GitHub Actions、ワークフロー依存関係のロックファイルをパブリックプレビューで提供

　GitHubは10月14日（現地時間）、GitHub Actionsのワークフロー依存関係ロックファイルのパブリックプレビューを開始した。GitHub Enterprise Cloud（データレジデンシー付きを含む）、Team、Freeプランで利用できる。タグやブランチの参照を残したまま、ロックしたコミットを実行できる。

　タグやブランチはレビュー後に移動する可能性がある。アクションが侵害された場合には、リポジトリを変更しなくても悪意あるコードが入り込むおそれがある。ロックファイルは実行をロックしたコミットに結び付けることで、こうした予期しない変更を防ぐ。ただし依存関係自体の安全性は判断しないため、ロック前にレビューが必要となる。

　ロックファイルはGitHub CLI拡張機能「gh actions-lock」で作成・管理する。アクションとその推移的依存関係、再利用可能なワークフローの依存関係のコミットを記録した.github/workflows/actions.lockを生成でき、ワークフローごとに段階的に導入できる。導入済みワークフローでは全依存関係のエントリーが必要となり、記録されたコミットが実行される。ファイルを変更せずにロックファイルが最新かを確認でき、CIでも利用可能だ。

　Enterprise、Organization、リポジトリの管理者がロックファイルの使用を必須にできる「Require lockfile」ポリシーもパブリックプレビューとなった。Dependabotは、導入済みワークフローのアクション更新時に、対応するロックファイルのエントリーを同じプルリクエストで再生成する。