엔터프라이즈에서 GitHub Actions에 대한 정책 적용

GitHub Actions에 대한 정책은 무엇입니까?

엔터프라이즈 정책은 엔터프라이즈 구성원이 GitHub Actions를 사용할 때 사용할 수 있는 옵션을 제어합니다.

엔터프라이즈 정책을 시행하지 않으면 조직 소유자이 있는 사용자가 조직의 GitHub Actions에 대한 전체 제어 권한을 갖습니다.

정책 적용

GitHub Enterprise Server의 오른쪽 위 모서리에서 프로필 사진과 엔터프라이즈 설정을 차례로 클릭합니다.
페이지 왼쪽의 엔터프라이즈 계정 사이드바에서 정책을 클릭합니다.
" 정책"에서 작업을 클릭합니다.
각 정책을 구성한 후 저장을 클릭합니다.

"정책" 페이지의 각 섹션에 대한 자세한 내용은 계속 읽어보세요.

정책

"정책" 섹션에서 다음 옵션을 사용하여 엔터프라이즈 내의 조직에서 GitHub Actions을(를) 사용할 수 있는 조직을 제어할 수 있습니다.

모든 조직에 GitHub Actions 사용 설정
특정 조직에 GitHub Actions 사용 설정
모든 조직에 GitHub Actions 사용 중지

다음 옵션을 사용하여 공용 작업 의 사용을 제한할 수도 있습니다.

모든 작업 허용: 작성자나 정의한 위치에 관계없이 작업을 모두 사용할 수 있습니다.
**엔터프라이즈 작업 **: 엔터프라이즈 내 리포지토리에 정의된 작업 만 사용할 수 있습니다.
선택 작업 허용____: 엔터프라이즈 내 리포지토리에 정의된 모든 작업 을(를) 사용할 수 있으며, 지정한 조건과 일치하는 을(를) 사용할 수 있습니다.

선택 작업 허용____

이 옵션을 선택하면 엔터프라이즈 내의 작업 이(가) 허용되며, 다른 작업을(를) 허용하기 위한 다음 옵션이 제공됩니다.

GitHub에서 만든 작업을 허용합니다. actions 및 github 조직에 있는 GitHub에서 만든 모든 작업을 허용합니다.
확인된 작성자의 마켓플레이스 작업 허용: 로 레이블이 지정된 확인된 작성자가 만든 모든 GitHub Marketplace 작업을 허용합니다.

GitHub Connect을(를) 사용하도록 설정하고 GitHub Actions(으)로 구성한 경우에만 사용할 수 있습니다. "GitHub Connect를 사용하여 GitHub.com 작업에 자동 액세스 사용" 항목을 참조하세요.
지정된 작업 허용: 지정한 작업를 허용합니다. 개별 작업 또는 전체 조직 및 리포지토리를 지정할 수 있습니다.

작업를 지정할 때 다음 구문을 사용합니다.

특정 태그에 대한 액세스를 제한하거나 작업의 SHA를 커밋하려면 워크플로에서 사용된 것과 동일한 구문을 사용하여 작업를 선택합니다.
- 작업의 경우 구문은 OWNER/REPOSITORY@TAG-OR-SHA입니다. 예를 들어 actions/javascript-action@v1.0.1을 사용하여 태그를 선택하거나 actions/javascript-action@a824008085750b8e136effc585c3cd6082bd575f를 사용하여 SHA를 선택합니다.
패턴을 지정하려면 와일드카드 문자 *를 사용합니다.
- space-org로 시작하는 조직에서 모든 작업를 허용하려면 space-org*/*를 사용합니다.
- octocat으로 시작하는 리포지토리에서 모든 작업를 허용하려면 */octocat**@*을 사용합니다.

실행기

기본적으로 리포지토리에 대한 관리자 액세스 권한이 있는 모든 사용자는 리포지토리에 대한 자체 호스트형 실행기를 추가할 수 있으며 자체 호스트형 실행기에는 위험이 있습니다.

자체 호스트형 실행기가 임시 클린 가상 머신에서 호스트된다는 보장은 없습니다. 이에 따라 워크플로에서 신뢰할 수 없는 코드로 손상될 수 있습니다.
리포지토리를 포크하고 끌어오기 요청을 열 수 있는 모든 사용자는 자체 호스트형 실행기 환경을 손상시켜 리포지토리에 대한 쓰기 액세스 권한이 있을 수 있는 비밀 및 GITHUB_TOKEN에 액세스할 수 있습니다.

"실행기" 섹션에서 리포지토리 수준 자체 호스트형 실행기를 사용하지 않도록 설정하여 이러한 위험을 중재할 수 있습니다.

