パッケージに対する権限のスコープは、ユーザーまたは Organization に、あるいはリポジトリに設定できます。
ユーザ/Organizationスコープのパッケージの詳細な権限
詳細なアクセス許可を持つパッケージは、個人アカウントまたは Organization にスコープ設定されます。 パッケージのアクセス制御と可視性は、パッケージに接続された（あるいはリンクされた）リポジトリは別個に変更できます。
次の GitHub Packages レジストリでは、細かな権限がサポートされています。
- Container registry
リポジトリスコープのパッケージに対する権限
リポジトリ スコープのパッケージは、パッケージが発行されたリポジトリのアクセス許可と可視性を継承します。 リポジトリをスコープとするパッケージは、リポジトリのメインページにアクセスし、ページ右にあるパッケージリンクをクリックすれば見つかります。
次の GitHub Packages レジストリでは、リポジトリ スコープの権限のみがサポートされています。
- Docker レジストリ (
docker.pkg.github.com) - npm レジストリ - Apache Mavenレジストリ
- Gradle レジストリ - NuGet レジストリ - RubyGems レジストリ
Container registryの場合、パッケージのスコープをユーザーまたは Organization に限定することも、パッケージをリポジトリにリンクさせることも選べます。 Container registry への移行については、「Dockeerレジストリからコンテナレジストリへの移行」をご覧ください。
パッケージの可視性とアクセス許可
パッケージが詳細なアクセス許可をサポートするレジストリに属している場合、パッケージに対する管理者アクセス許可を持つすべてのユーザーは、パッケージをプライベートまたは公開用に設定でき、組織レベルとリポジトリ レベルで設定されたアクセス許可とは別のアクセス許可をパッケージに付与できます。 詳細なアクセス許可をサポートするレジストリの一覧については、「GitHub Packagesの権限について」をご覧ください。
ほとんどのレジストリでは、パッケージをプルするには、パッケージが公開用かプライベートかに関係なく、personal access token または GITHUB_TOKEN で認証する必要があります。 ただし、Container registry では、公開用 パッケージは匿名アクセスを許可し、認証や CLI 経由でのサインインなしでプルできます。
パッケージを発行すると、パッケージへの管理者アクセス許可を自動的に取得します。 Organization にパッケージを発行する場合、Organization 内の owner ロールを持つすべてのユーザーも、そのパッケージへの管理者アクセス許可を取得します。
個人アカウントにスコープ指定されたパッケージの場合は、任意のユーザーにアクセス ロールを付与できます。 Organization にスコープ指定されたパッケージの場合は、Organization 内の任意のユーザーまたは team にアクセス ロールを付与できます。
| アクセス許可 | アクセスの説明 |
|---|---|
| Read | パッケージをダウンロードできます。 パッケージのメタデータを読み取ることができます。 |
| Write | このパッケージをアップロードおよびダウンロードできます。 パッケージ メタデータの読み取りと書き込みを行うことができます。 |
詳しくは、「パッケージのアクセス制御と可視性の設定」を参照してください。
パッケージの管理
パッケージ レジストリでホストされているパッケージを使用もしくは管理するためには、適切なスコープを持つpersonal access tokenを使わなければならず、個人用アカウントが適切な権限を持っていなければなりません。
たとえば、次のように入力します。
- リポジトリからパッケージをダウンロードしてインストールするには、personal access tokenに
read:packagesスコープが設定されていなければならず、ユーザー アカウントには読み取り権限が設定されていなければなりません。 - GitHub Enterprise Server 上のパッケージを削除するには、ご利用のpersonal access tokenに少なくとも
delete:packagesおよびread:packagesスコープが設定されている必要があります。 リポジトリをスコープとするパッケージには、repoスコープも必要です。 詳しくは、「パッケージを削除および復元する」をご覧ください。
| Scope | 説明 | 必要な権限 |
|---|---|---|
read:packages | GitHub Packagesからのパッケージのダウンロードとインストール | 読み取り |
write:packages | GitHub Packagesへのパッケージのアップロードと公開 | 書き込み |
delete:packages | GitHub Packagesからのパッケージの削除 | admin |
repo | パッケージをアップロードおよび削除する (write:packages または delete:packages と一緒に) | 書き込みもしくは読み取り |
GitHub Actions ワークフローを作成する場合、GITHUB_TOKEN を使って GitHub Packages でパッケージを発行およびインストールでき、personal access token を保存して管理する必要はありません。
詳細については、以下を参照してください:
リポジトリの移譲について
リポジトリを別の個人アカウントまたは Organization に移譲できます。 詳しくは、「リポジトリを移譲する」を参照してください。
リポジトリを転送する場合、GitHub は、パッケージが属するレジストリに応じて、リポジトリに関連付けられているパッケージを転送できます。
- 詳細なアクセス許可をサポートするレジストリの場合、パッケージのスコープは個人アカウントまたは Organization に設定され、リポジトリを移譲してもパッケージに関連付けられているアカウントは変更されません。 パッケージをリポジトリにリンクした場合、リポジトリを別のユーザーに転送するとリンクが削除されます。 リポジトリに関連付けられているすべての GitHub Actions ワークフローは、パッケージにアクセスできなくなります。 リンクされたリポジトリからパッケージがアクセス許可を継承する場合、ユーザーはパッケージにアクセスできなくなります。 これらのレジストリの一覧については、前述の「ユーザーや Organization スコープのパッケージの詳細な権限」をご覧ください。
- リポジトリ スコープのアクセス許可のみをサポートするレジストリの場合、パッケージはリポジトリに直接発行され、GitHub によって、リポジトリ転送の一環としてリポジトリに関連付けられているパッケージが転送されます。 パッケージに関連付けられているすべての課金対象使用量は、その後、リポジトリの新しい所有者に課金されます。 以前のリポジトリ所有者がリポジトリのコラボレーターとして削除された場合、リポジトリに関連付けられているパッケージにアクセスできなくなる可能性があります。これらのレジストリの一覧については、前述の「リポジトリ スコープのパッケージに対するアクセス許可」をご覧ください。
GitHub Actionsワークフローでのパッケージへのアクセスのメンテナンス
ワークフローがパッケージへのアクセスを確実に維持するためには、確実にワークフローで正しいアクセストークンを使用し、パッケージへのGitHub Actionsアクセスを有効化してください。
GitHub Actions の概念的背景や、ワークフローでパッケージを使う例については、「GitHub Actionsワークフローを利用したGitHub Packagesの管理」をご覧ください。
アクセス トークン
- ワークフロー リポジトリに関連付けられているパッケージを発行およびインストールするには、
GITHUB_TOKENを使います。 GITHUB_TOKENがアクセスできない他のプライベート リポジトリに関連するパッケージをインストールするには、personal access tokenを使用してください
GitHub Actions ワークフローで使用される GITHUB_TOKEN について詳しくは、「自動トークン認証」をご覧ください。