Actions bare på beskyttede brancher
Alle som kan pushe en branch, kan endre workflowen som kjører på den, og den workflowen ser secrets for både repositoryet og organisasjonen. Kjør workflower bare på beskyttede brancher stenger den veien: når den er slått på, kjører en workflow bare når ref-en som utløste den, er en beskyttet branch.
Den er slått av som standard. Slå den på under Sikkerhet › Policyer › Regler for repositoryer (Bygg og utrulling › Miljøer lenker dit), eller med:
curl -X PUT -H "Authorization: Bearer ${FREMFORGE_PAT}" -H "Content-Type: application/json" \
-d '{"only_protected_branches": true}' \
"https://frem.sh/_app/api/v1/orgs/acme/security/actions-policy"Tokenet trenger policy:write.
Hva den nekter
Når bryteren er på, nekter runneren en jobb med mindre:
- ref-en er en branch,
refs/heads/<name>. Push av tagger og alle andre ref-er nektes; - repositoryet har en regel for branchbeskyttelse med nøyaktig det samme navnet som branchen. En jokertegnregel som
release/*teller ikke.
Hvis fremforge ikke kan lese repositoryets branchbeskyttelse, nektes jobben i stedet for å kjøres.
Sjekk hvordan workflowene dine for pull requests og tagger utløses før du slår den på: en workflow som kjører på en annen ref, vil ikke kjøre.