GitHub Actions から AWS へのアクセスに利用している OpenID Connect ID Provider の thumbprint について調査した - ROUTE06 Tech Blog
ROUTE06 でエンジニアリングマネージャ兼ソフトウェアエンジニアとして働いております海老沢 (@satococoa) と申します。 先日発生した GitHub Actions と AWS の OpenID Connect 連携におけるトラブルに関して調査を行い、対応方針を策定した件を共有したいと思います。 [2023/07/10 追記] Thumbprint を明示的にユーザ側で設定しなくて良いように、AWS 側で対応されたそうです。 github.com 当面 Terraform のモジュール的には必須入力のままですが、任意の文字列で良いそうです。 （いずれ入力も不要になるのかと思います。） https://github.com/aws-actions/configure-aws-credentials/issues/357#issuecomment-1626357333 The A
Personal Access TokenからGitHub Appsに移行する
スタディスト開発部の松野です。最近GitHub Actions上でGitHub GraphQL APIを使って情報を取得する機会が多くありました。そこでGitHub Appsなるものを知り、使ってみたのでその紹介をしたいと思います。 結論(TL;DR)GitHub Actions から GitHub API を叩く際の認証と認可でどの仕組みを使うか検討したPersonal Access TokenやOAuth Appを使うと、ユーザー個人に紐づく仕組みのため色々やり辛い社内用の GitHub Appsを作成し、そのPrivate keyからAccess Tokenを生成する方法で解決GitHubと連携するための仕組みGitHubには、作成しているツールとGitHubとの連携を容易にする仕組みとして、GitHub Apps、OAuth App、Personal Access Tokenがあり
GitHub - ossf/allstar: GitHub App to set and enforce security policies
Allstar is a GitHub App that continuously monitors GitHub organizations or repositories for adherence to security best practices. If Allstar detects a security policy violation, it creates an issue to alert the repository or organization owner. For some security policies, Allstar can also automatically change the project setting that caused the violation, reverting it to the expected state. Allsta
スタートアップ初期フェーズなどでgithubセキュリティを最低限やりたいときは、ossf/allstarとか使ってみてもいいかも
現在勤めている企業では、OPA/Regoを利用して自作して対応したのですが、 zennでは「最低限動いてチェックできればいい」を実現するにはどうするかを書いてみようかなと思います。 最低限なにをチェックしたいか RepositoryがPrivateである事 DefaultブランチがProtectedされている事 DefaultブランチへのForce Pushが禁止されている事 DefaultブランチへのマージにはApproveが必要である事 Approve後にcommitしたら再度Approveが必要である事 ここでは最低限を上記の通り定義しておきます。 意図としては、プロダクトコードがインターネット上で誰でも見える状態ではなく、更にProduction=Mainブランチであると仮定したときに、Productionに悪意・ミスによる変更を加えないようにする為。 ※勿論これだけで守れるわけで
GitHub Apps経由で発行したtokenを用いて、GitHub Actionsで使う
モチベーション github action で、secrets.GITHUB_TOKEN の権限を超えて GitHub を操作する場合、Personal Access Token を使って操作することが多い。 Personal Access Token はセキュリティの都合上、有効期限を設定することがベターとされており、無期限で作成したくない。 個人で管理する repo などであれば ↑ でも問題ないが、Organization で複数人が管理する場合、個人の Access Token を使うことはそもそも避けたい。 GitHub Apps を用いてチーム管理 Token を払い出す（意訳）ことで、Personal Access Token に依存せずに、secrets.GITHUB_TOKEN の権限を超えて GitHub を操作できるようにする。 ゴール Organization 配下
GitHub - docker/awesome-compose: Awesome Docker Compose samples
Icon indicates Sample is compatible with Docker Dev Environments in Docker Desktop version 4.10 or later. Icon indicates Sample is compatible with Docker+Wasm. ASP.NET / MS-SQL - Sample ASP.NET core application with MS SQL server database. Elasticsearch / Logstash / Kibana - Sample Elasticsearch, Logstash, and Kibana stack. Go / NGINX / MySQL - Sample Go application with an Nginx proxy and a MySQL
