Kompatibilitet för de 20 mest använda Marketplace-actions

De flesta Marketplace-actions fungerar på fremforge utan ändringar, eftersom fremforges runners hämtar actionkoden via pull-speglar i Forgejo av upstream-utgivare på GitHub, som drivs av fremverk. Ett arbetsflödes uses: actions/checkout@v4 pekar på https://frem.sh/actions/checkout, en pull-spegel i Forgejo av github.com/actions/checkout som synkas från upstream var 8:e timme. Ingen körning av ett kundarbetsflöde når github.com direkt: runners ser bara den speglade kopian, som lagras inom EU, vilket uppfyller åtagandet i DPA:ns bilaga A.6. Forgejo Actions-miljön exponerar samma miljövariabler som GitHub Actions (GITHUB_TOKEN, GITHUB_SHA, GITHUB_REF, GITHUB_API_URL osv.), så ett arbetsflödes direktiv uses: actions/checkout@v4 går genom spegeln utan att du märker det.

Speglade upstream-utgivare (per 2026-06-02)

Följande utgivare på GitHub speglas som pull-speglar i Forgejo på frem.sh och fungerar direkt från alla kundarbetsflöden:

• actions/ — checkout, setup-node, setup-python, setup-go, setup-java, setup-dotnet, upload-artifact, download-artifact, cache
• docker/ — login-action, setup-buildx-action, build-push-action
• pnpm/ — action-setup
• step-security/ — harden-runner
• aws-actions/ — configure-aws-credentials
• azure/ — login
• google-github-actions/ — auth
• peter-evans/ — create-pull-request
• dorny/ — paths-filter, test-reporter
• softprops/ — action-gh-release
• sonarsource/ — sonarcloud-github-action

Om du behöver en action från en utgivare som inte finns i listan ovan, skicka en begäran om spegling. Vi lägger till en ny pull-spegel av github.com/<publisher>/<repo>, och ditt arbetsflöde körs utan problem vid nästa start. Begäranden om spegling är normalt klara inom en arbetsdag. Reserverade utgivarnamn (aws-actions, azure, microsoft, sigstore osv.) är låsta i förväg i Forgejos identitetslager, så att ingen kundorganisation kan ockupera dem och smuggla in skadlig kod i dina arbetsflöden.

Den här matrisen täcker de 20 mest nedladdade actions. Posterna är märkta med sin verifieringsnivå:

• Kodgranskad: bedömd utifrån actionens källkod och rapporter från Forgejo-communityn; ännu inte körd på en fremforge-driven runner i drift.
• Runner-verifierad: körd på en riktig fremforge-driven runner; resultatet är bekräftat i praktiken.

Runner-verifierade poster tillkommer i takt med att checklistan med lanseringsblockerare för fas 1 betas av.

Teckenförklaring

• ✅ Fungerar som den är: körs oförändrad; arbetsflöden flyttas över utan ändringar.
• ⚠️ Fungerar med anmärkning: körs, men ett visst beteende skiljer sig eller en förutsättning måste vara uppfylld. Anmärkningen beskriver vad du ska göra.
• 🔧 Behöver wrapper: en liten wrapper eller sammansatt action återställer kompatibiliteten. Koden för wrappern tillhandahålls.
• ❌ Ingen motsvarighet: beror på infrastruktur som bara finns hos GitHub och kan inte köras mot fremforge. Ett alternativ rekommenderas.

Vad som täcks

De 20 mest använda actions på GitHub Marketplace vid lanseringen. Listan ses över varje kvartal; en action som faller ur topp 20 ligger kvar i matrisen tills användningsdata tar bort den.

Kompatibilitetsmatris

Konfigurera OIDC-federering

Actions som använder OIDC (azure/login, aws-actions/configure-aws-credentials, google-github-actions/auth) kräver ett engångssteg för att registrera fremforge som betrodd OIDC-utfärdare hos molnleverantören.

fremforges OIDC-discovery-endpoint: https://frem.sh/_app/runner/oidc/.well-known/openid-configuration (en enda global endpoint för alla organisationer; iss-claimet i varje token som en runner utfärdar är https://frem.sh/_app/runner/oidc). Isoleringen av förtroende per organisation upprätthålls genom att molnets villkor i förtroendepolicyn låses till JWT-claimet repository_owner, samma mönster som i GitHub Actions.

Fullständiga steg-för-steg-instruktioner för Azure AD, AWS IAM och GCP Workload Identity finns i runbooken för OIDC för runners.

Bygga container-images

docker build och docker compose körs direkt på runnern; docker/build-push-action och docker/setup-buildx-action fungerar oförändrade (se Runner-images för runnermodellen och tillgången till Docker). kaniko är förinstallerat som ett alternativ utan daemon när du vill ha snabbare kallstart eller lagercache i ett fjärregister:

- name: Build + push image (kaniko)
  run: |
    /usr/local/bin/kaniko \
      --context=$GITHUB_WORKSPACE \
      --dockerfile=Dockerfile \
      --destination=registry.example.com/$GITHUB_REPOSITORY:$GITHUB_SHA

För att bara kopiera, tagga om eller pusha images mellan register fungerar det förinstallerade skopeo utan en Docker-daemon. Se Runner-image för hela mönstret.

När du hittar en lucka

Om du hittar en Marketplace-action som borde finnas bland de 20 mest använda och vi inte har angett dess kompatibilitet, eller en action i listan som inte beter sig som beskrivet, skicka ett ärende till support@frem.sh med en ämnesrad som börjar med MARKETPLACE COMPAT -. Vi verifierar och uppdaterar matrisen.

Utöver topp 20

De flesta andra Marketplace-actions fungerar bara. Undantagen är actions som:

• Förlitar sig på interna API-endpoints hos GitHub (Codespaces-API, Copilot-API, API:t för GitHub Packages containerregister utöver vanlig OCI push/pull).
• Hårdkodar GitHubs OIDC-utfärdar-URL (https://token.actions.githubusercontent.com) i stället för att läsa ACTIONS_ID_TOKEN_REQUEST_URL.
• Kräver GitHub-specifik autentisering utöver GITHUB_TOKEN.

För overifierade actions utanför topp 20: prova. De flesta fungerar. De få som inte gör det dokumenterar vi, och antingen levererar vi en wrapper eller tar upp luckan i migreringsguiderna.

Se även

• Runner-images, tillgängliga runner-etiketter och vilken image varje etikett motsvarar.
• OIDC för runners, konfigurera förtroende hos molnleverantören för actions som autentiserar med OIDC.
• Migreringsguider, hur referenser till Marketplace-actions flyttas vid en plattformsmigrering.
• Publikt REST-API, fremforges API för actions som behöver anropa plattformen.