GitHub Actionsにcache-mode導入、ワークフローやジョブ単位でキャッシュ権限を最小化
GitHub Actionsでキャッシュへのアクセス権限をread/write単位で制御可能になりました。pull_request_target等の低信頼イベントで書き込みを明示すると警告が表示され…
運用や自動化の改善が継続的な効率化につながります。 GitHub Actionsでキャッシュへのアクセス権限をread/write単位で制御可能になりました
GitHubは、GitHub Actionsのキャッシュアクセスをジョブ単位で制御できる新機能「cache-mode」の一般提供を開始しました。従来、キャッシュの読み書き権限はデフォルト設定やイベントの種類に依存していましたが、本機能により最小権限の原則（Least Privilege）に基づいたアクセス制御がワークフローまたは個別ジョブごとに可能になります。
具体的には、read-only、write-only、read-write、noneといったモードを選択でき、不要なキャッシュのリストアや保存を遮断できます。ジョブレベルの設定はワークフローレベルよりも優先され、再利用可能なワークフロー（reusable workflows）においても呼び出し元の付与した権限以上のアクセスを得ることはできない仕様です。
特にpull_request_targetのような低信頼のイベントでは、デフォルトで読み取り専用となります。これに対して手動でwriteやwrite-onlyを指定すると、キャッシュ汚染のリスクが高まるため、GitHub Actions側で警告アノテーションが表示される仕組みが導入されました。開発者はこの警告を通じて、信頼性の高いワークフローが不正なキャッシュを読み込むリスクを事前に把握できます。
Related tools
この記事に関連するおすすめツール
比較検討しやすい導入候補を優先して表示しています。一部リンクは広告・アフィリエイトを含む場合があります。
出典: GitHub Changelog
要点を短く整理して掲載しています。詳細は出典を確認してください。
