Gestion des paramètres de GitHub Actions pour un référentiel

À propos des GitHub Actions autorisations pour votre référentiel

Par défaut, GitHub Actions est activé pour tous les référentiels et toutes les organisations. Vous pouvez choisir de désactiver GitHub Actions ou de le limiter aux actions et aux workflows réutilisables dans votre organisation. Pour plus d’informations sur GitHub Actions, consultez Écriture de workflows.

Vous pouvez activer GitHub Actions pour votre dépôt. Lorsque vous activez GitHub Actions, les flux de travail peuvent exécuter des actions et des flux de travail réutilisables situés dans votre dépôt et dans tout autre dépôt public. Vous pouvez désactiver complètement GitHub Actions pour votre dépôt. Quand vous désactivez GitHub Actions, aucun workflow ne s’exécute dans votre dépôt.

Vous pouvez également activer GitHub Actions dans votre dépôt, mais limiter les actions et les flux de travail réutilisables qu’un workflow peut exécuter.

Gestion des GitHub Actions autorisations pour votre référentiel

Vous pouvez désactiver GitHub Actions pour un référentiel ou définir une stratégie qui configure les actions et les flux de travail réutilisables qui peuvent être utilisés dans le référentiel.

1. Sur GitHub, accédez à la page principale du référentiel.

2. Sous le nom de votre référentiel, cliquez sur Paramètres. Si vous ne voyez pas l’onglet « Paramètres », sélectionnez le menu déroulant , puis cliquez sur Paramètres.

   

3. Dans la barre latérale gauche, cliquez sur Actions, puis sur Général.

4. Sous « Autorisations d'Actions », sélectionnez une option.

   Si vous choisissez Autoriser les actions de PROPRIÉTAIRE, les autres actions ne relevant pas d’un PROPRIÉTAIRE sélectionnées et les workflows réutilisables, les actions et les workflows réutilisables au sein de votre organisation sont autorisé(e)s, et il existe d’autres options pour autoriser d’autres actions spécifiques et workflows réutilisables. Pour plus d'informations, voir Autoriser l'exécution d'actions sélectionnées et de flux de travail réutilisables.

   Quand vous autorisez des actions et des workflows réutilisables uniquement dans votre organisation, la stratégie bloque tout accès aux actions créées par GitHub. Par exemple, l’action actions/checkout n’est pas accessible.

   Lorsque vous activez Exiger que les actions soient attachées à un SHA de commit complet, toutes les actions doivent être attachées à un SHA de commit complet pour pouvoir être utilisées. Cela inclut les actions provenant de votre organisation ainsi que les actions créées par GitHub. Les flux de travail réutilisables peuvent toujours être référencés par balise. Pour plus d’informations, consultez Informations de référence sur l’utilisation sécurisée.

5. Cliquez sur Enregistrer.

Autorisation de sélectionner des actions et des flux de travail réutilisables à exécuter

Lorsque vous choisissez Autoriser les actions de PROPRIÉTAIRE, les autres actions ne relevant pas d’un PROPRIÉTAIRE sélectionnées et les workflows réutilisables, les actions locales et les flux de travail réutilisables sont autorisés, et il existe des options supplémentaires pour autoriser d’autres actions spécifiques et flux de travail réutilisables :

• Autoriser les actions créées par GitHub: Vous pouvez autoriser toutes les actions créées par GitHub à être utilisées par les flux de travail. Les actions créées par GitHub se trouvent dans les organisations actions et github. Pour en savoir plus, consultez les organisations actions et github.

• Autoriser les actions de la Place de marché par les créateurs vérifiés : Vous pouvez autoriser toutes les GitHub Marketplace actions créées par les créateurs vérifiés à utiliser par les flux de travail. Lorsque GitHub a vérifié le créateur de l’action en tant qu’organisation partenaire, le badge s’affiche en regard de l’action dans GitHub Marketplace.

• Autoriser ou bloquer les actions spécifiées et les flux de travail réutilisables : vous pouvez restreindre les flux de travail pour utiliser des actions et des flux de travail réutilisables dans des organisations et référentiels spécifiques. Les actions spécifiées ne peuvent pas dépasser 1 000.

  Pour restreindre l’accès à des étiquettes spécifiques ou valider des contrats SHA d’une action ou d’un flux de travail réutilisable, utilisez la même syntaxe que celle utilisée dans le flux de travail pour sélectionner l’action ou le flux de travail réutilisable.

