Claude CodeをGitHubリポジトリ上で呼び出すのを容易にするGitHub Actions GitHub Issue、PR上で @claude メンションを用いて起動が可能になる https://github.com/anthropics/claude-code-action

#Continuous Integration GitHub Actions の workflow 内で、PR / push で変更されたファイルの一覧を出力する community action tj-actions/changed-files。後続 step は出力を参照し、変更パスに応じて処理を分岐できる https://github.com/tj-actions/changed-files

#Cloud Native #Observability 2026年8月17日に発生した GitHub の7時間47分にわたる障害の原因を伝える記事。コード変更ではなく、過去最高のトラフィックによる容量不足が起点となっている。 Istio のサイドカーが同時処理数の上限に到達。オートスケールが本体サービスしか監視しておらずサイドカーの容量を考慮していなかった 容量不足は HAProxy と内部の認証経路へ波及し、多数のサービスが認証に依存するため github.com や GitHub Actions へ広がるカスケード障害となった VS Code の潜在的なリトライバグで Copilot Token Service へのアクセスが毎秒7,000〜9,000件から毎秒7〜10万件へ急増し、復旧を遅らせた 背景には AI による利用量の急増があり、月間コミット数は2026年4月の14億件から8月に29億件へ倍増している https://gigazine.net/news/20260821-why-github-down/ ブログ

#Security #Continuous Integration Cilium を題材に CI/CD 依存の固定・審査戦略を解説した CNCF ブログ記事（全3回の第2回） GitHub Actions の SHA pin: タグではなく 40 字コミット SHA で参照し、tag 書き換えによるサプライチェーン攻撃を防ぐ Renovate 自動更新: pinGitHubActionDigests preset で SHA を自動管理、minimumReleaseAge 5 日クールダウンで公開直後の悪意バージョンを回避 Go ベンダリング: vendor/ をリポジトリに commit し CI で go.mod/go.sum を検証、proxy 改ざんをレビュー可視に actionlint で pin 漏れ・runner image タグ未固定を検出 CODEOWNERS で vendor/ 変更者を限定し依存変更の承認ゲートを構築 https://www.cncf.io/blog/2026/06/12/securing-ci-cd-for-an-open-source-project-locking-down-dependencies/

#Security #Continuous Integration GitHub Actionsワークフローの静的解析を行うSASTツール。サプライチェーン攻撃や認証情報窃取につながる workflow 設定の不備を検出する Rust製。.github/workflows/ 配下の YAML を解析し、命名された audit ID 単位で検出 / ignore を行える 主な audit カテゴリ: dangerous-triggers template-injection unpinned-uses excessive-permissions overprovisioned-secrets https://zizmor.sh/ https://github.com/zizmorcore/zizmor

#Data Engineering AtlasをベースとしてマイグレーションDockerイメージを、GitHub Actionsでビルド＆パブリッシュ、Kubernetes Job上のArgo CDでのマイグレーションリリースまでを自動化する記事 https://tech-blog.rakus.co.jp/entry/20250526/dbmigration

#Continuous Integration Renovate を GitHub Actions 上でセルフホストする公式 Action renovatebot/github-action。ホスト型 Mend Renovate App を使わず、自前リポジトリの workflow から依存更新 PR を回す前提のセットアップ 設定 workflow の on.schedule（cron）で定期実行する（例: 0/15 * * * *） 設定ファイルは configurationFile で指定（JS / JSON）。RENOVATE_ 接頭辞の環境変数はそのままコンテナへ渡る renovate-version で実行する Renovate（Docker イメージ）のバージョンを固定できる https://github.com/renovatebot/github-action

#Security #Continuous Integration GitHub Actions で OIDC や Trusted Publishing を導入しても runner 上の認証情報漏洩リスクは構造的に残る、という限界を解説した Flatt Security ブログ記事（Part 3） 漏洩経路: Runner.Worker プロセスのメモリダンプで GITHUB_TOKEN や環境変数の secrets・OIDC 派生クレデンシャルを取得可能（GitHub-hosted runner は sudo がパスワードなしで実行可能） 軽減策: クラウド側でクレーム完全一致検証・数値 ID 優先・インラインセッションポリシーで権限を多層絞り込み；認証 step と任意コード実行 job を分離 残る攻撃面: サプライチェーン攻撃で依存が汚染された場合、認証 job のコンテキスト内で悪意コードが動く（IaC ワークフローは job 分離自体が困難） 検知と対応: 一時クレデンシャル（有効期間 ~1.5h）の悪用を前提に CloudTrail・Cloud Audit Logs・GuardDuty 等で検知体制を整備 https://blog.flatt.tech/entry/2026-github-actions-security-part3 Blog

#Security #Cloud Native #Continuous Integration GitHub Actions / GitLab CI/CD のジョブをeBPFでカーネルレベルに監視し、実行時のサプライチェーン攻撃を検出するオープンソースのランタイムセキュリティセンサー（"Think EDR, but for CI/CD Pipelines"） CI/CD が握る認証情報・署名鍵・トークンを狙う攻撃に対し、汚染された依存がジョブ内で「何を実行したか」のランタイム可視性と事後調査の手段を与える 2026 年時点で pre-release・活発に開発中 https://github.com/cicd-sensor/cicd-sensor

