◾️はじめに

https://dk521123.hatenablog.com/entry/2025/02/02/161957

で、別レポジトリ（クロスレポジトリ）のアクセスについて考えたが
以下の本で「第17章　GitHub Appsトークンによるクロスリポジトリアクセス」
が書かれていたので、実際にやってみた内容などをまとめておく

GitHub CI/CD実践ガイド――持続可能なソフトウェア開発を支えるGitHub Actionsの設計と運用エンジニア選書

作者:野村友規
技術評論社

Amazon

【１】Github Actionsで推奨されるクレデンシャル
　１）GITHUB_TOKEN
　２）デプロイキー (Deploy Key)
　３）GitHub Apps トークン
【２】Github Actionsで非推奨されるクレデンシャル
　１）Fine-grained personal access tokens
　２）個人アカウントから作成したSSHキー
　３）パーソナルアクセストークン (clasic)
【３】GitHub Appsの設定手順
　１）GitHub Appsの作成
　２）App ID取得およびトークン生成用の秘密鍵生成
　３）GitHub Appsをインストール
　４）Secrets にApp IDと秘密鍵を保存
　５）実装する
【４】GitHub Apps トークンの運用
　１）秘密鍵のキーローテーション

【１】Github Actionsで推奨されるクレデンシャル

* 以下の通り。（★がお勧めで、今回のテーマの一つ）

１）GITHUB_TOKEN
２）デプロイキー (Deploy Key)
３）GitHub Apps トークン ★

１）GITHUB_TOKEN

* 詳細は、以下の関連記事を参照のこと

Github Actions ～ GITHUB_TOKEN / permissions ～
https://dk521123.hatenablog.com/entry/2024/04/22/221027

デメリット

* トークンの権限は、ワークフローを含むリポジトリに限定されるため

２）デプロイキー (Deploy Key)

* 特定リポジトリ専用のSSHキー

デメリット

* Git によるコードの読み書きしかできないため
　GitHub APIの実行ができない
* アクセス可能なリポジトリは１つのみ

３）GitHub Apps トークン

* 利用時に都度発行される

メリット

* 有効期限が短いため、セキュア

構造

+-------- GitHub Apps ----------+  生成   +--------------------------+
|   秘密鍵(長命。事前に準備が必要)]  | -----> | GitHub Apps Token(短命) |
+-------------------------------+         +--------------------------+

【２】Github Actionsで非推奨されるクレデンシャル

以下１）〜３）いずれも
その個人がプロジェクトから離脱した時のことを考えると
本番運用には適していない

１）Fine-grained personal access tokens

cf. Fine-grained（ファイングレイン） = きめの細かい, 微粒子の

理由

* 有効期限が存在し、長期運用には不向き

２）個人アカウントから作成したSSHキー

理由

* リポジトリ単位のアクセス制御ができない（Organization関係なく全てにアクセスできる）

３）パーソナルアクセストークン (clasic)

理由

* アクセス制御が大雑把にしかできない

【３】GitHub Appsの設定手順

* 以下のサイトを参考にするのが良さそう

https://zenn.dev/suzutan/articles/how-to-use-github-apps-token-in-github-actions

１）GitHub Appsの作成

[1] GitHub Apps 作成ページに移動

* 以下のサイトに移動

https://github.com/settings/apps/new

[2] GitHub Apps 作成ページに移動

* 以下を入力し、「Create GitHub App」ボタン押下

* GitHub App name：任意の文字列（e.g. HelloWorldGoGo）
* Write: 任意の文字列（e.g. Hello world）
* Homepage URL: （e.g. https://dk521123.hatenablog.com）
---
* Webhook
 + Active : チェック外す
---
* Repository permissions(リポジトリレベルのパーミッション)
 + Contents: Read-only ... 別リポジトリのソースコードが取得可能になる
---
* Account permissions(個人アカウントレベルのパーミッション)
* Organization permissions(Organizationレベルのパーミッション)
 => 今回特に何も触らない
---
* Where can this GitHub App be installed?
 + Only on this account にチェック

