GitHub Actions の secrets の公開範囲と permissions を最小限にする

GitHub Actions のセキュリティ上のプラクティスと、プラクティスを守れているかチェックするツールを紹介します。 ここで紹介するプラクティスは以下の 2 つです。 permissions は job 毎に明示的に設定し、デフォルトの権限を使用したり workflow 単位で権限を付与するのは避ける secrets は step 毎に設定し、 workflow や job の環境変数として設定するのは避ける ごく基本的なものですが、守れていない Workflow が数多く存在するはずです。 多くの Workflow は third party または内製の action や CLI ツールに依存しており、それらが改竄されて悪意のあるコードが Workflow で実行される可能性は常に存在します。その可能性を 0 にすることは不可能と言っても過言ではないので、改竄されて悪意のあるコー