リポジトリの GitHub Actions の設定を管理する

リポジトリの GitHub Actions 権限について

既定では、GitHub Actions の後の GitHub Actions ですべてのリポジトリと組織で有効になります。 GitHub Actions を無効にするか、または Organization のアクションと再生可能なワークフローに制限することができます。 GitHub Actions について詳しくは、「ワークフローの書き込み」を参照してください。

リポジトリで GitHub Actions を有効化できます。 GitHub Actions を有効にすると、ワークフローはリポジトリ内および他のパブリックリポジトリに配置されているアクションと再利用可能なワークフローを実行できます。リポジトリの GitHub Actions を完全に無効化することができます。 GitHub Actionsを無効化すると、リポジトリでワークフローが実行されなくなります。

または、リポジトリで GitHub Actions を有効にしながら、ワークフローが実行できるアクションと再利用可能なワークフローを制限することもできます。

リポジトリの GitHub Actions 権限を管理する

リポジトリの GitHub Actions を無効にしたり、リポジトリで使用できるアクションと再利用可能なワークフローを構成するポリシーを設定したりすることもできます。

注: 組織に優先ポリシーがある場合、または優先ポリシーのあるエンタープライズによって管理されている場合は、これらの設定を管理できない場合があります。詳細については、「Organization について GitHub Actions を無効化または制限する」または「エンタープライズで GitHub Actions のポリシーを適用する」を参照してください。

GitHub で、リポジトリのメインページに移動します。
リポジトリ名の下にある [設定] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウンメニューを選び、 [設定] をクリックします。
左のサイドバーで [アクション] をクリックして、 [全般] をクリックします。
[Actions permissions] で、オプションを選択します。

[Allow OWNER, and select non-OWNER, actions and reusable workflows](所有者を許可し、非所有者、アクション、再利用可能なワークフローを選択する) を選択した場合、組織内のアクションおよび再利用可能なワークフローが許可され、追加のオプションで、その他の特定のアクションや再利用可能なワークフローも許可されます。詳細については、「選択したアクションと再利用可能なワークフローの実行の許可」を参照してください。

組織からのみ再利用可能なワークフローとアクションを許可する場合、ポリシーにより GitHub で作成したアクションへのすべてのアクセスがブロックされます。たとえば、actions/checkout アクションにはアクセスできません。
[保存] をクリックします。

選択したアクションと再利用可能なワークフローの実行の許可

[ [Allow OWNER, and select non-OWNER, actions and reusable workflows](所有者を許可し、非所有者、アクション、再利用可能なワークフローを選択する) ] を選ぶと、ローカルアクションと再利用可能なワークフローが許可され、他の特定のアクションや再利用可能なワークフローを許可するための追加のオプションがあります。

注: 組織に優先ポリシーがある場合、または優先ポリシーのあるエンタープライズによって管理されている場合は、これらの設定を管理できない場合があります。詳細については、「Organization について GitHub Actions を無効化または制限する」または「エンタープライズで GitHub Actions のポリシーを適用する」を参照してください。

[GitHub によって作成されたアクションを許可する]: GitHub によって作成されたすべてのアクションを、ワークフローで使用できるようにします。 GitHub によって作成されたアクションは、actions および github 組織にあります。詳しくは、actions および github の Organization をご覧ください。
[検証済みの作成者による Marketplace アクションを許可する]: 検証済みの作成者が作成したすべての GitHub Marketplace アクションをワークフローで使用できるようにできます。 GitHubがアクションの作者をパートナーOrganizationとして検証すると、GitHub Marketplaceでアクションの隣にバッジが表示されるようになります。
[指定したアクションと再利用可能なワークフローを許可する]: ワークフローで使用できるアクションと再利用可能なワークフローを、特定の組織とリポジトリのものに制限します。指定されたアクションを 1000 を超えるアクションに設定することはできません。

アクションまたは再利用可能なワークフローの特定のタグまたはコミット SHA へのアクセスを制限するには、ワークフローで使われているのと同じ構文を使って、アクションまたは再利用可能なワークフローを選びます。
- アクションの場合の構文は、OWNER/REPOSITORY@TAG-OR-SHA です。たとえば、タグを選択するには actions/javascript-action@v1.0.1 を使用し、SHA を選択するには actions/javascript-action@a824008085750b8e136effc585c3cd6082bd575f を使用します。詳しくは、「ワークフローで事前に記述されたレポートパーツを使用する」を参照してください。
- 再利用可能なワークフローの場合の構文は、OWNER/REPOSITORY/PATH/FILENAME@TAG-OR-SHA です。たとえば、octo-org/another-repo/.github/workflows/workflow.yml@v1 のように指定します。詳しくは、「ワークフローの再利用」を参照してください。
パターンのマッチには、ワイルドカード文字 * を使用できます。たとえば、space-org で始まる Organization のすべてのアクションと再利用可能なワークフローを許可するには、space-org*/* と指定できます。 octocat で始まるリポジトリのすべてのアクションと再利用可能なワークフローを許可するには、*/octocat**@* を使用できます。 * ワイルドカードの使用の詳細については、「GitHub Actions　のワークフロー構文」を参照してください。