  • Pour une action, la syntaxe est OWNER/REPOSITORY@TAG-OR-SHA. Par exemple, utilisez actions/javascript-action@v1.0.1 pour sélectionner une étiquette ou actions/javascript-action@a824008085750b8e136effc585c3cd6082bd575f pour sélectionner un SHA. Pour plus d’informations, consultez « Utilisation de blocs élémentaires pré-écrits dans votre workflow ».
  • Pour un workflow réutilisable, la syntaxe est OWNER/REPOSITORY/PATH/FILENAME@TAG-OR-SHA. Par exemple : octo-org/another-repo/.github/workflows/workflow.yml@v1. Pour plus d’informations, consultez « Réutiliser des workflows ».

  Vous pouvez utiliser le caractère générique *pour faire correspondre les modèles. Par exemple, pour autoriser toutes les actions et flux de travail réutilisables dans les organisations qui commencent par space-org, vous pouvez spécifier space-org*/*. Pour autoriser toutes les actions et flux de travail réutilisables dans les référentiels qui commencent par octocat, vous pouvez utiliser */octocat**@*. Pour en savoir plus sur l’utilisation du caractère générique *, consultez Syntaxe de flux de travail pour GitHub Actions.

  Utilisez , pour séparer les modèles. Par exemple, pour autoriser toutes les actions et les workflows réutilisables des organisations octocat et octokit, vous pouvez spécifier octocat/*, octokit/*.

  Utilisez le ! préfixe pour bloquer les modèles. Par exemple, pour autoriser toutes les actions et flux de travail réutilisables de l’organisation space-org , mais bloquer une action spécifique comme space-org/action, vous pouvez spécifier space-org/*, !space-org/action@*. Par défaut, seules les actions et les flux de travail réutilisables spécifiés dans la liste sont autorisés. Pour autoriser toutes les actions et flux de travail réutilisables tout en bloquant des actions spécifiques, vous pouvez spécifier *, !space-org/action@*.

Cette procédure montre comment ajouter des actions spécifiques et des flux de travail réutilisables à la liste.

1. Sur GitHub, accédez à la page principale du référentiel.

2. Sous le nom de votre référentiel, cliquez sur Paramètres. Si vous ne voyez pas l’onglet « Paramètres », sélectionnez le menu déroulant , puis cliquez sur Paramètres.

   

3. Dans la barre latérale gauche, cliquez sur Actions, puis sur Général.

4. Sous « Autorisations d’actions », sélectionnez Autoriser les actions de PROPRIÉTAIRE, les autres actions ne relevant pas d’un PROPRIÉTAIRE sélectionnées et les workflows réutilisables et ajoutez vos actions requises à la liste.

5. Cliquez sur Enregistrer.

Contrôle des modifications entre les duplications (fork) et les workflows dans les dépôts publics

Tout le monde peut créer un fork d’un dépôt public, puis soumettre une pull request proposant des modifications aux workflows du dépôt GitHub Actions. Bien que les workflows issus de duplications n’aient pas accès aux données sensibles comme les secrets, ils peuvent embêter les chargés de maintenance s’ils sont modifiés à des fins abusives.

Pour éviter cela, les workflows sur les pull requests vers des dépôts publics provenant de certains contributeurs externes ne s’exécutent pas automatiquement et peuvent d’abord nécessiter une approbation. Selon le paramètre « Approbation de l’exécution des workflows de pull requests de fork par les contributeurs », les workflows pour les pull requests vers des dépôts publics ne s’exécutent pas automatiquement et peuvent nécessiter une approbation si :

• La pull request est créée par un utilisateur nécessitant des approbations conformément à la stratégie sélectionnée.
• L’événement de pull request est déclenché par un utilisateur et nécessite des approbations conformément à la stratégie sélectionnée.

Par défaut, tout nouveau contributeur nécessite une approbation pour exécuter des workflows.

Les flux de travail déclenchés par des événements pull_request_target sont exécutés dans le contexte de la branche de base. Étant donné que la branche de base est considérée comme approuvée, les workflows déclenchés par ces événements s’exécutent toujours, quels que soient les paramètres d’approbation. Pour plus d’informations sur l’événement pull_request_target, consultez Événements qui déclenchent des flux de travail.

Vous pouvez configurer ce comportement pour un dépôt à l'aide de la procédure ci-dessous. La modification de ce paramètre remplace la configuration définie au niveau de l'organisation ou de l'entreprise.

1. Sur GitHub, accédez à la page principale du référentiel.

2. Sous le nom de votre référentiel, cliquez sur Paramètres. Si vous ne voyez pas l’onglet « Paramètres », sélectionnez le menu déroulant , puis cliquez sur Paramètres.

