GitHub Actions 워크플로 실행 보호 GA…파일별 정책·REST API 추가

핵심 요약

GitHub Actions의 Workflow execution protections가 Public Preview를 마치고 GitHub Enterprise·조직·저장소에서 정식 제공(GA)됩니다. 실행 주체(actor)와 이벤트(event)를 기준으로 워크플로 실행을 허용할 대상을 제한하는 기존 기능에, 특정 워크플로 파일별 정책·정책 평가 Insights·REST API가 추가됐습니다.

주요 변경

• Workflow file targeting으로 저장소 전체가 아닌 deploy.yml 같은 특정 워크플로 파일에 서로 다른 실행 정책을 적용할 수 있습니다.
• Insights에서 엔터프라이즈·조직·저장소 수준의 규칙 평가 및 적용 결과를 확인할 수 있습니다.
• REST API로 실행 보호 규칙과 workflow path 조건을 생성·조회·수정·삭제할 수 있습니다.
• 기존 Evaluate mode는 유지돼 실제 차단 전에 어떤 실행이 영향을 받을지 확인할 수 있습니다.
• 공개 저장소 중 적용 가능한 기존 event policy가 없는 경우 pull_request_target을 제한하는 기본 규칙이 도입되며, 초기에는 Evaluate mode로 동작합니다. GitHub는 해당 기본 정책을 GA 이전부터 사용하던 영향 대상 저장소에 대해 2026년 11월 2일 자동 enforcement 예정이라고 명시했습니다.

개발자 영향

배포·릴리스처럼 민감한 Actions 워크플로에 실행 주체와 이벤트뿐 아니라 파일 경로까지 포함한 정책을 적용할 수 있어 공급망 보안 제어가 세밀해집니다. 특히 pull_request_target을 사용하는 공개 저장소는 현재 기본 규칙이 즉시 Block으로 전환된 것이 아니라 Evaluate 단계라는 점을 구분하고, Insights에서 영향을 확인한 뒤 11월 2일 예정된 enforcement에 대비해야 합니다.

발표 시각(KST): 2026년 9월 17일 · 세부 시각 미공개

원문 출처 보기 →