GitHub Enterprise Serverの管理が面倒だからGitHub Enterprise Cloudに移行したい人（企業）へ
ブックマークサービスQiNeel関連の記事や身の回りのよしなしごとをそこはかとなく書きつくっています。 ごめんなさい。やんごとなき事情により書けなくなりました。 大掛かりなイベントなので運営の方も最後まで決断を迷われたと思いますし個人的にもとても楽しみにしていたのですが、何かあってからでは遅いので賢明な判断だと思います。 発表スライドは大事に取っていますが、今回の発表内容はしばらく他のイベントで話しちゃダメだよと言われたのでまだ公表できません。 というわけで、急遽またGitHubネタでいきます。 GitHub Enterprise Server（以下GHES）とGitHub Enterprise Cloud（GHEC）の違いは去年の記事に書いたとおりで、一言でいうとGHES＝オンプレ版、GHEC＝クラウド版（https://github.com/）です。 この中で、GHESはオンプレだから
GitHub Enterprise Q&A
ブックマークサービスQiNeel関連の記事や身の回りのよしなしごとをそこはかとなく書きつくっています。 最近会社でGitHub Enterpriseであんなことやこんなことをやっています。 中の人といろいろやりとりした結果も含めてQ&Aを作りました。 職場でGitHub Enterpriseの導入を検討している方は参考にしてみてください。 基礎編 GitHub Enterpriseって何？ 企業用のGitHubです。 以前までは「GitHub Enterprise＝オンプレ版GitHub」でしたが、今はオンプレ版はGitHub Enterprise Server（GHES）、クラウド版はGitHub Enterprise Cloud（GHEC）として分離されています。 クラウド版って何？
GitHub Actionsで実現する、APIキー不要でGitOps-likeなインフラCI/CD - JX通信社エンジニアブログ
※ 今はGitHub ActionsでOIDCが使えるので、本記事の内容は少し古いです。*1 現場のルール等で「インフラを触るワークロードはオンプレでしか動かしてはならない」みたいなルールがある場合には多少参考になるかと思います。 SREのたっち(@TatchNicolas)です。 JX通信社では「インフラチーム」のようなものは存在せず、開発したチームが運用までやるFull-cycleなスタイルを取っています。AWS・GCPリソースの管理も特定のメンバーが担当するのではなく、必要とする人が必要な時に作成・修正等を行います。すると、terraformなどIaCのツールを利用する場合に「今リポジトリにあるコードは実態を正しく反映しているのか」「誰かが矛盾する変更を加えていないか」という問題が発生します。 CIツール上でterraformを実行することで、問題の一部は回避できるかもしれませんが、
GitHub organizationsのメンバー管理をするTerraformを整備して、そのCIをGitHub Actionsで実現した話 - 実はhokkai7go
はじめに GitHub Enterprise(以下GHE)から github.com へと移行するのが社内のトレンドになりつつあります。renovateの利用も活発です。自分は組織横断的なSREチームにいますが、インフラだけでなくGHEや github.com のorganizationsの管理もやっています。 なぜGitHub organizationsの管理をTerraformでやろうとしたのか 本質的な作業ではないと思うものの、入退社のたびに操作を行う人が発生します。属人化したいものではないのと、他チームメンバーでも操作しやすくするためにコード管理したいとおもいました。自分の所属している組織横断的なSREチームでは、ほかチームのメンバーの増減について詳しく知らないので、各チームからチームメンバーの追加/削除のPRがほしいと考えました。つまりセルフサービス化したいと思ったということです
GitHubに1コマンドでいろいろPUTできるツールghputを作った - Copy/Cut/Paste/Hatena
ghput pr-comment ghput issue-comment のデフォルトの挙動について注意点を追記しました 最近はGitHubやGH:Eといったサービスのリポジトリと、そのリポジトリと連携するCI/CD環境がある前提で、様々なパイプラインを作ることが普通になってきています。 git push や Pull Request をトリガーにCI/CD環境で実行されるのもテストの実行だけではなく、master mergeのタイミングでのプロダクションデプロイやプロビジョニング、その前段階としてPull Requestタイミングでのdry-runやplanの実行など。 GitHubは便利ですし、それと連携するCI/CD環境があるとその2つだけで様々なものの自動化ができて便利です*1。 そんなGitHub+CI/CDな環境で使えるであろう ghput というツールを作りました。 gith
ghqを使ったローカルリポジトリの統一的・効率的な管理について - Kentaro Kuribayashi's blog