   

3. Dans la barre latérale gauche, cliquez sur Actions, puis sur Général.

4. Sous Approbation pour l’exécution des workflows de pull requests provenant de forks créées par des contributeurs, choisissez quels utilisateurs devront obtenir une approbation avant l’exécution des workflows sur leurs pull requests. L'auteur de la demande de retrait et l'acteur de l'événement de demande de retrait qui déclenche le flux de travail seront vérifiés pour déterminer si une approbation est nécessaire. Si une approbation est requise, un utilisateur ayant un accès en écriture au référentiel doit approuver l'exécution du flux de travail de la demande de retrait. Consultez Approbation d’exécutions de workflow à partir de duplications.

   Avertissement

   Lorsque les approbations ne sont requises que pour les nouveaux contributeurs (les deux premiers paramètres), un utilisateur ayant déjà eu au moins un commit ou une pull request fusionné dans le dépôt n’aura pas besoin d’être approuvé. Un utilisateur malveillant pourrait remplir cette condition en faisant accepter par un mainteneur une simple faute de frappe ou une autre modification anodine, soit dans le cadre d’une pull request dont il est l’auteur, soit dans le cadre de la pull request d’un autre utilisateur.

   • Exiger une approbation pour les nouveaux contributeurs sur GitHub. Seuls les utilisateurs qui sont à la fois nouveaux sur GitHub et qui n’ont jamais eu de commit ni de pull request fusionné dans ce dépôt devront être approuvés pour pouvoir exécuter des workflows.
   • Exiger une approbation pour les nouveaux contributeurs. Seuls les utilisateurs qui n'ont jamais eu de commit ni de pull request fusionné sur ce dépôt devront être approuvés pour pouvoir exécuter des workflows.
   • Exiger l’approbation de tous les contributeurs externes Tous les utilisateurs qui ne sont pas membres ou propriétaires de ce référentiel et non d’un membre de l’organisation nécessitent une approbation pour exécuter des flux de travail.

5. Cliquez sur Enregistrer pour appliquer les paramètres.

Pour plus d’informations sur l’approbation d’exécutions de workflow auxquelles cette stratégie s’applique, consultez Approbation d’exécutions de workflow à partir de duplications.

Activation des workflows pour les duplications de dépôts privés

Si vous vous appuyez sur l’utilisation de duplications de vos référentiels privés, vous pouvez configurer des stratégies qui contrôlent la façon dont des utilisateurs peuvent exécuter des workflow sur des événements pull_request. En ce qui concerne les paramètres de stratégie disponibles uniquement pour les dépôts privés, vous pouvez les configurer pour des organisations ou des dépôts.

Si une stratégie est désactivée pour une entreprise ouorganisation, elle ne peut pas être activée pour un référentiel.

• Exécuter des workflows à partir de demandes de tirage de duplication : permet aux utilisateurs d’exécuter des workflows à partir de demandes de tirage de duplication, avec une autorisation GITHUB_TOKEN en lecture seule et sans accès aux secrets.
• Envoyer des jetons d’écriture aux workflows à partir de demandes de tirage : permet aux demandes de tirage provenant de duplications d’utiliser un GITHUB_TOKEN avec autorisation d’accès en écriture.
• Envoyer des secrets aux workflows à partir de demandes de tirage : rend tous les secrets disponibles pour la demande de tirage.
• Exiger l’approbation des workflows de demande de tirage (pull request) - Les exécutions de workflow sur des demandes de tirage provenant de collaborateurs sans autorisation d'écriture devront être approuvées par une personne disposant d'une autorisation d'écriture avant d'être exécutées.

Configuration de la stratégie de duplication pour un dépôt privé

1. Sur GitHub, accédez à la page principale du référentiel.

2. Sous le nom de votre référentiel, cliquez sur Paramètres. Si vous ne voyez pas l’onglet « Paramètres », sélectionnez le menu déroulant , puis cliquez sur Paramètres.

   

3. Dans la barre latérale gauche, cliquez sur Actions, puis sur Général.

4. Sous Dupliquer les workflows de demande de tirage, sélectionnez vos options.

5. Cliquez sur Enregistrer pour appliquer les paramètres.

Définition des autorisations du GITHUB_TOKEN pour votre dépôt

Vous pouvez définir les autorisations par défaut accordées au GITHUB_TOKEN. Pour plus d’informations sur GITHUB_TOKEN, consultez Utiliser GITHUB_TOKEN pour l’authentification dans les flux de travail. Vous pouvez choisir un ensemble restreint d’autorisations par défaut, ou appliquer des paramètres permissifs.

