GitHub Actions가 의심스러운 워크플로를 보류할 때: 승인 버튼보다 먼저 확인할 실행 경계
테크
조회 2
GitHub는 공개 저장소에서 일부 잠재적 악성 워크플로 실행을 협력자의 승인 전까지 보류하는 보호 기능을 도입했습니다. 보류 알림을 단순한 CI 지연으로 처리하지 말고, 어떤 변경이 실행 파일과 토큰·시크릿 접근을 함께 바꾸는지 확인하는 운영 절차로 연결해야 합니다.
보류된 실행을 검토하는 네 단계
지금 확인할 것
✓ 보류된 워크플로 파일과 실행을 만든 커밋·행위자를 먼저 연결해 확인합니다.
✓ 새로운 외부 액션, 권한 변경, 시크릿을 읽는 명령, 배포 단계가 함께 추가됐는지 비교합니다.
✓ 필요하면 안전한 별도 브랜치에서 최소 권한으로 재현하고, 검토 결과를 PR에 남깁니다.
✓ 승인 뒤에도 실행 로그와 토큰 사용 범위를 확인하고 반복 신호는 정책·리뷰 규칙으로 올립니다.
왜 이 순서가 중요한가
확정된 사실과 해석, 다음 행동을 분리하면 하나의 신호가 모든 결정을 밀어내는 일을 줄일 수 있습니다.