About Actions policies

Govern how GitHub Actions workflows run within your repository, organization, or enterprise.

이 기사에서

About Actions policies

Actions policies let you govern how GitHub Actions workflows run. You can configure them in the Policies section of your GitHub Actions settings (separate from the General settings).

Actions policies are available at the enterprise, organization, and repository levels. They currently contain one type of policy: workflow execution protections. GitHub plans to add more policies over time.

About workflow execution protections

Actions 정책 정보

작업 정책을 사용하면 조직 및 리포지토리에서 워크플로가 실행되는 방식을 GitHub Actions 제어할 수 있습니다. 기존 일반 설정과 별도로 설정의 GitHub Actions 새 정책 섹션에서 작업 정책을 구성합니다.

작업 정책은 엔터프라이즈, 조직 및 리포지토리 수준에서 사용할 수 있습니다.

작업 정책에는 현재 워크플로 실행 보호라는 한 가지 유형의 정책이 포함되어 있습니다. GitHub 는 시간이 지남에 따라 더 많은 정책을 추가할 계획입니다.

워크플로 실행 보호 정보

워크플로 실행 보호를 사용하면 워크플로를 트리거 GitHub Actions 할 수 있는 사용자와 워크플로를 실행할 수 있는 이벤트를 제어하는 허용 목록을 정의할 수 있습니다. 워크플로 실행 보호에는 이벤트 및 행위자라는 두 가지 규칙 유형이 있습니다. GitHub 는 시간이 지남에 따라 더 많은 규칙을 추가할 계획입니다.

워크플로 실행 보호는 규칙 집합 프레임워크를 GitHub 기반으로 하므로 규칙 집합에서 이미 알고 있는 대상 지정도 여기에서 작동합니다. 규칙 집합을 사용하여 보호를 적용하고 리포지토리 사용자 지정 속성을 사용하여 특정 리포지토리로 범위를 지정할 수 있습니다. 규첵 세트에 관한 자세한 내용은 규칙 세트에 대한 정보을 참조하세요. These protections can disrupt several real-world attack patterns:

  • Poisoned pipeline execution from pull requests. Restrict or prohibit pull_request_target, including in public repositories where it is most often exploited.
  • Manual-trigger abuse. Limit workflow_dispatch so untrusted identities cannot start workflows.
  • Untrusted-actor execution. Block low-trust identities from triggering workflows entirely.
  • Misconfiguration exploitation. Apply central policy that overrides any single misconfigured workflow file.

When enforced, disallowed workflow runs will fail with an error. For example:

Event 'workflow_dispatch' is not allowed to trigger Actions workflows. Workflow file: '.github/workflows/0-welcome.yml'.

참고

GitHub has added a default policy that will block the pull_request_target event in public repositories. This policy will be enforced on November 2, 2026. See pull_request_target 안전하게 사용.

Available rules

  • Actor rules control who can trigger workflows, including individual users, repository roles, GitHub Apps, Copilot, and Dependabot. By default, every user with write access to a repository can trigger workflows. Actor rules let you separate who contributes code from who runs your CI, so you can grant a contributor write access without granting them the ability to execute workflows.
  • Event rules control which events are permitted, such as push, pull_request, pull_request_target, and workflow_dispatch.

GitHub plans to add more rules over time.

Next steps

To configure workflow execution protections, see Controlling who can execute GitHub Actions workflows.

To manage policies programmatically, see REST API endpoints for GitHub Actions policies.