注: GitHub Free、GitHub Pro、組織のGitHub Free、またはGitHub Team プランでは、指定されたアクションと再利用可能なワークフロー を許可するオプションは公開リポジトリでのみ使用できます。

この手順では、特定のアクションと再利用可能なワークフローを許可リストに追加する方法を示します。

GitHub で、リポジトリのメインページに移動します。
リポジトリ名の下にある [設定] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウンメニューを選び、 [設定] をクリックします。
左のサイドバーで [アクション] をクリックして、 [全般] をクリックします。
[アクションのアクセス許可] で、[ [Allow OWNER, and select non-OWNER, actions and reusable workflows](所有者を許可し、非所有者、アクション、再利用可能なワークフローを選択する) ] を選択して、必要なアクションを一覧に追加します。
[保存] をクリックします。

パブリックリポジトリでのフォークからワークフローへの変更を制御する

パブリックリポジトリをフォークし、リポジトリのGitHub Actionsワークフローへの変更を提案するPull Requestをサブミットすることは誰でもできます。フォークからのワークフローはシークレットなどの機密データにアクセスできませんが、悪用目的で変更された場合、メンテナが迷惑を被る可能性があります。

これを防ぐために、外部コラボレータのパブリックリポジトリへのPull Requestではワークフローは自動的には動作せず、まず承認が必要になることがあります。 [Approval for running fork pull request workflows from contributors] 設定によっては、パブリックリポジトリへの pull request のワークフローは自動的に実行されず、次の場合に承認が必要になる可能性があります。

pull request は、選択したポリシーに基づいて承認を必要とするユーザーによって作成される。
pull request イベントは、選択したポリシーに基づいて承認を必要とするユーザーによってトリガーされる。

デフォルトでは、すべての初めてのコントリビューターは、ワークフローを実行するのに承認を必要とします。

pull_request_target イベントによってトリガーされるワークフローは、ベースブランチのコンテキストで実行されます。ベースブランチは信頼済みと見なされるため、承認設定に関係なく、これらのイベントによってトリガーされるワークフローは常に実行されます。 pull_request_target イベントについて詳しくは、「ワークフローをトリガーするイベント」をご覧ください。

Warning

これらのワークフロー承認ポリシーは、GitHub Actions ランナーでワークフローを実行できるユーザーのセットを制限することを目的としています。これにより、GitHub ホステッドランナーを使用すると、予期しないリソースとコンピューティングの消費につながる可能性があります。自己ホストランナーを使用している場合、設定された承認ポリシーでの承認をユーザーがバイパスすることが許可されているか、pull request が承認されていると、悪意のある可能性のあるユーザーが制御するワークフローコードが自動的に実行されます。インフラストラクチャでこのコードを実行するリスクを考慮する必要があり、使用されている承認設定に関係なく、自己ホストランナーのセキュリティに関する推奨事項を確認して従う必要があります。「GitHub Actions のセキュリティ強化」をご覧ください。

リポジトリのこの動作は、以下の手順を使用して構成できます。この設定を変更すると、組織またはエンタープライズのレベルで設定された構成がオーバーライドされます。

GitHub で、リポジトリのメインページに移動します。
リポジトリ名の下にある [設定] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウンメニューを選び、 [設定] をクリックします。
左のサイドバーで [アクション] をクリックして、 [全般] をクリックします。
[Approval for running fork pull request workflows from contributors] で、pull request に対してワークフローを実行する前に承認を必要とするユーザーのサブセットを選びます。 pull request の作成者と、ワークフローをトリガーする pull request イベントのアクターの両方がチェックされて、承認が必要かどうかを判断されます。承認が必要な場合、リポジトリへの書き込みアクセス権限を持つユーザーが、実行される pull request ワークフローを承認する必要があります。「パブリックフォークで実行されるワークフローの実行を承認する」をご覧ください。

