About Actions policies

About Actions policies

Actions policies let you govern how GitHub Actions workflows run. You can configure them in the Policies section of your GitHub Actions settings (separate from the General settings).

Actions policies are available at the enterprise, organization, and repository levels. They currently contain one type of policy: workflow execution protections. GitHub plans to add more policies over time.

About workflow execution protections

アクション ポリシーについて

アクション ポリシーを使用すると、 GitHub Actions ワークフローを組織やリポジトリ全体で実行する方法を管理できます。 アクション ポリシーは、既存の全般設定とは別に、GitHub Actions設定の新しい [ポリシー] セクションで構成します。

アクション ポリシーは、エンタープライズ、組織、リポジトリのレベルで使用できます。

アクション ポリシーには現在、ワークフロー実行保護という 1 種類のポリシーが含まれています。 GitHub は、時間の経過に伴うポリシーの追加を計画しています。

ワークフロー実行の保護について

ワークフロー実行保護を使用すると、 GitHub Actions ワークフローをトリガーできるユーザーと、ワークフローの実行を許可するイベントを制御する許可リストを定義できます。 ワークフロー実行保護には、イベントとアクターの 2 種類のルールが用意されています。 GitHub は、時間の経過に伴うルールの追加を計画しています。

ワークフロー実行保護は GitHub ルールセット フレームワーク上に構築されているため、ルールセットから既に知っているターゲット設定もここで動作します。 ルールセットを使用して保護を適用し、リポジトリのカスタム プロパティを使用して特定のリポジトリにスコープを設定できます。 ルールセットの一般情報については、「ルールセットについて」をご覧ください。 These protections can disrupt several real-world attack patterns:

• Poisoned pipeline execution from pull requests. Restrict or prohibit pull_request_target, including in public repositories where it is most often exploited.
• Manual-trigger abuse. Limit workflow_dispatch so untrusted identities cannot start workflows.
• Untrusted-actor execution. Block low-trust identities from triggering workflows entirely.
• Misconfiguration exploitation. Apply central policy that overrides any single misconfigured workflow file.

When enforced, disallowed workflow runs will fail with an error. For example:

Event 'workflow_dispatch' is not allowed to trigger Actions workflows. Workflow file: '.github/workflows/0-welcome.yml'.

Available rules

• Actor rules control who can trigger workflows, including individual users, repository roles, GitHub Apps, Copilot, and Dependabot. By default, every user with write access to a repository can trigger workflows. Actor rules let you separate who contributes code from who runs your CI, so you can grant a contributor write access without granting them the ability to execute workflows.
• Event rules control which events are permitted, such as push, pull_request, pull_request_target, and workflow_dispatch.

GitHub plans to add more rules over time.

Next steps

To configure workflow execution protections, see Controlling who can execute GitHub Actions workflows.

To manage policies programmatically, see REST API endpoints for GitHub Actions policies.