#Security GitHub Actionsの人気 action changed-files が侵害されたサプライチェーン攻撃事例 CVE-2025-30066 発覚は 2025-03-14、StepSecurity が Harden-Runner の挙動監視で検知。@tj-actions-bot の PAT 奪取により、リポジトリ外で作成された malicious commit へ全タグが retroactively 付け替えられた（tag 移動による action 汚染の典型） ペイロードは GitHub Actions runner プロセスのメモリから secrets を dump して log に出力するもので、public repo では誰でも読める log から漏洩する。影響は 23,000+ リポジトリ GitHub によるリポジトリ復旧後の対処は、SHA pin 化または代替 action への切替と、漏洩可能性のある secrets の rotate https://www.stepsecurity.io/blog/harden-runner-detection-tj-actions-changed-files-action-is-compromised ブログ

#Continuous Integration 指定した status check（CI チェック）の成功を PR マージの条件にする GitHub の ruleset ルール（正式名 "Require status checks to pass before merging"）。repository / organization どちらのレベルでも設定できる。 status check は GitHub Actions のジョブ・外部 CI（Commit Status API）・GitHub App から付与され、base 追従を必須化する up-to-date オプションを持つ https://docs.github.com/en/repositories/configuring-branches-and-merges-in-your-repository/managing-rulesets/available-rules-for-rulesets

#Security #Continuous Integration GitHub Actions における権限昇格を引き起こす 3 パターンと対策を解説した Flatt Security ブログ記事（2026 後編） 3 パターンは、過剰なデフォルト権限（permissions 未宣言）、キャッシュポイズニング（低権限トリガーから高権限 workflow への汚染の跨ぎ）、secrets: inherit による全 secrets の暗黙継承 対策の軸は workflow root での permissions: {} 宣言と job 単位の最小権限付与、classic PAT の fine-grained 移行、release 系 workflow でのキャッシュ無効化 GitHub App private key は secrets ストアに置かずクラウド KMS で管理する https://blog.flatt.tech/entry/2026-github-actions-security-part2

#Security #Continuous Integration GitHub Actions の action / reusable workflow の参照を full-length commit SHA に pin する CLI（@suzuki-shunsuke 製）。タグは可変で改ざんの余地があり、SHA 固定だけが不変なリリース参照になる、というサプライチェーン攻撃対策。 pinact run で参照を SHA に pin（# v3.5.1 のバージョンコメント付き）。--update で更新、整合の検証にも対応 --no-api で API なしの構文チェック、--min-age でリリース直後の参照を弾く https://github.com/suzuki-shunsuke/pinact

#Security changed-files action (≤ v45.0.7) が侵害されたサプライチェーン攻撃の脆弱性。全タグが malicious commit に retroactively 付け替えられ、汚染された action が GitHub Actions runner の secrets を workflow ログへ dump した (embedded malicious code)。 CWE-506 (Embedded Malicious Code) CVSS 3.1: 8.6 HIGH (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N) 影響: tj-actions/changed-files ≤ v45.0.7、v46 で解消 https://www.cve.org/CVERecord?id=CVE-2025-30066 https://nvd.nist.gov/vuln/detail/CVE-2025-30066

#Security #Continuous Integration GitHub Actions ワークフロー脆弱性の検知ツール比較と、ツールに任せられる範囲・人が見極めるべきリスクを整理した Flatt Security ブログ記事（シリーズ Vol.4 最終回） ツールが検知できる: Script Injection・外部 Action のピン留め未使用・過剰な権限設定（YAML から確定できるパターン）を5ツール（CodeQL・zizmor・OpenSSF Scorecard・poutine・checkov）が横断的に報告 ツールが見えない: Classic PAT 使用・Immutable Releases 未使用・Environments 保護の設計意図・AI エージェント固有パラメータ（allowed_non_write_users: "*" 等）はどのツールも検知しない トリアージの課題: 数百件規模の検知が積み上がりやすく、Severity はカテゴリ固定で組織文脈を反映しない；複数ツールが同一箇所を別ルール名で重複報告する リスク評価の視点: 単一脆弱性ではなく「連鎖」で評価する（pull_request_target + contents: write が組み合わさって サプライチェーン攻撃 に至るかを組織全体で確認） 対策の3軸: 侵害の抑止 / 被害の局所化（fine-grained PAT・Environments 保護）/ 追跡可能性（runner 上の挙動記録） https://blog.flatt.tech/entry/2026-github-actions-security-part4 ブログ

#Continuous Integration GitHub Projects を GitHub Actions から自動化する手順を示した GitHub 公式ドキュメント。PR が ready for review になったら project に追加し Status と日付フィールドを設定する workflow を、GitHub App 認証版と PAT 認証版の2通りで提示する GITHUB_TOKEN は repository スコープのため Projects にアクセスできない。organization project は GitHub App、user project は classic PAT が推奨される GitHub App には organization projects の read & write が必要で、repository projects の権限では足りない。workflow 内でのトークン発行には create-github-app-token を使う https://docs.github.com/en/issues/planning-and-tracking-with-projects/automating-your-project/automating-projects-using-actions