Warning

初めてのコントリビューターに対してのみ承認を要求する場合 (最初の 2 つの設定)、リポジトリにコミットまたは pull request をマージしたことのあるユーザーは承認を必要としません。悪意のあるユーザーは、作成した pull request の一部として、または別のユーザーの pull request の一部として、単純な入力ミスや他の無害な変更をメンテナに受け入れさせることで、この要件を満たす可能性があります。
- GitHub を初めて使用する共同作成者の承認が必要です。 GitHub の新規ユーザーと、このリポジトリにコミットまたは pull request をマージしたことがないユーザーについてのみ、ワークフローを実行するための承認が必要です。
- 初めての共同作成者の承認が必要です。このリポジトリにコミットまたは pull request をマージしたことがないユーザーについてのみ、ワークフローを実行するための承認が必要です。
- [Require approval for all external contributors] このリポジトリのメンバーまたは所有者ではないすべてのユーザー、および organization のメンバーではないすべてのユーザーは、ワークフローを実行するために承認が必要です。
[保存] をクリックして設定を適用します。

このポリシーが適用されるワークフロー実行の承認の詳細については、「パブリックフォークで実行されるワークフローの実行を承認する」を参照してください。

プライベートリポジトリのフォークに対するワークフローを有効にする

プライベートリポジトリのフォークの利用に依存している場合、pull_request イベントの際にユーザーがどのようにワークフローを実行できるかを制御するポリシーを構成できます。プライベートリポジトリでのみ使用でき、組織またはリポジトリに対してこれらのポリシー設定を構成できます。

組織でポリシーが無効になっている場合、リポジトリに対して有効にすることはできません。

フォーク pull request からワークフローを実行する - 読み取り専用権限を持ち、シークレットへのアクセス権を持たない GITHUB_TOKEN を使用して、フォーク pull request からワークフローを実行できます。
pull request からワークフローに書き込みトークンを送信する - フォークからの pull request で書き込み権限を持つ GITHUB_TOKEN を使用できます。
pull request からワークフローにシークレットを送信する - すべてのシークレットを pull request で利用できるようにします。
フォークの pull request ワークフローに対して承認を要求する - 書き込みアクセス許可のないコラボレーターからの pull request に対するワークフロー実行には、実行する前に書き込みアクセス許可を持つ誰かからの承認が必要になります。

プライベートリポジトリのフォークポリシーを構成する

GitHub で、リポジトリのメインページに移動します。
リポジトリ名の下にある [設定] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウンメニューを選び、 [設定] をクリックします。
左のサイドバーで [アクション] をクリックして、 [全般] をクリックします。
[Fork pull request workflows](pull request ワークフローのフォーク) で、オプションを選択します。
[保存] をクリックして設定を適用します。

リポジトリに対する `GITHUB_TOKEN` のアクセス許可の設定

GITHUB_TOKEN に付与される既定のアクセス許可を設定できます。 GITHUB_TOKEN について詳しくは、「自動トークン認証」をご覧ください。デフォルトとして制限付きアクセス許可セットを選択するか、より幅広く許可をする設定を適用できます。

既定のアクセス許可は、組織の設定でも構成できます。ご利用のリポジトリが組織に属し、その組織の設定でより制限の厳しい既定値が選択されている場合、リポジトリの設定で同じオプションが選択されて、制限の緩いオプションは無効になります。

リポジトリへの書き込みアクセス権を持っている人は誰でも、ワークフローファイルの permissions キーを編集して、GITHUB_TOKEN に付与されたアクセス許可を変更でき、必要に応じて追加または削除できます。詳細については、permissions をご覧ください。

既定の `GITHUB_TOKEN` のアクセス許可の構成

既定では、個人アカウントに新しいリポジトリを作成すると、GITHUB_TOKEN には contents スコープと packages スコープの読み取りアクセスのみが付与されます。組織で新しいリポジトリを作成すると、その設定は組織の設定で構成されているものから継承されます。

GitHub で、リポジトリのメインページに移動します。
リポジトリ名の下にある [設定] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウンメニューを選び、 [設定] をクリックします。
左のサイドバーで [アクション] をクリックして、 [全般] をクリックします。
[ワークフローのアクセス許可] で、GITHUB_TOKEN に対してすべてのアクセス許可での読み取りと書き込みのアクセスを許可するか (制限の緩い設定)、contents アクセス許可と packages アクセス許可での読み取りアクセスのみを許可するか (制限された設定) を選びます。
[保存] をクリックして設定を適用します。

