リポジトリの GitHub Actions の設定を管理する

リポジトリの GitHub Actions 権限について

既定では、GitHub Actions の後の GitHub Actions ですべてのリポジトリと組織で有効になります。 GitHub Actions を無効にするか、または Enterprise のアクションと再生可能なワークフローに制限することができます。 GitHub Actions について詳しくは、「ワークフローの書き込み」を参照してください。

リポジトリで GitHub Actions を有効化できます。 GitHub Actions を有効にすると、ワークフローはリポジトリ内および他のパブリックまたは内部のリポジトリに配置されているアクションと再利用可能なワークフローを実行できます。リポジトリの GitHub Actions を完全に無効化することができます。 GitHub Actionsを無効化すると、リポジトリでワークフローが実行されなくなります。

または、リポジトリで GitHub Actions を有効にしながら、ワークフローが実行できるアクションと再利用可能なワークフローを制限することもできます。

リポジトリの GitHub Actions 権限を管理する

リポジトリの GitHub Actions を無効にしたり、リポジトリで使用できるアクションと再利用可能なワークフローを構成するポリシーを設定したりすることもできます。

注: 組織に優先ポリシーがある場合、または優先ポリシーのあるエンタープライズによって管理されている場合は、これらの設定を管理できない場合があります。詳細については、「Organization について GitHub Actions を無効化または制限する」または「エンタープライズで GitHub Actions のポリシーを適用する」を参照してください。

GitHub で、リポジトリのメインページに移動します。
リポジトリ名の下にある [設定] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウンメニューを選び、 [設定] をクリックします。
左のサイドバーで [アクション] をクリックして、 [全般] をクリックします。
[Actions permissions] で、オプションを選択します。

[Allow enterprise, and select non-enterprise, actions and reusable workflows](エンタープライズを許可し、非エンタープライズ、アクション、再利用可能なワークフローを選択する) を選択した場合、エンタープライズ内のアクションおよび再利用可能なワークフローが許可され、追加のオプションで、その他の特定のアクションや再利用可能なワークフローも許可されます。詳細については、「選択したアクションと再利用可能なワークフローの実行の許可」を参照してください。

エンタープライズからのみ再利用可能なワークフローとアクションを許可する場合、ポリシーにより GitHub で作成したアクションへのすべてのアクセスがブロックされます。たとえば、actions/checkout アクションにはアクセスできません。
[保存] をクリックします。

選択したアクションと再利用可能なワークフローの実行の許可

[ [Allow enterprise, and select non-enterprise, actions and reusable workflows](エンタープライズを許可し、非エンタープライズ、アクション、再利用可能なワークフローを選択する) ] を選ぶと、ローカルアクションと再利用可能なワークフローが許可され、他の特定のアクションや再利用可能なワークフローを許可するための追加のオプションがあります。

[GitHub によって作成されたアクションを許可する]: GitHub によって作成されたすべてのアクションを、ワークフローで使用できるようにします。 GitHub によって作成されたアクションは、actions および github 組織にあります。詳しくは、actions および github の Organization をご覧ください。
[検証済みの作成者による Marketplace アクションを許可する]: 検証済みの作成者が作成したすべての GitHub Marketplace アクションをワークフローで使用できるようにできます。 GitHubがアクションの作者をパートナーOrganizationとして検証すると、GitHub Marketplaceでアクションの隣にバッジが表示されるようになります。
[指定したアクションと再利用可能なワークフローを許可する]: ワークフローで使用できるアクションと再利用可能なワークフローを、特定の組織とリポジトリのものに制限します。指定されたアクションを 1000 を超えるアクションに設定することはできません。

アクションまたは再利用可能なワークフローの特定のタグまたはコミット SHA へのアクセスを制限するには、ワークフローで使われているのと同じ構文を使って、アクションまたは再利用可能なワークフローを選びます。
- アクションの場合の構文は、OWNER/REPOSITORY@TAG-OR-SHA です。たとえば、タグを選択するには actions/javascript-action@v1.0.1 を使用し、SHA を選択するには actions/javascript-action@a824008085750b8e136effc585c3cd6082bd575f を使用します。詳しくは、「ワークフローで事前に記述されたレポートパーツを使用する」を参照してください。
- 再利用可能なワークフローの場合の構文は、OWNER/REPOSITORY/PATH/FILENAME@TAG-OR-SHA です。たとえば、octo-org/another-repo/.github/workflows/workflow.yml@v1 のように指定します。詳しくは、「ワークフローの再利用」を参照してください。
パターンのマッチには、ワイルドカード文字 * を使用できます。たとえば、space-org で始まる Organization のすべてのアクションと再利用可能なワークフローを許可するには、space-org*/* と指定できます。 octocat で始まるリポジトリのすべてのアクションと再利用可能なワークフローを許可するには、*/octocat**@* を使用できます。 * ワイルドカードの使用の詳細については、「GitHub Actions　のワークフロー構文」を参照してください。

