GitHub Actions、Dependabot アラート専用の権限とランナー廃止APIを追加
GitHub は GitHub Actions の9月初旬アップデートを公開した。GITHUB_TOKEN に Dependabot アラートを読むための vulnerability-alerts 権限を新設し、最小権限での運用がしやすくなる。あわせてランナーの廃止時期を照会する REST API と、再利用可能ワークフロー向けの job コンテキスト4種を追加した。
何が発表されたか
GitHub は 2026年9月3日、GitHub Actions のアップデート3件を公開した。
GITHUB_TOKEN の vulnerability-alerts 権限
ワークフローから Dependabot アラートへアクセスするための専用権限が追加された。指定できる値は read と none で、これまでより広いスコープを付与せずに最小権限の原則に沿った運用ができる。
ランナーの廃止時期を照会する REST API
GET /actions/runners/deprecations/{version} で、ランナーのバージョンごとの廃止スケジュールを取得できるようになった。レスポンスには runner_version、runtime_deprecates_at、registration_deprecates_at が含まれ、リポジトリ・Organization・Enterprise の各レベルで計画的にアップグレードを進められる。
再利用可能ワークフロー向けの job コンテキスト
再利用可能ワークフローで、job.workflow_ref、job.workflow_sha、job.workflow_repository、job.workflow_file_path の4つのプロパティが使えるようになった。これらは呼び出し元ではなく、現在のジョブを定義しているワークフローを指す。
開発者への影響
- セキュリティ系の自動化で
security-eventsなどの広い権限を付けていたワークフローは、vulnerability-alerts: readに絞れないか見直す価値がある - ランナーの更新をカレンダー任せにせず、API を叩いて CI 側で検知できるようになった
- ワークフローを共通化して多段で呼び出している構成では、job コンテキストによってログやトレースの出所が特定しやすくなる
なお、job コンテキストの4プロパティは GitHub Enterprise Server では利用できない。