より大きなランナーへのアクセスの制御

大規模ランナーへのアクセスを管理する

メモ

ワークフローでジョブをより大きなランナーに送信するには、まずランナーグループのアクセス許可を構成する必要があります。詳しくは、以下のセクションをご覧ください。

ランナーグループは、より大きなランナーでジョブを実行できるリポジトリを制御するために使用されます。より大きなランナーを定義した場所に応じて、管理階層の各レベルからグループへのアクセスを管理する必要があります。

**エンタープライズレベルのランナー:**既定では、Organization 内のリポジトリは Enterprise レベルのランナーグループにアクセスできません。リポジトリに Enterprise ランナーグループへのアクセス権を付与するには、Organization の所有者が各 Enterprise ランナーグループを構成し、アクセスできるリポジトリを選ぶ必要があります。
**組織レベルのランナー:**既定では、Organization 内のすべてのリポジトリに、Organization レベルのランナーグループへのアクセス権が付与されます。アクセスできるリポジトリを制限するには、Organization の所有者が Organization ランナーグループを構成し、アクセスできるリポジトリを選ぶ必要があります。

たとえば、次の図には、Enterprise レベルに grp-ubuntu-24.04-16core という名前のランナーグループがあります。 octo-repo という名前のリポジトリがグループ内のランナーを使用できるようにするには、まず、octo-org 組織へのアクセスを許可するようにエンタープライズレベルでグループを構成する必要があります。次に、octo-repo へのアクセスを許可するように組織レベルでグループを構成する必要があります。

Enterprise レベルで定義されたランナーグループと、2 つのリポジトリへのアクセスを許可する Organization 構成を示す図。

組織のランナーチームを作成する

警告

固定 IP 範囲を使っている場合、プライベートリポジトリにはより大きなランナーのみを使うことをお勧めします。ワークフロー内でコードを実行する pull request を作成することで、リポジトリのフォークによって、より大きなランナー上で危険なコードが実行される可能性があります。

メモ

ランナーグループを作成するときは、ランナーグループにアクセスできるリポジトリを定義するポリシーを選択する必要があります。どのリポジトリとワークフローがランナーグループにアクセスできるかを変更するには、組織の所有者を持つユーザーが、組織のポリシーを設定できます。詳しくは、「企業でGitHub Actionsのポリシーを適用する」をご覧ください。

すべての Organization には、単一の既定のランナーグループがあります。

GitHub Teamプランを使用する組織の所有者追加の組織レベルのランナーグループを作成できます。

登録プロセスでグループを指定しなかった場合、ランナーは自動的に既定のグループに追加されます。後で、ランナーを既定のグループからカスタムグループに移動することができます。

REST API を使ってランナーグループを作成する方法については、「GitHub Actionsの REST API エンドポイント」を参照してください。

GitHub で、organization のメインページに移動します。
Organization 名の下で、[ Settings] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウンメニューを選び、 [設定] をクリックします。
左側のサイドバーで、 [Actions] をクリックしてから [Runner groups] をクリックします。
"ランナーグループ" セクションで、 [新しいランナーグループ] をクリックします。
ランナーグループの名前を入力します。
リポジトリアクセスのポリシーを割り当てます。

ランナーグループは、特定のリストのリポジトリまたは組織のすべてのリポジトリにアクセスできるように構成できます。既定では、ランナーグループのランナーにアクセスできるのはプライベートリポジトリのみですが、これはオーバーライドできます。エンタープライズによって共有された組織のランナーグループを構成する場合、この設定をオーバーライドすることはできません。
[グループの作成] をクリックしてグループを作成し、ポリシーを適用します。

ランナーグループにアクセスできるリポジトリを変更する

警告

組織のランナーグループの場合、組織内のどのリポジトリがランナーグループにアクセスできるかを変更できます。

ランナーグループが配置されている組織のメインページに移動します。
[Settings] をクリックします。
左側のサイドバーで、 [Actions] をクリックしてから [Runner groups] をクリックします。
グループのリストで、構成するランナーグループをクリックします。
「リポジトリアクセス」で、ドロップダウンメニューを使って [選択したリポジトリ] をクリックします。
1. ドロップダウンメニューの右側にあるをクリックします。
2. ポップアップで、チェックボックスを使って、このランナーグループにアクセスできるリポジトリを選択します。
[グループの保存] をクリックします。

より大きなランナーのプライベートネットワークアクセスの構成

Azure VNET での GitHub ホストランナーを使用できます。これにより、ランナーのネットワークポリシーを完全に制御しながら、CI/CD の GitHub マネージドインフラストラクチャを利用することができます。 Azure VNET の詳細については、Azure ドキュメントの「Azure Virtual Network とは」を参照してください。

Azure VNET に接続するように organization を構成している場合は、ランナーグループに仮想ネットワークへのアクセス権を付与できます。詳しくは、「GitHubホストランナーを使用したプライベートネットワーク」をご覧ください。

ネットワーク構成を持つランナーグループに macOS より大きなランナーを割り当てることはできません。同様に、macOS より大きなランナーを含むランナーグループにネットワーク構成を追加することはできません。

ランナーグループの名前を変更する

ランナーグループが配置されている組織のメインページに移動します。
[Settings] をクリックします。
左側のサイドバーで、 [Actions] をクリックしてから [Runner groups] をクリックします。
グループのリストで、構成するランナーグループをクリックします。
[グループ名] のテキストフィールドに新しいランナーグループ名を入力します。
[保存] をクリックします。

ランナーをグループに移動する

登録プロセス中にランナーグループを指定しない場合、新しいランナーは、自動的に既定のグループに割り当てられ、その後別のグループへの移動が可能となります。

GitHub で、organization のメインページに移動します。
Organization 名の下で、[ Settings] をクリックします。 [設定] タブが表示されない場合は、 [] ドロップダウンメニューを選び、 [設定] をクリックします。
左側のサイドバーで、 [Actions] をクリックしてから [Runners] をクリックします。
"ランナー" の一覧で、構成するランナーをクリックします。
[ランナーグループ] ドロップダウンを選択します。
"ランナーをグループに移動" で、ランナーの移動先グループを選択します。

ランナーグループを削除する

ランナーグループを削除するには、まず、グループからすべてのランナーを移動するか削除する必要があります。

ランナーグループが配置されている組織のメインページに移動します。
[Settings] をクリックします。
左側のサイドバーで、 [Actions] をクリックしてから [Runner groups] をクリックします。
グループの一覧で、削除するグループの右側にあるをクリックします。
グループを削除するには、 [グループの削除] をクリックします。
確認プロンプトを確認し、 [Remove this runner group](このランナーグループの削除) をクリックします。