注: GitHub Free、GitHub Pro、組織のGitHub Free、またはGitHub Team プランでは、指定されたアクションと再利用可能なワークフロー を許可するオプションは公開リポジトリでのみ使用できます。

この手順では、特定のアクションと再利用可能なワークフローを許可リストに追加する方法を示します。

GitHub で、リポジトリのメインページに移動します。
リポジトリ名の下にある [設定] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウンメニューを選び、 [設定] をクリックします。
左のサイドバーで [アクション] をクリックして、 [全般] をクリックします。
[アクションのアクセス許可] で、[ [Allow enterprise, and select non-enterprise, actions and reusable workflows](エンタープライズを許可し、非エンタープライズ、アクション、再利用可能なワークフローを選択する) ] を選択して、必要なアクションを一覧に追加します。
[保存] をクリックします。

パブリックリポジトリでのフォークからワークフローへの変更を制御する

パブリックリポジトリをフォークし、リポジトリのGitHub Actionsワークフローへの変更を提案するPull Requestをサブミットすることは誰でもできます。フォークからのワークフローはシークレットなどの機密データにアクセスできませんが、悪用目的で変更された場合、メンテナが迷惑を被る可能性があります。

これを防ぐために、外部コラボレータのパブリックリポジトリへのPull Requestではワークフローは自動的には動作せず、まず承認が必要になることがあります。デフォルトでは、すべての初めてのコントリビューターは、ワークフローを実行するのに承認を必要とします。

注: pull_request_target イベントによってトリガーされるワークフローは、ベースブランチのコンテキストで実行されます。ベースブランチは信頼済みと見なされるため、承認設定に関係なく、これらのイベントによってトリガーされるワークフローは常に実行されます。 pull_request_target イベントについて詳しくは、「ワークフローをトリガーするイベント」をご覧ください。

リポジトリのこの動作は、以下の手順を使用して構成できます。この設定を変更すると、組織またはエンタープライズのレベルで設定された構成がオーバーライドされます。

GitHub で、リポジトリのメインページに移動します。
リポジトリ名の下にある [設定] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウンメニューを選び、 [設定] をクリックします。
左のサイドバーで [アクション] をクリックして、 [全般] をクリックします。
[外部コラボレーターからの pull request ワークフローのフォーク] の下で、オプションの 1 つを選択します。
- GitHub を初めて使用する共同作成者の承認が必要です。このオプションでは、リポジトリにコミットしたことがなく、新しい GitHub アカウントを持つユーザーに対してワークフローを実行するための承認が必要です。
- 初めての共同作成者の承認が必要です。このオプションでは、リポジトリにコミットしたことがないユーザーのワークフローを実行するための承認が必要です。
- すべての外部コラボレーターの承認が必要です。このオプションでは、リポジトリコラボレーターではないすべてのユーザーに対してワークフローを実行するための承認が必要です。リポジトリが組織によって所有されている場合、このオプションでは、組織のメンバーではないすべてのリポジトリコラボレーターに対してワークフローを実行するための承認が必要です。
[保存] をクリックして設定を適用します。

このポリシーが適用されるワークフロー実行の承認の詳細については、「パブリックフォークで実行されるワークフローの実行を承認する」を参照してください。

プライベートリポジトリのフォークに対するワークフローを有効にする

プライベートリポジトリのフォークの利用に依存している場合、pull_request イベントの際にユーザーがどのようにワークフローを実行できるかを制御するポリシーを構成できます。プライベートリポジトリと内部リポジトリでのみ使用でき、Enterprise、Organization、またはリポジトリに対してこれらのポリシー設定を構成できます。