Note

리포지토리 수준 자체 호스트형 실행기 생성을 사용하지 않도록 설정한 경우 워크플로는 엔터프라이즈 또는 조직 수준에서 자체 호스트형 실행기에 계속 액세스할 수 있습니다.

아티팩트, 로그 및 캐시 설정

이러한 정책은 아티팩트, 로그 및 캐시의 스토리지를 제어합니다.

아티팩트 및 로그 보존

기본적으로 워크플로에서 생성된 아티팩트 및 로그 파일은 90일 동안 보존됩니다. 이 보존 기간을 1일에서 400일 사이로 변경할 수 있습니다.

변경 내용은 새 아티팩트 및 로그 파일에만 적용됩니다.

최대 및 기본 캐시 크기 제한

기본적으로:

GitHub Actions이(가) GitHub Enterprise Server 인스턴스에 대해 외부 스토리지에서 사용하는 총 캐시 스토리지는 리포지토리당 최대 10GB로 제한됩니다.
리포지토리에 대해 설정할 수 있는 최대 허용 크기는 25GB입니다.

이 제한을 초과하면 GitHub는 새 캐시를 저장하지만 총 크기가 리포지토리 한도 미만이 될 때까지 캐시 제거를 시작합니다.

각 리포지토리의 기본 총 캐시 크기와 리포지토리에 허용되는 최대 총 캐시 크기를 모두 사용자 지정할 수 있습니다. 예를 들어 각 리포지토리의 기본 총 캐시 크기를 5GB로 지정하되 관리자가 개별 리포지토리에 대해 최대 15GB의 총 캐시 크기를 구성할 수 있도록 허용할 수 있습니다.

조직 소유자는 조직의 각 리포지토리에 적용되는 더 낮은 총 캐시 크기를 설정할 수 있습니다. 리포지토리에 대한 관리자 액세스 권한을 가진 사용자는 리포지토리의 총 캐시 크기를 엔터프라이즈 또는 조직 정책 설정에서 허용하는 최대 캐시 크기까지 설정할 수 있습니다.

프라이빗 리포지토리의 포크 끌어오기 요청 워크플로

사용자가 프라이빗 및 내부 리포지토리의 pull_request 이벤트에 대해 워크플로를 실행하는 방법을 제어할 수 있습니다.

포크 끌어오기 요청에서 워크플로를 실행합니다. 사용자는 포크 끌어오기 요청에서 워크플로를 실행할 수 있습니다. 기본적으로 워크플로는 비밀에 대한 액세스 권한이 없는 읽기 전용 권한이 있는 GITHUB_TOKEN를 사용합니다.
끌어오기 요청에서 워크플로에 쓰기 토큰을 보냅니다. 워크플로는 쓰기 권한이 있는 GITHUB_TOKEN를 사용합니다.
끌어오기 요청에서 워크플로에 비밀을 보냅니다. 모든 비밀은 끌어오기 요청에 사용할 수 있습니다.
포크 끌어오기 요청 워크플로에 대한 승인이 필요합니다. 쓰기 권한이 없는 공동 작업자의 끌어오기 요청에 대한 워크플로는 실행하기 전에 쓰기 권한이 있는 사람의 승인이 필요합니다.

엔터프라이즈에 대한 정책을 사용할 수 있도록 설정한 경우, 개별 조직 또는 리포지토리에서 정책을 선택적으로 사용하지 않도록 설정할 수 있습니다. 엔터프라이즈에 대해 정책을 사용하지 않도록 설정한 경우, 개별 조직 또는 리포지토리에서 정책을 사용하도록 설정할 수 없습니다.

워크플로 권한

"워크플로 권한" 섹션에서 GITHUB_TOKEN에 부여되는 기본 권한을 설정할 수 있습니다.

읽기 및 쓰기 권한: 기본적으로 GITHUB_TOKEN는 모든 범위에 대한 읽기 및 쓰기 액세스 권한을 갖습니다.
리포지토리 콘텐츠 및 패키지 읽기 권한: 기본적으로 GITHUB_TOKEN는 contents 및 packages 범위에 대한 읽기 권한만 갖습니다. 더 많은 권한 설정은 개별 조직 또는 리포지토리에 대한 기본값으로 선택할 수 없습니다.

리포지토리에 대한 쓰기 액세스 권한이 있는 모든 사용자는 워크플로 파일의 permissions 키를 편집하여 특정 워크플로에 대해 GITHUB_TOKEN에 부여된 권한을 수정할 수 있습니다.

GitHub Actions에서 끌어오기 요청을 만들고 승인하도록 허용하는 것은 기본적으로 비활성화되어 있습니다. 이 설정을 사용하도록 설정하면 GITHUB_TOKEN에서 끌어오기 요청을 만들고 승인할 수 있습니다.