GitHub Actions の organization-wide required workflows を実験する

Futa Hirakoba 2023/01/24

これ

GitHub Actions - Support for organization-wide required workflows public beta | GitHub Changelog

Futa Hirakoba 2023/01/24

実験に使ったOrganizationをhoge orgとする。

Futa Hirakoba 2023/01/24に更新

まとめ

気づいた仕様

ソースのリポジトリとターゲットのリポジトリは同Organizationでなければいけない
ターゲットリポジトリのプルリクエストで発火する
ソースのワークフローにはon: pull_requestが必要
ソースのワークフローがあるリポジトリがprivate/internalである場合、同Organizationに対するワークフローの再利用を許可しないといけない^[1]
ソースのワークフローはデフォルトブランチのHEADコミットが使われる^[2]
ステータスチェック付きで保護されているブランチに対するプルリクエストの場合、Requiredでソースのワークフローが実行される
ステータスチェック付きの保護がないブランチに対するプルリクエストの場合、Requiredはつかずにソースのワークフローが実行される

所感

ワークフローをOrg横断で強制したい場合には効果的
複数チームが利用するOrgでガバナンスを強化できる
使用例: ライセンスチェックを必ず行わせる
ワークフローをOrg横断で使い回したいという用途だと微妙な気がする
- 原則として必ずRequiredになるのが邪魔
- ブランチプロテクションである程度制御できるけども
ソースのワークフローについて、常にHEADコミットが使われるのは不便になり得そう
仕様がちょっと複雑

脚注

If the required workflow is contained in a private repository, you must ensure that workflows within the repository are accessible by other repositories in your organization. https://docs.github.com//en/actions/using-workflows/required-workflows ↩︎
GitHub will source the required workflow from the HEAD commit of the default branch from the repository containing the workflow. https://docs.github.com//en/actions/using-workflows/required-workflows ↩︎

Futa Hirakoba 2023/01/24

ソースとなるワークフローを用意

hoge/playground リポジトリに次のワークフローを用意する。
mainブランチにコミット。

required-test

# testing required workflow
# https://github.blog/changelog/2023-01-10-github-actions-support-for-organization-wide-required-workflows-public-beta/
on:
  pull_request:

jobs:
  test:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - run: ls

Futa Hirakoba 2023/01/24

triggerにはpull_requestが必須なので注意。

A required workflow is triggered by pull request events and appears as a required status check
https://docs.github.com//en/actions/using-workflows/required-workflows

Futa Hirakoba 2023/01/24に更新

Required workflows を設定

hoge org の Settings で Required workflows を設定。

設定画面は Settings -> Actions -> General -> Required workflows -> Add workflow。

Futa Hirakoba 2023/01/24

Select a repositoryボタンを押しても playground リポジトリがクリックできない。

ドキュメントにその原因が書いてた。

If the required workflow is contained in a private repository, you must ensure that workflows within the repository are accessible by other repositories in your organization. For more information, see "Allowing access to components in a private repository."
https://docs.github.com//en/actions/using-workflows/required-workflows

DeepL先生: リポジトリ内のワークフローが組織内の他のリポジトリからアクセス可能であることを確認する必要があります。

確かにそんな設定あったな。

hoge/playground の Settings -> Actions -> General -> Access で Accessible from repositories in the 'hoge' organization を選択して Save

Futa Hirakoba 2023/01/24

選択できた。
Select repositoriesではターゲットとなるhoge organization内のリポジトリを適当に指定。

Futa Hirakoba 2023/01/24

なお、ターゲットリポジトリにソースリポジトリは含められない。

Futa Hirakoba 2023/01/24

実際にプルリクエストを作って確認

ターゲットリポジトリに指定したリポジトリで適当にプルリクを作る。

Futa Hirakoba 2023/01/24

`Require status checks to pass before merging`で保護されたブランチの場合

.github/workflows/required-test.yaml / test (pull_request)、Requiredとあり、Required workflowsが動いていることがわかる。

ワークフローの実行画面からワークフローを表示すると、hoge/playground/.github/workflows/required-test.yaml at 21e2749とあり、どこのワークフローであるかがわかる

Futa Hirakoba 2023/01/24に更新

`Require status checks to pass before merging`を設定していない未保護ブランチの場合

機能名としてはRequired workflowsであるが、branch protectionでステータスチェック保護されていないブランチに対するプルリクエストではRequiredにせずにワークフローを実行させることができる。

Required workflows are available for organizations and only in repositories where the organization's plan supports required status checks. If required status checks are not supported, the workflow will still run, but it will not be a required check and will not block merging. For more information about support for required status checks, see "About protected branches."
https://docs.github.com//en/actions/using-workflows/required-workflows

DeepL先生: 必須ステータスチェックがサポートされていない場合、ワークフローは実行されますが、必須チェックではなく、マージをブロックすることはありません。