GitHub Actions セキュリティ：2つの重大なインシデント後のベストプラクティス

サプライチェーン攻撃や tj-actions の侵害など、最近の GitHub Actions への攻撃は、重大なセキュリティリスクを浮き彫りにしています。このガイドは、GitHub Actions ワークフローを安全に保つための実践的なアドバイスを提供します。組織レベルの設定とリポジトリレベルのブランチ保護、シークレット管理、安全なワークフローの作成に関するベストプラクティスを網羅しています。ポイズンドパイプライン実行 (PPE) などの重要な脆弱性についても説明し、サードパーティアクションの使用を最小限に抑え、権限を制御し、静的分析とポリシー適用のためのツールを使用するための推奨事項を示します。