Les autorisations par défaut peuvent également être configurées dans les paramètres de l'organisation. Si votre dépôt appartient à une organisation et qu'une option par défaut plus restrictive a été sélectionnée dans les paramètres de l'organisation, la même option est sélectionnée dans les paramètres de votre dépôt et l'option permissive est désactivée.

Toute personne disposant d’un accès en écriture à un dépôt peut modifier les autorisations accordées au GITHUB_TOKEN en ajoutant ou supprimant l’accès selon le besoin, en modifiant la clé permissions dans le fichier de workflow. Pour plus d’informations, consultez permissions.

Configuration des autorisations GITHUB_TOKEN par défaut

Par défaut, lorsque vous créez un nouveau référentiel dans votre compte personnel, GITHUB_TOKEN n'a qu'un accès en lecture pour les champs contents et packages. Si vous créez un dépôt dans une organisation, le paramètre est hérité de ce qui est configuré dans les paramètres de l'organisation.

1. Sur GitHub, accédez à la page principale du référentiel.

2. Sous le nom de votre référentiel, cliquez sur Paramètres. Si vous ne voyez pas l’onglet « Paramètres », sélectionnez le menu déroulant , puis cliquez sur Paramètres.

   

3. Dans la barre latérale gauche, cliquez sur Actions, puis sur Général.

4. Sous « Autorisations du flux de travail », choisissez si vous souhaitez que le GITHUB_TOKEN ait un accès en lecture et en écriture pour toutes les autorisations (paramètre permissif), ou seulement un accès en lecture pour les autorisations contents et packages (paramètre restreint).

5. Cliquez sur Enregistrer pour appliquer les paramètres.

Empêcher GitHub Actions de créer ou d’approuver des pull requests

Vous pouvez choisir d’autoriser ou d’empêcher les flux de travail GitHub Actions de créer ou d’approuver des demandes de tirage.

Par défaut, lorsque vous créez un nouveau répertoire dans votre compte personnel, les workflows ne sont pas autorisés à créer ou à approuver des pull requests. Si vous créez un dépôt dans une organisation, le paramètre est hérité de ce qui est configuré dans les paramètres de l'organisation.

1. Sur GitHub, accédez à la page principale du référentiel.

2. Sous le nom de votre référentiel, cliquez sur Paramètres. Si vous ne voyez pas l’onglet « Paramètres », sélectionnez le menu déroulant , puis cliquez sur Paramètres.

   

3. Dans la barre latérale gauche, cliquez sur Actions, puis sur Général.

4. Sous « Autorisations de flux de travail », utilisez le paramètre Allow GitHub Actions pour créer et approuver des demandes de tirage (pull requests) pour configurer si GITHUB_TOKEN peut créer et approuver des demandes de tirage.

5. Cliquez sur Enregistrer pour appliquer les paramètres.

Autorisation de l'accès aux composants dans un dépôt privé

Les actions et les flux de travail réutilisables dans vos référentiels privés peuvent être partagés avec d’autres référentiels privés appartenant au même utilisateur ou à la même organisation. Pour obtenir des informations sur les référentiels privés, consultez À propos des dépôts.

Vous pouvez utiliser les étapes ci-dessous pour configurer si les actions et les workflows réutilisables d'un dépôt privé peuvent être accessibles de l'extérieur du dépôt. Pour plus d’informations, consultez Partage d’actions et de workflows à partir de votre référentiel privé et Partage d’actions et de workflows au sein de votre organisation. Vous pouvez également utiliser l'API REST pour définir ou obtenir des détails sur le niveau d'accès. Pour plus d’informations, consultez « Points de terminaison d’API REST pour les autorisations de GitHub Actions » et « Points de terminaison d’API REST pour les autorisations de GitHub Actions ».

Gestion de l'accès pour un dépôt privé

1. Sur GitHub, accédez à la page principale du référentiel privé.

2. Sous le nom de votre référentiel, cliquez sur Paramètres.

3. Dans la barre latérale gauche, cliquez sur Actions, puis sur Général.

4. Sous Access, choisissez l'un des paramètres d'accès :

   • Non accessible : les workflows dans d'autres dépôts ne peuvent pas accéder à ce dépôt.
   • Accessible à partir des dépôts appartenant à l'utilisateur « NOM UTILISATEUR » - Les workflows des autres dépôts qui appartiennent au même utilisateur peuvent accéder aux actions et aux workflows réutilisables de ce dépôt. L'accès est autorisé uniquement à partir de dépôts privés.

