、または完全 SHA にピン留めします。 (例: octo-org/octo-repo/.github/workflows/build.yml@v2, octo-org/octo-repo/.github/workflows/deploy.yml@d6dc6c96df4f32fa27b039f2084f576ed2c5c2a5, monalisa/octo-test/.github/workflows/test.yml@main)。

選択したワークフロー内で直接定義されたジョブのみがランナーグループにアクセスできます。

組織所有のランナーグループは、エンタープライズ内の別の組織からワークフローにアクセスできません。代わりに、エンタープライズ所有のランナーグループを作成する必要があります。
[保存] をクリックします。

エンタープライズのランナーグループにアクセスできるワークフローを変更する

GitHub.com の右上の自分のプロファイル写真をクリックし、 [自分の Enterprise] をクリックします。
Enterpriseのリストで、表示したいEnterpriseをクリックしてください。
Enterprise アカウントのサイドバーで、 [ポリシー] をクリックします。
「ポリシー」で、[アクション] をクリックします。
[ランナーグループ] タブをクリックします。
グループのリストで、構成するランナーグループをクリックします。
[ワークフローアクセス] で、ドロップダウンメニューを選択し、 [選択したワークフロー] をクリックします。
をクリックします。
ランナーグループにアクセスできるワークフローのコンマ区切りの一覧を入力します。リポジトリ名と所有者を含む完全なパスを使用します。ワークフローをブランチ、タグ、または完全 SHA にピン留めします。 (例: octo-org/octo-repo/.github/workflows/build.yml@v2, octo-org/octo-repo/.github/workflows/deploy.yml@d6dc6c96df4f32fa27b039f2084f576ed2c5c2a5, monalisa/octo-test/.github/workflows/test.yml@main)。

選択したワークフロー内で直接定義されたジョブのみがランナーグループにアクセスできます。

組織所有のランナーグループは、エンタープライズ内の別の組織からワークフローにアクセスできません。代わりに、エンタープライズ所有のランナーグループを作成する必要があります。
[保存] をクリックします。

ランナーグループの名前を変更する

エンタープライズおよび組織レベルでランナーグループの名前を変更できます。

組織ランナーグループの名前を変更する
エンタープライズランナーグループの名前を変更する

組織ランナーグループの名前を変更する

ランナーグループが配置されている組織のメインページに移動します。
[設定] をクリックします。
左サイドバーにある [アクション] をクリックし、 [ランナーグループ] をクリックします。
グループのリストで、構成するランナーグループをクリックします。
[グループ名] のテキストフィールドに新しいランナーグループ名を入力します。
[保存] をクリックします。

エンタープライズランナーグループの名前を変更する

GitHub.com の右上の自分のプロファイル写真をクリックし、 [自分の Enterprise] をクリックします。
Enterpriseのリストで、表示したいEnterpriseをクリックしてください。
Enterprise アカウントのサイドバーで、 [ポリシー] をクリックします。
「ポリシー」で、[アクション] をクリックします。
[ランナーグループ] タブをクリックします。
グループのリストで、構成するランナーグループをクリックします。
[グループ名] のテキストフィールドに新しいランナーグループ名を入力します。
[保存] をクリックします。

ランナーをグループに移動する

登録プロセス中にランナーグループを指定しない場合、新しいランナーは、自動的に既定のグループに割り当てられ、その後別のグループへの移動が可能となります。

組織ランナーをグループに移動する
エンタープライズランナーをグループに移動する

組織ランナーをグループに移動する

GitHub.com で、Organization のメインページへ移動します。
組織名の下で、 [設定] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウンメニューを選び、 [設定] をクリックします。
左のサイドバーで [アクション] をクリックしてから、 [ランナー] をクリックします。
"ランナー" の一覧で、構成するランナーをクリックします。
[ランナーグループ] ドロップダウンを選択します。
"ランナーをグループに移動" で、ランナーの移動先グループを選択します。

エンタープライズランナーをグループに移動する

GitHub.com の右上の自分のプロファイル写真をクリックし、 [自分の Enterprise] をクリックします。
Enterpriseのリストで、表示したいEnterpriseをクリックしてください。
Enterprise アカウントのサイドバーで、 [ポリシー] をクリックします。
「ポリシー」で、[アクション] をクリックします。
[Runners](ランナー) タブをクリックします。
"ランナー" の一覧で、構成するランナーをクリックします。
[ランナーグループ] ドロップダウンを選択します。
"ランナーをグループに移動" で、ランナーの移動先グループを選択します。

ランナーグループを削除する

ランナーグループを削除するには、まず、グループからすべてのランナーを移動するか削除する必要があります。

組織からランナーを削除する
エンタープライズからランナーを削除する

組織からランナーを削除する

ランナーグループが配置されている組織のメインページに移動します。
[設定] をクリックします。
左サイドバーにある [アクション] をクリックし、 [ランナーグループ] をクリックします。
グループの一覧で、削除するグループの右側にあるをクリックします。
グループを削除するには、 [グループの削除] をクリックします。
確認プロンプトを確認し、 [Remove this runner group](このランナーグループの削除) をクリックします。

エンタープライズからランナーを削除する

GitHub.com の右上の自分のプロファイル写真をクリックし、 [自分の Enterprise] をクリックします。
Enterpriseのリストで、表示したいEnterpriseをクリックしてください。
Enterprise アカウントのサイドバーで、 [ポリシー] をクリックします。
「ポリシー」で、[アクション] をクリックします。
[ランナーグループ] タブをクリックします。
グループの一覧で、削除するグループの右側にあるをクリックします。
グループを削除するには、 [グループの削除] をクリックします。
確認プロンプトを確認し、 [Remove this runner group](このランナーグループの削除) をクリックします。

より大きなランナーへのアクセスの制御

この記事の内容