Один и тот же ярлык GitHub Actions теперь может вести на AWS
Задание может перестать входить во внешний сервис без изменений YAML. 28 октября GitHub объявил о расширении Linux-мощностей с Azure на AWS. Ярлык остаётся прежним, а исходящий адрес может измениться.
Больше машин за привычными ярлыками
Изменение касается стандартных Linux-раннеров на 2 и 4 ядра и совместимых larger runners этих размеров без особых настроек. Windows и частные сети исключены. Для Free, Pro и Team переход автоматический; Enterprise Cloud может включить AWS в Actions > Hosted compute cloud providers.
GitHub распределяет подходящие задания между доступными провайдерами без изменения синтаксиса. Цель — уменьшить ожидание свободных мощностей и повысить устойчивость. Это не гарантия ускорения конкретного задания и не двойной запуск в двух облаках.
Почему ошибка выглядит случайной
Представим API развёртывания, принимающий только адреса Azure. Один workflow может пройти из Azure и получить отказ с другого выхода. GitHub также упоминает сетевые условия Microsoft Entra Conditional Access. Это иллюстрация, а не пережитый нами инцидент.
До замены токенов сопоставьте время, назначение, исходный IP и правило сервиса. Ожидание раннера и отказ аутентификации после запуска относятся к разным этапам. Дополнительные мощности не исправляют правила доступа.
IP нужно проверять как диапазоны
Официальная отправная точка — actions в GET https://api.github.com/meta. REST-документация требует запрашивать актуальные значения. Локальный пример Python ipaddress использует документационный диапазон 192.0.2.0/24: .10 и .200 входят, 198.51.100.10 — нет. Это не реальные адреса раннеров.
Разрешать все диапазоны разумно не всегда. Справочник не рекомендует многочисленные стандартные диапазоны для доступа к внутренним ресурсам и предлагает larger runners со статическими IP либо собственные раннеры. Сеть источника не заменяет аутентификацию и минимальные привилегии.
Ярлык прежний, предпосылка другая
Сначала определите, возникла проблема до или после старта, затем сравните актуальные диапазоны с действующими правилами. Для фиксированного выхода выбирайте подходящую инфраструктуру. Ярлык раннера не является идентификатором облачного провайдера.