#Continuous Integration Terraform GitHub provider の resource で、org 単位の ruleset を宣言する。conditions の repository_name(include/exclude) または repository_id で対象 repo 群を絞る。 rules に各種ルールを宣言でき、特に org/enterprise 専用の required_workflows（require workflows）を扱えるのが repo 単位版との違い https://registry.terraform.io/providers/integrations/github/latest/docs/resources/organization_ruleset

#Security #Continuous Integration LayerX のコーポレートエンジニアリング室（アプリケーショングループ）による、ソフトウェアサプライチェーン攻撃対策の運用事例（2026-02 の発表）。使う技術を絞り、少人数でもスケールする状態を目指す。 依存を pin する: lockfile（pnpm-lock.yaml・go.sum）に加え、GitHub Actions の pinning を CI で強制。org ruleset の require workflows で org 全体に共有 workflow を適用し、その共有 workflow で pinact を実行して未 pin の action を検知。Docker イメージは sha256、CI/CD ツールは aqua で checksum 検証 cooldown: リリースから N 日以内のパッケージを入れない（pnpm・Renovate の minimumReleaseAge、Dependabot の cooldown.default-days）。security fix のみ人間確認後に minimumReleaseAgeExclude で除外 まとめ: 迅速な修正・pinning・cooldown に加え、検知・遮断・影響範囲の局所化も併せて進める https://speakerdeck.com/yuyatakeyama/supply-chain-security-at-layerx-corporate-engineering

#Continuous Integration リポジトリ設定を policy-as-code で組織横断に宣言・適用する GitHub App（Probot ベース）。admin リポジトリに設定を集中管理し、各 repo の実設定を GitHub API 経由で宣言状態へ収束させる、repo 設定版の Infrastructure as Code。Platform Engineering の guardrails 実装の一つ 設定は admin repo の 3 階層（.github/settings.yml=org / suborgs/*.yml / repos/*.yml）で各 repo にマージ適用、優先度は repo > suborg > org full sync（CRON）で drift を検出・修正、PR では nop モードで dry-run 差分を提示 管理対象は GitHub API で扱う設定のみ（branch protection / labels / collaborators / teams / topics / custom properties / environments / rulesets 等）。ファイル内容は扱えず .github/workflows/*.yml の配布はできない（GitHub Actions の強制は ruleset / require workflows 経由） Organization 専用で個人アカウントでは動かない https://github.com/github/safe-settings