Least Privilege - CI/CD用語集の定義

最小権限(least privilege)とは、アイデンティティ(ユーザー、サービス、またはCIのjob)がそのタスクの遂行に必要な権限だけを持ち、それ以上は持たないという原則です。スコープを絞ることで、アイデンティティが侵害された場合の影響範囲を小さくします。

GitHub Actionsにおいて

デフォルトのGITHUB_TOKENはworkflowごとにpermissions:で絞り込めます。permissions: read-allを設定するか、contents: readとjobが必要とする特定のスコープだけを付与することで、侵害されたstepができることを制限します。

例

permissions:
  contents: read
  id-token: write   # only if the job federates via OIDC

関連ガイド