GitHub Actions の Workflow の改変を防ぐ

GitHub Actions の Workflow や Workflow 用のスクリプトの変更を防いでセキュリティを改善するための OSS を開発しているので紹介します。 背景 GitHub Actions は非常に便利ですが、 Workflow を書き換えて任意のコマンドを実行できるという、セキュリティ的なリスクがあります。 例えば GitHub Actions で Terraform を実行して AWS や GCP の IaC を実現している場合、 Workflow を書き換えて terraform destroy を実行して インフラを破壊するといったことが考えられます。 GitHub App が使われている場合、 Workflow を書き換えて GitHub App で悪意のある Pull Request を approve したり、はたまた GitHub App で Pull R

[onesplat]

めんどくさw

[sora_h]

Workflowを直接変更せずともいくらでも穴はつけるからレビューちゃんとしようね以外の感想が思い浮かばない。workflow_dispatchだと元イベントそのままでなくID token subの中身含めていろいろ標準から出来ること減らない？

[yyamano]

バッドノウハウの匂いがするけど、他に解決方法を思いつかない。