エンタープライズまたは組織でポリシーが無効になっている場合、リポジトリに対して有効にすることはできません。

フォーク pull request からワークフローを実行する - 読み取り専用権限を持ち、シークレットへのアクセス権を持たない GITHUB_TOKEN を使用して、フォーク pull request からワークフローを実行できます。
pull request からワークフローに書き込みトークンを送信する - フォークからの pull request で書き込み権限を持つ GITHUB_TOKEN を使用できます。
pull request からワークフローにシークレットを送信する - すべてのシークレットを pull request で利用できるようにします。
フォークの pull request ワークフローに対して承認を要求する - 書き込みアクセス許可のないコラボレーターからの pull request に対するワークフロー実行には、実行する前に書き込みアクセス許可を持つ誰かからの承認が必要になります。

プライベートリポジトリのフォークポリシーを構成する

GitHub で、リポジトリのメインページに移動します。
リポジトリ名の下にある [設定] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウンメニューを選び、 [設定] をクリックします。
左のサイドバーで [アクション] をクリックして、 [全般] をクリックします。
[Fork pull request workflows](pull request ワークフローのフォーク) で、オプションを選択します。
[保存] をクリックして設定を適用します。

リポジトリに対する `GITHUB_TOKEN` のアクセス許可の設定

GITHUB_TOKEN に付与される既定のアクセス許可を設定できます。 GITHUB_TOKEN について詳しくは、「自動トークン認証」をご覧ください。デフォルトとして制限付きアクセス許可セットを選択するか、より幅広く許可をする設定を適用できます。

既定のアクセス許可は、組織の設定でも構成できます。ご利用のリポジトリが組織に属し、その組織の設定でより制限の厳しい既定値が選択されている場合、リポジトリの設定で同じオプションが選択されて、制限の緩いオプションは無効になります。

リポジトリへの書き込みアクセス権を持っている人は誰でも、ワークフローファイルの permissions キーを編集して、GITHUB_TOKEN に付与されたアクセス許可を変更でき、必要に応じて追加または削除できます。詳細については、permissions をご覧ください。

既定の `GITHUB_TOKEN` のアクセス許可の構成

既定では、個人アカウントに新しいリポジトリを作成すると、GITHUB_TOKEN には contents スコープと packages スコープの読み取りアクセスのみが付与されます。組織で新しいリポジトリを作成すると、その設定は組織の設定で構成されているものから継承されます。

GitHub で、リポジトリのメインページに移動します。
リポジトリ名の下にある [設定] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウンメニューを選び、 [設定] をクリックします。
左のサイドバーで [アクション] をクリックして、 [全般] をクリックします。
[ワークフローのアクセス許可] で、GITHUB_TOKEN に対してすべてのアクセス許可での読み取りと書き込みのアクセスを許可するか (制限の緩い設定)、contents アクセス許可と packages アクセス許可での読み取りアクセスのみを許可するか (制限された設定) を選びます。
[保存] をクリックして設定を適用します。

GitHub Actions による pull request の作成または承認を回避する

GitHub Actions ワークフローが pull request を作成または承認することを許可または禁止するかを選択できます。

既定では、個人用アカウントで新しいリポジトリを作成する場合、ワークフローは pull request の作成または承認を許可されません。組織で新しいリポジトリを作成すると、その設定は組織の設定で構成されているものから継承されます。

GitHub で、リポジトリのメインページに移動します。
リポジトリ名の下にある [設定] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウンメニューを選び、 [設定] をクリックします。
左のサイドバーで [アクション] をクリックして、 [全般] をクリックします。
[ワークフローのアクセス許可] にある、 [GitHub Actions での pull request の作成と承認を許可する] 設定を使用して、GITHUB_TOKEN で pull request の作成と承認ができるかどうかを構成します。
[保存] をクリックして設定を適用します。

内部リポジトリ内のコンポーネントへのアクセスを許可する

内部リポジトリ内のアクションと再利用可能なワークフローは、同じ組織またはエンタープライズ内の内部およびプライベートリポジトリと共有できます。内部リポジトリについて詳しくは、「リポジトリについて」を参照してください。

次の手順を使って、内部リポジトリ内のアクションとワークフローにリポジトリの外部からアクセスできるかどうかを構成できます。詳しくは、「アクションとワークフローを企業と共有する」をご覧ください。または、REST API を使用して、アクセスのレベルを設定したり、詳しい情報を取得したりすることができます。詳しくは、「GitHub Actions のアクセス許可の REST API エンドポイント」と「GitHub Actions のアクセス許可の REST API エンドポイント」をご覧ください。