２）App ID取得およびトークン生成用の秘密鍵生成

* 「１）GitHub Appsの作成」の続きとして、、、

[1] App IDをコピーしておく

* App ID: 1XXXXXX

[2] トークン生成用の秘密鍵生成

* 下スクロールして、「Private keys」欄の「Generate a private key」ボタン押下
 => 秘密鍵のファイル(<AppName>.YYYY-MM-DD.private-key.pem)がダウンロードされる

３）GitHub Appsをインストール

[1] GitHub Apps設定の左メニュー[Install App]を選択
[2] 「Install」ボタン押下し、インストールする
[3] [Only select repositories]を選択
[4] 「Select repositories」プルダウンを選択し、
　　使いたいリポジトリを選択(複数選択可能)
[5] 「Install」ボタン押下

４）Secrets にApp IDと秘密鍵を保存

Case1：Web UIから設定する場合
Case2：ghコマンドから設定する場合

GitHub CLI ～入門編～
https://dk521123.hatenablog.com/entry/2024/02/17/233836

Case1：Web UIから設定する場合

[1] 使用したいリポジトリに移動
[2] [Settings]-[Secrets and variables]を選択
[3] 「Secrets」タブを選択し「Merge environment secrets」ボタン押下
[4] 「New environment」ボタン押下
[5] 「Name」欄に任意の文字列（e.g. Sample）を入力し「Configure environment」ボタン押下
[6] 下スクロールで「Environment secrets」欄までいき、「Add secrets environment」ボタン押下

あとは必要なシークレットを登録する

APP_ID：1XXXXXX
PRIVATE_KEY：＜秘密鍵ファイルの内容＞

Case2：ghコマンドから設定する場合

# gh secret set 【シークレット名】 --body "【内容】"
gh secret set APP_ID --body "1XXXXXX"

# gh secret set 【シークレット名】<< "【ファイルパス】"
gh secret set PRIVATE_KEY << "【ファイルパス】"

５）実装する

on: push

jobs:
  hello-world:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/create-github-app-token@v1
         id: app-token
         with:
           app-id: ${{ secrets.APP_ID }}
           private-key: ${{ secrets.PRIVATE_KEY }}
           owner: another-owner
      - uses: actions/checkout@v4
         id: clone-private-repo
         with:
           repository: your-org/yout-private-repo
           token: ${{ steps.app-token.outputs.token }} # ★出力結果★
           path: your-tools

【４】GitHub Apps トークンの運用

１）秘密鍵のキーローテーション

* 目安は１年
* 複数登録可能なので、問題なければ、切り替える運用でOKそう
* 公式ドキュメントの以下の記述も参考

https://docs.github.com/ja/apps/creating-github-apps/authenticating-with-a-github-app/managing-private-keys-for-github-apps
https://docs.github.com/ja/apps/creating-github-apps/about-creating-github-apps/best-practices-for-creating-a-github-app#private-keys

ランキング参加中

プログラミング

プログラムの超個人的なメモ

Memo for Programming.

【Github】Github Actions ～クロスレポジトリアクセス～

◾️はじめに

目次

【１】Github Actionsで推奨されるクレデンシャル

１）GITHUB_TOKEN

２）デプロイキー (Deploy Key)

３）GitHub Apps トークン

【２】Github Actionsで非推奨されるクレデンシャル

１）Fine-grained personal access tokens

２）個人アカウントから作成したSSHキー

３）パーソナルアクセストークン (clasic)

【３】GitHub Appsの設定手順

１）GitHub Appsの作成

２）App ID取得およびトークン生成用の秘密鍵生成

３）GitHub Appsをインストール

４）Secrets にApp IDと秘密鍵を保存

５）実装する

【４】GitHub Apps トークンの運用

１）秘密鍵のキーローテーション

関連記事