業務で使えるかもしれない…！？GitHub Actions の Tips 集 / CI/CD Test Night #7

Slide 1

Slide 1 text

Slide 2

Slide 2 text

© DeNA Co., Ltd. 2 Yuya Koda 昨年9月に DeNA の SWET チームに Join しました。業務では全社向けに提供している GitHub Actions self-hosted runner をいい感じにしています。最近のマイブームはボルダリングと Bluesky でどうでもいい日常をつぶやくことです。 DeNA 品質本部品質管理部 SWET 第二グループ ponkio_o © DeNA Co., Ltd. 自己紹介 koday.me

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

© DeNA Co., Ltd. 7 2 matrix job とは ● jobs..strategy.matrix に渡す情報から複数の Job を並列で実行できる機能 ● 例えば「バージョンと OS の組み合わせ」を事前に定義しておくことで、同じ Job の定義でバージョンと OS の値だけを差し替えて、並列で実行させることができる ○ 単なる配列の他に Map も設定可能 ○ 並列実行の上限を指定したり、値の上書きや除外などもできる → 工夫次第で幅が広がる Actions の便利機能の1つ

Slide 8

Slide 8 text

Slide 9

Slide 9 text

© DeNA Co., Ltd. 9 4 Input に JSON が使える ● 公式ドキュメントの Using a matrix for your jobs のページには記載がないが、 Expressions に記載がある ● 使い方は jobs..strategy.matrix に JSON を渡すだけ ○ 文字列として組み立てた場合には fromJSON() として受け取ることで matrix に展開することができる ○ GitHub Actions の各種コンテキストは JSON で渡ってくるのでそのまま渡せば使える

Slide 10

Slide 10 text

Slide 11

Slide 11 text

© DeNA Co., Ltd. 11 5 JSON を応用した使い方これを使うと Workflow で利用する値を外部注入できるので、様々な応用ができる ● GitHub Actions の Contexts の情報を用いる ○ PR に付与されるラベルに応じて Job を組み立てたり、Workflow Dispatch の Input で動的に Job を組み立てるなど ○ Contexts はもともと JSON で渡ってくるので fromJSON() 不要 ● リポジトリ内の YAML や JSON ファイルに値を切り出す ○ Workflow からは checkout 後に対象のファイルを読んで fromJSON() するだけ

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Slide 26

Slide 26 text

© DeNA Co., Ltd. 26 6 ここまでをおさらい ● Branch Protection には複数の Job を設定可能 ○ ただし設定した「すべての Job」を PASS させる必要がある ● GitHub Actions 組み込みの paths フィルターは、Workflow 全体を制御するため Branch Protection に設定した Job を内包する Workflow に対しては利用できない ○ 条件を満たさずに実行されなかった Job は Pending になるため → 条件に応じて Job を出し分けつつ、Branch Protection の Job を Pending にさせたくない

Slide 27

Slide 27 text

Slide 28

Slide 28 text

© DeNA Co., Ltd. 28 7 dorny/paths-filter を利用したフィルタリング ● 前述のように Branch Protection で指定した Job を内包する Workflow が存在する場合、その Workflow は必ず実行する必要がある ○ 組み込みの paths フィルターとの相性が悪い ● ステータスチェックを利用しつつ、Job のフィルタリングを実現するためのワークアラウンドとして「フィルタリング用の Job」を設けるやり方がある ○ Workflow 全体でフィルタリングせずに Job を出し分ける ○ それを実現できるのが dorny/paths-filter

Slide 29

Slide 29 text

Slide 30

Slide 30 text

Slide 31

Slide 31 text

Slide 32

Slide 32 text

Slide 33

Slide 33 text

© DeNA Co., Ltd. 33 ステータスチェックが PASS する条件 ● Branch Protection で指定した Job が成功として扱われる(PASS する)条件は複数ある ○ Job が正常終了した場合 ■ よくある exit 0 で終了するパターン ○ jobs..if によってスキップされた場合 ■ フィルタリングによって Job が実行されないパターン ● スキップが許されるのは Workflow ではなく Job である点に注意 ○ Workflow の場合には Pending になる (前スライド参照) → これを踏まえて「ステータスチェック用の Job」を組み立てる 11

Slide 34

Slide 34 text

Slide 35

Slide 35 text

Slide 36

Slide 36 text

Slide 37

Slide 37 text

Slide 38

Slide 38 text

Slide 39

Slide 39 text

Slide 40

Slide 40 text

© DeNA Co., Ltd. 40 2 GITHUB TOKEN は Workflow をトリガーできない ● GITHUB_TOKEN を利用してコミットを積むことができる ○ 例えば formatter によるフォーマットの修正を自動でコミットするなど ● ただし GITHUB_TOKEN によるコミットは Workflow をトリガーできない ○ > For example, if a workflow run pushes code using the repository's GITHUB_TOKEN, a new workflow will not run even when the repository contains a workflow configured to run when push events occur. ● そのため Branch protection が設定されている場合には GitHub App で発行した Token もしくは PAT の利用が必要になる ○ GITHUB_TOKEN の場合にはトリガーされないため Pending で止まる

Slide 41

Slide 41 text

© DeNA Co., Ltd. 41 3 権限について ● デフォルト付与されている権限がまあまあ広い ○ ドキュメントの Permissions for the GITHUB_TOKEN に記載がある通り ● Workflow や Job レベルで必要最低限のものを付与するのが良い ○ permissions もしくは job..permissions で設定可能 ○ そもそも不要な場合には permissions:{} で無効化できる ● 1つでも permissions を指定した場合には、指定されたもの以外が暗黙的に拒否されるため注意 ○ 「OIDC を利用したくて id-token: write だけ指定したら checkout できなくなった」など

Slide 42

Slide 42 text

© DeNA Co., Ltd. 42 4 　4 Tips: suzuki-shunsuke/ghalint で設定をチェックする @szkdash さん作の OSS で、GITHUB_TOKEN に限らず GitHub Actions の Workflow に関する様々なセキュリティプラクティスを適用するための Linter https://github.com/suzuki-shunsuke/ghalint

Slide 43

Slide 43 text