GitHub で、内部リポジトリのメインページに移動します。
リポジトリ名の下にある [設定] をクリックします。
左のサイドバーで [アクション] をクリックして、 [全般] をクリックします。
[アクセス] で、次のいずれかのアクセス設定を選択します。
- [アクセスできない] - 他のリポジトリ内のワークフローは、このリポジトリにアクセスできません。
- <組織名>組織内のリポジトリからアクセス可能 - <組織名>組織の一部である他のリポジトリ内のワークフローは、このリポジトリ内のアクションと再利用可能なワークフローにアクセスできます。アクセスは、プライベートリポジトリまたは内部リポジトリからのみ許可されます。
- <エンタープライズ名>エンタープライズ内のリポジトリからアクセスできる - <Enterprise 名>Enterprise の一部である他のリポジトリにあるワークフローは、このリポジトリのアクションと再利用可能なワークフローにアクセスできます。アクセスは、プライベートリポジトリまたは内部リポジトリからのみ許可されます。
[保存] をクリックして設定を適用します。

プライベートリポジトリ内のコンポーネントへのアクセスを許可する

プライベートリポジトリ内のアクションと再利用可能なワークフローは、同じ組織またはエンタープライズ内の他のプライベートリポジトリと共有できます。プライベートリポジトリについて詳しくは、「リポジトリについて」を参照してください。

以下の手順を使って、プライベートリポジトリ内のアクションと再利用可能なワークフローにリポジトリの外部からアクセスできるかどうかを構成できます。詳しくは、「アクションとワークフローを企業と共有する」をご覧ください。あるいは、REST API を使い、アクセスレベルを設定したり、その詳細を取得したりできます。詳細については、「GitHub Actions のアクセス許可の REST API エンドポイント」および「GitHub Actions のアクセス許可の REST API エンドポイント」を参照してください。

GitHub で、プライベートリポジトリのメインページに移動します。
リポジトリ名の下にある [設定] をクリックします。
左のサイドバーで [アクション] をクリックして、 [全般] をクリックします。
[アクセス] で、次のいずれかのアクセス設定を選択します。
- [アクセスできない] - 他のリポジトリ内のワークフローは、このリポジトリにアクセスできません。
- <組織名> 組織内のリポジトリからアクセスできる - <組織名> 組織の一部である他のリポジトリ内の再利用可能なワークフローから、このリポジトリ内のアクションとワークフローにアクセスできます。アクセスはプライベートリポジトリからのみ許可されます。
- <エンタープライズ名> エンタープライズ内のリポジトリからアクセスできる - <エンタープライズ名> エンタープライズの一部である他のリポジトリ内のワークフローから、このリポジトリ内のアクションと再利用可能なワークフローにアクセスできます。アクセスはプライベートリポジトリからのみ許可されます。
[保存] をクリックして設定を適用します。

リポジトリ内の GitHub Actions の成果物とログの保持期間を構成する

リポジトリ内の GitHub Actions アーティファクトとログの保持期間を設定できます。

デフォルトでは、ワークフローによって生成された成果物とログファイルは、90日間保持された後自動的に削除されます。保持期間は、リポジトリの種類によって調整できます。

パブリックリポジトリの場合: この保持時間を1日から90日の間で変更できます。
プライベートと内部のリポジトリの場合: この保持期間を 1 から 400 日の間で変更できます。

保持期間をカスタマイズした場合、適用されるのは新しい成果物とログファイルに対してであり、既存のオブジェクトにさかのぼっては適用されません。管理されたリポジトリ及びOrganizationについては、最大の保持期間は管理するOrganizationあるいはEnterpriseによって設定された上限を超えることはできません。

ワークフローによって作成された特定のアーティファクトのカスタム保存期間を定義することもできます。詳しくは、「ワークフローの成果物を削除する」を参照してください。

リポジトリの保持期間を設定する

GitHub で、リポジトリのメインページに移動します。
リポジトリ名の下にある [設定] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウンメニューを選び、 [設定] をクリックします。
左のサイドバーで [アクション] をクリックして、 [全般] をクリックします。
[成果物とログの保持] に、新しい値を入力します。
[保存] をクリックして変更を適用します。

リポジトリの GitHub Actions の設定を管理する

この記事の内容