GitHub Actions による pull request の作成または承認を回避する

GitHub Actions ワークフローが pull request を作成または承認することを許可または禁止するかを選択できます。

既定では、個人用アカウントで新しいリポジトリを作成する場合、ワークフローは pull request の作成または承認を許可されません。組織で新しいリポジトリを作成すると、その設定は組織の設定で構成されているものから継承されます。

GitHub で、リポジトリのメインページに移動します。
リポジトリ名の下にある [設定] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウンメニューを選び、 [設定] をクリックします。
左のサイドバーで [アクション] をクリックして、 [全般] をクリックします。
[ワークフローのアクセス許可] にある、 [GitHub Actions での pull request の作成と承認を許可する] 設定を使用して、GITHUB_TOKEN で pull request の作成と承認ができるかどうかを構成します。
[保存] をクリックして設定を適用します。

プライベートリポジトリ内のコンポーネントへのアクセスを許可する

プライベートリポジトリ内のアクションと再利用可能なワークフローは、同じ組織またはエンタープライズ内の同じユーザーまたは組織が所有する。プライベートリポジトリについて詳しくは、「リポジトリについて」を参照してください。

以下の手順を使って、プライベートリポジトリ内のアクションと再利用可能なワークフローにリポジトリの外部からアクセスできるかどうかを構成できます。詳しくは、「プライベートリポジトリからのアクションとワークフローの共有」と「アクションとワークフローを組織と共有する」をご覧ください。あるいは、REST API を使い、アクセスレベルを設定したり、その詳細を取得したりできます。詳細については、「GitHub Actions のアクセス許可の REST API エンドポイント」および「GitHub Actions のアクセス許可の REST API エンドポイント」を参照してください。

プライベートリポジトリのアクセスの管理

GitHub で、プライベートリポジトリのメインページに移動します。
リポジトリ名の下にある [設定] をクリックします。
左のサイドバーで [アクション] をクリックして、 [全般] をクリックします。
[アクセス] で、次のいずれかのアクセス設定を選択します。
- [アクセスできない] - 他のリポジトリ内のワークフローは、このリポジトリにアクセスできません。
- <ユーザー名> ユーザーが所有するリポジトリからアクセスできる - 同じユーザーが所有する他のリポジトリ内のワークフローは、このリポジトリ内のアクションと再利用可能なワークフローにアクセスできます。アクセスはプライベートリポジトリからのみ許可されます。
[保存] をクリックして設定を適用します。

組織内のプライベートリポジトリのアクセスの管理

GitHub で、プライベートリポジトリのメインページに移動します。
リポジトリ名の下にある [設定] をクリックします。
左のサイドバーで [アクション] をクリックして、 [全般] をクリックします。
[アクセス] で、次のいずれかのアクセス設定を選択します。
- [アクセスできない] - 他のリポジトリ内のワークフローは、このリポジトリにアクセスできません。
- <組織名> 組織内のリポジトリからアクセスできる - <組織名> 組織の一部である他のリポジトリ内の再利用可能なワークフローから、このリポジトリ内のアクションとワークフローにアクセスできます。アクセスはプライベートリポジトリからのみ許可されます。
[保存] をクリックして設定を適用します。

リポジトリ内の GitHub Actions の成果物とログの保持期間を構成する

リポジトリ内の GitHub Actions アーティファクトとログの保持期間を設定できます。

デフォルトでは、ワークフローによって生成された成果物とログファイルは、90日間保持された後自動的に削除されます。保持期間は、リポジトリの種類によって調整できます。

パブリックリポジトリの場合: この保持時間を1日から90日の間で変更できます。
プライベートのリポジトリの場合: この保持期間を 1 から 400 日の間で変更できます。

保持期間をカスタマイズした場合、適用されるのは新しい成果物とログファイルに対してであり、既存のオブジェクトにさかのぼっては適用されません。管理されたリポジトリ及びOrganizationについては、最大の保持期間は管理するOrganizationあるいはEnterpriseによって設定された上限を超えることはできません。

ワークフローによって作成された特定のアーティファクトのカスタム保存期間を定義することもできます。詳しくは、「ワークフローの成果物を削除する」を参照してください。

リポジトリの保持期間を設定する

GitHub で、リポジトリのメインページに移動します。
リポジトリ名の下にある [設定] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウンメニューを選び、 [設定] をクリックします。
左のサイドバーで [アクション] をクリックして、 [全般] をクリックします。
[成果物とログの保持] に、新しい値を入力します。
[保存] をクリックして変更を適用します。

リポジトリの GitHub Actions の設定を管理する

この記事の内容