GitなどのVCSからcloneしたローカルリポジトリをどう管理するのがいい感じなのか、よくわからない。なんとなく自己流でやっているが、もっといい方法を知りたい。 tl;dr - ディレクトリレイアウトをgolangの作法に合わせ、すべてのリモートリポジトリをghqを使ってcloneし、percolを使って簡単に検索できるようにしましょう。 追記: いまならpercolの代わりにpecoというツールを使うのもよいでしょう。というか、僕はそうしています。設定方法はこのエントリとほぼ同様の内容でいけると思います。 背景 そんな課題を抱えつつも、特になにかをするわけでもなく日々暮らしていた折、Rebuild: 42: When in Golang, Do as the Gophers Do (lestrrat)で@lestrratさんが、Goのお作法に、他の言語のリポジトリも含め、すべてあわせる
GithubのGo言語プロジェクトにPull Requestを送るときのimport問題
TL;DR fork元（オリジナル）をgo getしてその中で作業，forkした自分のレポジトリにpushしてPull Requestを送る． 問題 Github上のGo言語のプロジェクトにコミットするとき，cloneの仕方で若干ハマることがある．普通のOSSプロジェクトの場合は，forkしてそれをcloneしてpush，Pull Requestとすればよい．Go言語のプロジェクトでは，同じレポジトリの中でパッケージを分け，それをimportして使ってるものがある．そういう場合にforkしたものをそのままcloneすると，importの参照先がfork元の名前になりハマる． 例えば，github.com/someone/toolがあるとする．このレポジトリはgithub.com/someone/tool/utilsという別パッケージを持っており，mainがそれを使っているとする．つまり以下
ghq+peco+hub環境の構築でgithub.com以外も使えるようにする - ブログ名を考えるセンスが欲しい
これは、 Lava Bucket Advent Calendar 2017 - Adventar 5日目の記事です。 ghq+peco+hubを使えば、リポジトリのディレクトリ管理を意識しなくて良くなったり、pecoでクローンしているリポジトリをインクリメンタルにサーチしたり、そのままブラウザでひらくことができます。 各コマンドに関しては調べていただきたいのですが、今北産業 ghq: リポジトリを、ghq_dir/host/user_or_org/repo_name で自動管理してくれるやつ peco: 標準入力されたものをインクリメンタルサーチしてくれるやつ hub: github社が公式に提供しているcliで、githubのrepo関連のapi操作をCLIでできるやつ(repo createとかprつくったり) コマンドインストール ghq+peco+hubのインストールは下記コマンド
New improvements to the Slack and GitHub integration
ProductNew improvements to the Slack and GitHub integrationTurn Slack conversations into next steps on GitHub with slash commands, private previews, and more. Your ultimate productivity pair is getting even better. The GitHub and Slack app has a few new features to help you turn conversations into next steps. Take action on pull requests, issues, and more right from your Slack channels to start mo
Zenhub | Agile Project Management Blog
Connect & learnCase StudiesCustomer stories from businesses you know and love ResourcesReports, eBooks, video guides BlogExplore articles on project management and tech-related topics. DevelopersConnect and build integrations with APIs CommunityAnswers, support and inspiration SupportFAQHelp CenterGetting StartedHow to connect GitHub to ZenhubChangelogTools
GithubとTrelloの連動 - みずぴー日記
GithubのラベルとTrelloのリストを移動を連動させるprprのプラグインとして作成した。 https://github.com/mzp/prpr-trello 解決したい問題 Misocaの開発チームではタスクをTrelloで管理している。 そのため、タスクに対応するPull requestをレビュー待ちにしたら、Trelloのカードを「レビュー待ち」リストに移動するという運用をしている。 しかし、この移動を忘れがちでレビューに支障がでていた。 prpr-trello この問題を解決するために、prpr-trelloを作成した。 これは、Pull requestのdescriptionの一行目にTrelloカードのURLが書いている場合、以下のようにカードを移動する。 WIP用のラベルをつける: 作業中リストに移動する REVIEWラベルをつける: レビュー待ちリストに移動し、カー
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Organizing members into teams - GitHub Docs
Build software better, together
Developer-first Project Management for Teams on GitHub | Waffle.io
