アクションを呼び出すワークフローファイルを作成する
作成したアクションを呼び出してみましょう。
.github/workflowsフォルダにcall-actions.ymlを作成し、以下の内容を記載します。
name: Call Actions
on:
push:
jobs:
call-actions-job:
runs-on: ubuntu-latest
steps:
- name: Checkout Repository
uses: actions/checkout@v4
- name: Show message
uses: ./.github/actions/thanks
リポジトリ内に配置するプライベートアクションを実行する場合、リポジトリをチェックアウトする必要があります。そのため、actions/checkout@v4を利用します。その後、usesキーを使って先ほど作成したアクションを格納しているフォルダへのパスを相対パスで指定します。
リポジトリにpushされるとワークフローが実行され、以下のようにメッセージが表示されます。
自作アクションを呼び出すことができました！
今回作ったアクションは、ランダムに選択されたメッセージがワークフローの実行ログとして表示されます。例えばプルリクエストの作成をイベントに指定し、プルリクエストのコメントとしてメッセージを投稿するようにすれば、ちょっとしたお楽しみ要素にもなりそうです。
ワークフローが増えてくると、ワークフロー間で重複する処理が出てきたり、統一したログを出力したりしたくなるでしょう。そんなときにアクションはぴったりです。小さなところから始めてみてください。
最後に今回作成したファイルの構成を記載します。
repo/
┗━ .github/
┣━ actions/
┃ ┗━ thanks/
┃ ┣━ action.yml
┃ ┗━ index.js
┗━ workflows/
┗━ call-actions.yml
セキュリティ
とても便利なアクションですが、特に公開されているアクションを利用する場合は注意が必要です。悪意がある第三者が作成したアクションを利用してしまった場合、リポジトリのデータや機密情報の流出や改ざんという恐れもあります。
GitHub Marketplaceでは、GitHubがパートナー組織として認証しているコミュニティが作成したアクションにはバッチが表示されています。ただし、このアクション自体の安全性を担保するものではありません。選ぶときの一つの指標とするのが良いでしょう。
信頼できる作者であること、アクションの指定にはアクションのコミットSHAを指定するなど、対策をしましょう。以下のページにはアクションも含めたGitHub Actionsのセキュリティ強化に関してまとめられています。一読することをおすすめします。
まとめ
今回は以下の内容を取り上げました。
- アクションの基本
- アクションを作ってみる
いよいよ最終回となる次回は、CI/CDに取り組みやすくするためのポイントを紹介します。