5. Cliquez sur Enregistrer pour appliquer les paramètres.

Gestion de l'accès pour un dépôt privé dans une organisation

1. Sur GitHub, accédez à la page principale du référentiel privé.

2. Sous le nom de votre référentiel, cliquez sur Paramètres.

3. Dans la barre latérale gauche, cliquez sur Actions, puis sur Général.

4. Sous Access, choisissez l'un des paramètres d'accès :

   • Non accessible : les workflows dans d'autres dépôts ne peuvent pas accéder à ce dépôt.
   • Accessible à partir de dépôts dans l'organisation « NOM ORGANISATION »  : Les workflows des autres dépôts faisant partie de l'organisation « NOM ORGANISATION » peuvent accéder aux actions et aux workflows réutilisables de ce dépôt. L'accès est autorisé uniquement à partir de dépôts privés.

5. Cliquez sur Enregistrer pour appliquer les paramètres.

Configuration des paramètres de cache pour votre référentiel

Vous pouvez configurer les paramètres de rétention et de taille du cache pour votre référentiel. Cette fonctionnalité est facultative et disponible pour les utilisateurs disposant d’un mode de paiement enregistré, GitHub Pro, GitHub Team ou GitHub Enterprise Cloud forfaits.

Si votre référentiel appartient à une organisation qui a configuré les paramètres de cache, vous pouvez configurer des limites jusqu’à la valeur maximale définie par l’organisation. Si votre référentiel appartient à l’utilisateur, vous pouvez configurer jusqu’aux maximums globaux.

1. Sur GitHub, accédez à la page principale du référentiel.

2. Sous le nom de votre référentiel, cliquez sur Paramètres. Si vous ne voyez pas l’onglet « Paramètres », sélectionnez le menu déroulant , puis cliquez sur Paramètres.

   

3. Dans la barre latérale gauche, cliquez sur Actions, puis sur Général.

4. Dans la section « Paramètres du cache », configurez les paramètres suivants :

   • Rétention du cache : nombre de jours pour conserver les caches avant la suppression automatique. La valeur par défaut est de 7 jours. Vous pouvez configurer jusqu’à 90 jours pour les dépôts publics ou 365 jours pour les référentiels privés et internes (ou jusqu’à la limite définie par votre organisation).
   • Limite d’éviction de la taille du cache : taille totale maximale de tous les caches de votre référentiel. La valeur par défaut est de 10 Go. Vous pouvez configurer jusqu’à 10 000 Go par référentiel (ou jusqu’à la limite définie par votre organisation). Lorsque cette limite est dépassée, les caches plus anciens sont supprimés pour faire place aux nouveaux caches.

5. Cliquez sur Enregistrer pour appliquer les paramètres.

Pour plus d’informations sur l’éviction du cache, consultez Référence sur la mise en cache des dépendances.

Configuration de la période de rétention pour GitHub Actions les artefacts et les journaux d’activité dans votre référentiel

Vous pouvez configurer la durée de conservation des artefacts et des journaux GitHub Actions dans votre dépôt.

Par défaut, les artefacts et les fichiers journaux générés par les workflows sont conservés pendant 90 jours avant d’être automatiquement supprimés. Vous pouvez ajuster la période de conservation en fonction du type de dépôt :

• Pour les dépôts publics : vous pouvez changer cette période de conservation en la remplaçant par une valeur comprise entre 1 jour et 90 jours.
• Pour les dépôts privés : vous pouvez changer cette période de conservation en la remplaçant par une valeur comprise entre 1 jour et 400 jours.

Quand vous personnalisez la période de conservation, elle s’applique uniquement aux nouveaux artefacts et fichiers journaux, elle ne s’applique pas rétroactivement aux objets existants. Pour les organisations et dépôts managés, la période de conservation maximale ne peut pas dépasser la limite définie par l’organisation ou l’entreprise responsable.

Vous pouvez également définir une durée de conservation personnalisée pour un artefact spécifique créé par un workflow. Pour plus d’informations, consultez « Suppression des éléments de workflow ».

Définition de la période de rétention d'artifacts et de logs pour un référentiel

1. Sur GitHub, accédez à la page principale du référentiel.

2. Sous le nom de votre référentiel, cliquez sur Paramètres. Si vous ne voyez pas l’onglet « Paramètres », sélectionnez le menu déroulant , puis cliquez sur Paramètres.

   

3. Dans la barre latérale gauche, cliquez sur Actions, puis sur Général.

4. Sous Conservation des artefacts et des journaux, entrez une nouvelle valeur.

5. Cliquez sur Enregistrer pour appliquer la modification.