アクションポリシーについて

アクションポリシーを使用すると、ワークフローの実行方法 GitHub Actions 管理できます。 GitHub Actions設定の [ポリシー] セクションで構成できます ([全般] 設定とは別)。

アクションポリシーは、エンタープライズ、組織、リポジトリのレベルで使用できます。現在、ワークフロー実行保護という 1 種類のポリシーが含まれています。 GitHub は、時間の経過に伴うポリシーの追加を計画しています。

ワークフロー実行の保護について

ワークフロー実行保護を使用すると、 GitHub Actions ワークフローをトリガーできるユーザーと、ワークフローの実行を許可するイベントを制御する許可リストを定義できます。これらの保護により、実際のいくつかの攻撃パターンが中断される可能性があります。

プルリクエストによる汚染されたパイプライン実行。 最も頻繁に悪用されるパブリックリポジトリを含め、 pull_request_targetを制限または禁止します。
手動トリガーによる不正使用。 信頼されていない ID がワークフローを開始できないように、 workflow_dispatch を制限します。
信頼されていないアクターの実行。 低信頼 ID によるワークフローの完全なトリガーをブロックします。
誤った構成の悪用。 正しく構成されていない単一のワークフローファイルをオーバーライドする中央ポリシーを適用します。

適用すると、許可されていないワークフローの実行はエラーで失敗します。例えば次が挙げられます。

Event 'workflow_dispatch' is not allowed to trigger Actions workflows. Workflow file: '.github/workflows/0-welcome.yml'.

メモ

GitHub では、パブリックリポジトリの pull_request_target イベントをブロックする既定のポリシーが追加されました。このポリシーは、2026 年 11 月 2 日に適用されます。「pull_request_target を安全に使用する」を参照してください。

アクタールール は、個々のユーザー、リポジトリロール、 GitHub Apps、 Copilot、 Dependabotなど、ワークフローをトリガーできるユーザーを制御します。既定では、リポジトリへの書き込みアクセス権を持つすべてのユーザーがワークフローをトリガーできます。アクタールールを使用すると、コードを提供するユーザーと CI を実行するユーザーを分離できるため、共同作成者にワークフローを実行する権限を付与せずに書き込みアクセス権を付与できます。
イベントルール は、 push、 pull_request、 pull_request_target、 workflow_dispatchなど、許可されるイベントを制御します。

GitHub は、時間の経過に伴うルールの追加を計画しています。

ワークフロー実行保護を構成するには、 GitHub Actionsワークフローを実行できるユーザーの制御を参照してください。

プログラムでポリシーを管理するには、 GitHub Actions ポリシーの REST API エンドポイントを参照してください。