GitHub Actions Workflow Security

概要

GitHub Actions ワークフローのセキュリティ強化スキル。4つの専門エージェントによる包括的なセキュリティ対策を提供します。

エージェント構成

ワークフロー

Phase 1: セキュリティ評価

目的: 現状のワークフローセキュリティを評価

アクション:

1. permission-auditor で権限設定を監査
2. secret-protector でシークレット露出リスクを確認
3. supply-chain-guard でサードパーティアクションを検証

Phase 2: セキュリティ強化

目的: 特定されたリスクへの対策実施

アクション:

1. 権限の最小化（ジョブ/ステップレベル）
2. シークレット参照パターンの安全化
3. アクションのSHA固定化
4. PRワークフローのセキュリティ設計

Phase 3: 検証と継続監視

目的: 対策の有効性確認と継続的監視

アクション:

1. scripts/validate-skill.mjs でスキル構造検証
2. セキュリティチェックリストによる確認
3. scripts/log_usage.mjs で実行記録

Task仕様ナビ

ベストプラクティス

すべきこと

• ワークフロー作成時に permission-auditor で権限を最小化する
• サードパーティアクション追加時に supply-chain-guard で検証する
• PRワークフロー設計時に pr-workflow-specialist でセキュリティ確認する
• シークレット使用箇所で secret-protector のパターンに従う
• 定期的にワークフロー全体のセキュリティ監査を実施する

避けるべきこと

• permissions: write-all のような過剰な権限付与
• タグ参照（@v4）のみでのアクション使用（SHA固定なし）
• pull_request_target でのFork PRコード直接チェックアウト
• シークレットの環境変数への無条件展開
• 未検証サードパーティアクションの本番使用

リソース参照

エージェント

リファレンス

スクリプト

アセット

変更履歴