Actions alleen op beveiligde branches
Iedereen die een branch kan pushen, kan de workflow wijzigen die erop draait, en die workflow ziet de secrets van de repository en van de organisatie. Workflows alleen op beveiligde branches uitvoeren sluit die route af: staat de schakelaar aan, dan draait een workflow alleen als de ref die hem startte een beveiligde branch is.
Standaard staat hij uit. Zet hem aan onder Beveiliging › Beleid › Repositoryregels (Bouwen en uitrollen › Omgevingen linkt daarheen), of met:
curl -X PUT -H "Authorization: Bearer ${FREMFORGE_PAT}" -H "Content-Type: application/json" \
-d '{"only_protected_branches": true}' \
"https://frem.sh/_app/api/v1/orgs/acme/security/actions-policy"Het token heeft policy:write nodig.
Wat wordt geweigerd
Met de schakelaar aan weigert de runner een job, tenzij:
- de ref een branch is,
refs/heads/<name>. Tag-pushes en elke andere ref worden geweigerd; - de repository een branchbeschermingsregel heeft waarvan de naam precies die branchnaam is. Een wildcardregel zoals
release/*telt niet.
Kan fremforge de branchbescherming van de repository niet lezen, dan wordt de job geweigerd in plaats van uitgevoerd.
Controleer hoe je workflows voor pull requests en tags worden gestart voordat je de schakelaar aanzet: een workflow die op een andere ref draait, wordt dan niet meer uitgevoerd.