IT用語
GitHubに組み込まれたCI/CDの仕組み。リポジトリへの変更などをきっかけに、テストやビルド、デプロイを自動で実行する。
GitHub Actions は、GitHub に組み込まれた CI/CD の仕組みです。リポジトリ へのプッシュやプルリクエストなどをきっかけに、テスト、ビルド、デプロイ などの処理を自動で実行できます。
仕組み
- ワークフロー：リポジトリの .github/workflows に YAML で書く、自動化の手順
- ジョブ・ステップ：ワークフローの中で実行する処理の単位
- アクション：よく使う処理をまとめた部品。公開されているものを組み合わせて使える
セキュリティ上の注意
ワークフローは本番への認証情報を扱うことが多く、攻撃者に狙われやすい場所です。
- シークレット は Secrets の機能で管理し、ログに出力しない
- 外部のアクションは、バージョンをコミットのハッシュ値で固定する（タグは書き換えられることがあるため）。実際に、広く使われていたアクションが改ざんされた事例もある
- ワークフローに付ける権限（GITHUB_TOKEN の permissions）を必要最小限にする（最小権限）
- フォークからのプルリクエストで、シークレットを使う処理が動かないようにする
- プルリクエストのタイトルなど、外部から入力される値をそのままコマンドに埋め込まない