#Continuous Integration GitHub Actions の workflow 内で GitHub App のインストールアクセストークンを発行する公式 Action actions/create-github-app-token。App の ID と private key を渡すと、対象を絞ったトークンを払い出す 特徴 発行されるインストールトークンは 1 時間で失効する短命トークン。post step で自動 revoke され、明示しない限り他 job へは渡らない owner / repositories でアクセス先リポジトリを限定し、権限を細かく絞れる デフォルトの GITHUB_TOKEN（権限が制限的で後続 CI をトリガできない）や PAT の代替として使い、GitHub App の bot 名義で commit / comment できる https://github.com/actions/create-github-app-token

#Programming #Continuous Integration GitHub公式のコード品質機能。Code scanning を拡張し、Pull Request 上でコード品質の問題を検出して修正提案までを提供する。 2025 年に public preview として公開。GitHub Team / Enterprise Cloud の組織リポジトリのみ対応（Enterprise Server 非対応）で、別途 Copilot / Code Security ライセンスは不要 ルールベース解析（CodeQL エンジン）と AI 解析の 2 系統で、保守性・信頼性・パフォーマンス・複雑度・重複/デッドコード・テストカバレッジなどを検出する 指摘は PR 上にインライン表示され、GitHub Copilotによるワンクリック autofix と reliability/maintainability スコアを提示する スキャンはGitHub Actions上で実行され、Actions minutes を消費する 適応度関数のコード品質カテゴリに該当する https://docs.github.com/en/code-security/concepts/about-code-quality

#Continuous Integration リポジトリ設定を policy-as-code で組織横断に宣言・適用する GitHub App（Probot ベース）。admin リポジトリに設定を集中管理し、各 repo の実設定を GitHub API 経由で宣言状態へ収束させる、repo 設定版の Infrastructure as Code。Platform Engineering の guardrails 実装の一つ 設定は admin repo の 3 階層（.github/settings.yml=org / suborgs/*.yml / repos/*.yml）で各 repo にマージ適用、優先度は repo > suborg > org full sync（CRON）で drift を検出・修正、PR では nop モードで dry-run 差分を提示 管理対象は GitHub API で扱う設定のみ（branch protection / labels / collaborators / teams / topics / custom properties / environments / rulesets 等）。ファイル内容は扱えず .github/workflows/*.yml の配布はできない（GitHub Actions の強制は ruleset / require workflows 経由） Organization 専用で個人アカウントでは動かない https://github.com/github/safe-settings

GitHubの planning & tracking ツール。Issue と Pull Request を集約し、カスタムフィールド付きの table / board / roadmap として可視化する user / organization レベルで管理され、item にメタデータ（date・single select・iteration 等、最大50フィールド）を付与できる table（表）/ board（かんばん）/ roadmap（タイムライン）の3レイアウトを切り替えられる built-in workflows で item の追加・変更時にフィールドを自動設定でき、GraphQL API や GitHub Actions でさらに細かく自動化できる https://docs.github.com/en/issues/planning-and-tracking-with-projects/learning-about-projects/about-projects

#Continuous Integration Terraform GitHub provider の resource で、GitHub リポジトリ内の単一ファイルの内容を宣言管理する（repository / file（パス）/ content / branch を指定し commit として反映）。 .github/workflows/*.yml を対象にすれば GitHub Actions のワークフローを配布でき、for_each で複数リポジトリへ撒ける コピーして終わりではなく宣言内容へ収束し続ける点が要: 配布先での手動編集も drift として plan で検出され apply で是正される https://registry.terraform.io/providers/integrations/github/latest/docs/resources/repository_file

#Continuous Integration GitHub の organization / enterprise レベル専用の ruleset ルールで、指定した GitHub Actions ワークフローの成功を PR マージの条件にする（正式名 "Require workflows to pass before merging"、旧 Required workflows）。各リポジトリにファイルを追加せず適用でき、GitHub Enterprise Cloud 等の GitHub Enterprise プランが必要。 repo 単位でチェック成功を必須化する別ルール require status checks とは別物 https://docs.github.com/en/enterprise-cloud@latest/repositories/configuring-branches-and-merges-in-your-repository/managing-rulesets/available-rules-for-rulesets

#Continuous Integration GitHub Actions が各 workflow run の開始時に自動発行する組み込みトークン。secrets.GITHUB_TOKEN または github.token で参照でき、その run 内で GitHub API / Git 認証に使う 実体は github-actions[bot] という GitHub App のインストールアクセストークンで、job が終わると失効する短命トークン（最長 24 時間） 特徴 権限は workflow の permissions キーで制御し、最小権限の付与が推奨される 権限のスコープは workflow が置かれたリポジトリに限定される GITHUB_TOKEN で起こしたイベントは新たな workflow run をトリガしない（再帰実行の防止）。このため bot 起点で後続 CI を回すには GitHub App トークンや PAT が必要になる https://docs.github.com/en/actions/security-for-github-actions/security-guides/automatic-token-authentication