GitHubホストランナー向けの企業内Azureプライベートネットワーク構成のトラブルシューティング

企業内の GitHub でホストされるランナーのプライベートネットワーク構成のトラブルシューティング

企業内の組織におけるネットワーク構成作成を可能にする

既定では、Enterprise 内の Organization は新しいネットワーク構成を作成できず、Enterprise レベルのネットワーク構成を継承するだけです。 Enterprise オーナーは、Enterprise 内の Organization が Enterprise から独立したネットワーク構成を作成できるようにするポリシーを設定できます。詳しくは、「GitHubホストランナーのプライベートネットワークを企業で構成する方法」をご覧ください。

でネットワーク構成を作成する前に Azure リソースを構成する GitHub

          _
          _でネットワーク構成を追加するGitHub、Azure リソースが構成されていることを確認します。

サポートされているリージョン

GitHub Actions サービスは、Azure が提供するすべてのリージョンのサブセットをサポートします。 GitHub Actions サービスとサブネット間の通信を容易にするには、サブネットがサポートされているリージョンのいずれかに存在する必要があります。

メモ

データ所在地でGHE.comを使用する場合、サポートされているリージョンは異なります。「GHE.com のネットワークの詳細」を参照してください。

          GitHub.comでは、次のリージョンがサポートされています。

AustraliaEast
BrazilSouth
CanadaCentral
CanadaEast
CentralUs
EastAsia
EastUs
EastUs2
FranceCentral
GermanyWestCentral
JapanWest
KoreaCentral
NorthCentralUs
NorthEurope
NorwayEast
SouthCentralUs
SoutheastAsia
SouthIndia
SwedenCentral
SwitzerlandNorth
UkSouth
UkWest
WestUs
WestUs2
WestUs3

Azure プライベートネットワークは、次のリージョンの GPU ランナーをサポートしています。

EastUs
NorthCentralUs
SouthCentralUs
WestUs

Azure プライベートネットワークは、次のリージョンで arm64 ランナーをサポートしています。

CentralUs
EastUs
EastUs2
NorthCentralUs
SouthCentralUs
WestUs
WestUs2
WestUs3

近日中に新しいリージョンのサポートを要求するプロセスを開始する予定です。また、Azure リージョン間で仮想ネットワークを接続するのに、グローバル仮想ネットワークピアリングを使用します。詳細情報については、Azure ドキュメントの「仮想ネットワークピアリング」を参照してください。

ランナーがインターネットに接続できませんでした

          GitHubホストランナーは、 GitHub への外部への接続およびGitHub Actions に必要な他のURLへの接続を確立できる必要があります。

GitHub Actionsランナーと通信できない場合、プールはランナーをオンラインにすることはできないため、ジョブは取得されません。プールには次のエラーコードが表示されます。

VNetInjectionFailedToConnectToInternet

これを修正するには、「Azure リソースの構成」の手順に従って Azure リソースを構成していることを確認します。

デプロイスコープがロックされている

Azure サブスクリプションまたはリソースグループにロックを設定すると、NIC の作成や削除を妨げる可能性があります。

NIC の作成を妨げるロックによりジョブの取得に失敗します。一方、NIC の削除を妨げるロックは、(NIC の作成を続けることによって) サブネットアドレススペースを使い果たすか、サービスがデプロイメント例外を再試行するときに割り当てキュー (QTA) 時間が長くなります。

プールには次のエラーコードが表示されます。

RunnerDeploymentScopeLocked

これを修正するには、ロックを削除するか、使用しているサブネットをロックのないサブネットに変更します。

ポリシーによってブロックされた配置

管理グループ、サブスクリプション、リソースグループ、または個々のリソースに対してポリシーを作成できます。最も一般的なポリシーは、リソースが特定のタグを持つか、特定の名前を持つ必要があることです。

このポリシーでは NIC の作成が禁止されます。つまり、VM をオンラインにできないので、プールはジョブを取得しません。

プールには次のエラーコードが表示されます。

RunnerDeploymentBlockedByPolicy

この問題を解決するには、ポリシーを削除するか、使用しているサブネットをポリシーのないサブネットに変更します。

サブネットが満杯

サブネットには、配布する IP アドレスの数が限られています。各ランナーは、1 つの IP アドレスを使用します。サービスが最大ランナー数の設定を超えてスケールアップしようとすると、デプロイエラーが発生します。

これは、プールがランナーを追加する機能に影響します。キューの深さが大きい場合は、キューへの割り当て (QTA) 時間が長くなる可能性があります。ジョブは引き続き処理されますが、予想されるコンカレンシーレベルでは処理されません。

プールには次のエラーコードが表示されます。

VNetInjectionSubnetIsFull

これを修正するには、使用しているサブネットのサイズを増やすか、サブネットサイズに合わせてプールの最大ランナー数を減らします。

サブネットを削除できない

場合によっては、サービス関連付けリンク (SAL) が適用されているためにサブネットを削除できないことがあります。詳しくは、「組織内のGitHubホストランナーのプライベートネットワークの構成」をご覧ください。

サブネットに関連付けられているネットワーク設定リソースを確認する必要がある場合は、次の curl コマンドを実行します。 Azure Entra トークンの取得については、Azure のドキュメントを参照してください。リソースの作成に使ったのと同じ api-version を使います。

curl --request GET \
  --url "https://management.azure.com/subscriptions/{subscriptionId}/providers/GitHub.Network/NetworkSettings?api-version={api-version}&subnetId={subnetId}" \
  --header 'Content-Type: application/json' \
  --header "Authorization: Bearer {entra_token}"

不適切な NSG またはファイアウォール規則

「Azure リソースの構成」の手順では、必要なオープニングを一覧表示します。ただし、複数のダウンストリームプロキシまたはファイアウォールを含む複雑な運用ネットワークである可能性があります。

ランナーがオンラインにならない場合、ジョブは処理されません。セットアッププロセスには、ランナーアプリケーションを設定し、準備が整ったことを示すために GitHub Actions サービスに応答し、不正使用防止ツールを取得してインストールすることが含まれる場合があります。これらのプロセスのいずれかが失敗した場合、ランナーはジョブを選択できません。

これらの問題が発生している場合は、ホストされているランナーとのプライベートネットワークに使用しているのと同じサブネット上に仮想マシン GitHub設定してみてください。ただし、サービス関連付けリンク (SAL) が設定されている場合、これは不可能です。

SAL が設定されている場合は、仮想ネットワークで同様のサブネットを設定し、そのネットワークに仮想マシンを配置してみてください。その後、セルフホステッドランナーの登録を試みてください。

Azure リソースを構成するときの HTTP 要求ペイロードエラー

コマンドを実行して Azure リソースを構成するときは、正しい API バージョンと businessId プロパティを使用していることを確認します。別のプロパティを使用している場合、コマンドによって次のエラーが返されることがあります。

(HttpRequestPayloadAPISpecValidationFailed) HTTP request payload failed validation against API specification with one or more errors. Please see details for more information.

このエラーが発生した場合は、---debug フラグを使用してコマンドを実行すると、詳細情報を確認できます。

ネットワーク設定が間違ったレベルで構成されている

ネットワーク設定が Enterprise databaseId ではなく organization の databaseId を使って構成されている場合、エラーが発生します。このエラーメッセージは、プライベートネットワークが既に別の Enterprise または organization に関連付けられているため、指定されたリソース ID では確立できないことを示します。これを解決するには、既存のネットワーク設定を削除し、Enterprise databaseId を使って再作成します。

フェールオーバーネットワークがトラフィックを切り替えない

メモ

VNET フェールオーバーはパブリックプレビューであり、変更される可能性があります。プライマリネットワークとフェールオーバーネットワークの切り替えは段階的なプロセスです。移行中、ランナーは両方のネットワークで同時に走行する可能性があります。テストに基づいて、完全な移行には約 15 分かかります。この期間中、両方のサブネットにアクセスできることを確認します。

フェールオーバーネットワークを有効にしてもランナートラフィックが再ルーティングされない場合は、次の点を確認します。

フェールオーバーサブネットの Azure リソース (VNET/サブネット、NSG/ファイアウォール、ネットワーク設定) が正しく構成されていることを確認します。プライマリサブネットに使用するのと同じ "Azure リソースの構成" 手順に従います。
フェールオーバーネットワークが正しいネットワーク構成に追加され、構成が適切なランナーグループに関連付けられていることを確認します。

フェールオーバーサブネットに到達できない

フェールオーバーネットワークを有効にした後にランナーが接続できない場合は、フェールオーバーサブネット用に構成された Azure リソースに問題がある可能性があります。

フェールオーバーサブネットに、 GitHubホストランナーのプライベートネットワークを企業で構成する方法手順に記載されている要件に一致する適切な NSG またはファイアウォール規則が適用されていることを確認します。
フェールオーバーサブネットに、予想されるランナーコンカレンシーに十分な IP アドレス空間があることを確認します。

GitHub によって開始されたフェールオーバー後にプライマリに切り替えることができない

       **[Hosted compute networking settings]\(ホストされたコンピューティング ネットワーク**設定\) でネットワーク構成に移動します。

ネットワーク構成の横にある編集アイコンをクリックします。その後、[Edit configuration](構成の編集) をクリックします。
プライマリサブネットにランナートラフィックを返すには、[ フェールオーバー VNET を無効にする] をクリックします。

フェールオーバーを無効にできない場合は、プライマリサブネットの Azure リソースが正常でアクセス可能であることを確認します。プライマリサブネットの Azure リージョンで継続的な停止がないことを確認します。

GitHubホストランナー向けの企業内Azureプライベートネットワーク構成のトラブルシューティング

この機能を使用できるユーザーについて