控制对大型运行器的访问 - GitHub 文档

注意

本文中的信息和说明仅适用于具有 Linux 和 Windows 操作系统的更大运行器。

关于运行器组

要控制对组织级别运行器的访问权限，使用 GitHub Team 计划的组织可以使用运行器组。运行器组用于收集运行器集并在其周围创建安全边界。

当您授予对运行器组的访问权限时，您可以在组织的运行器设置中看到该运行器组。或者，您可以为运行器组分配其他粒度存储库访问策略。

创建新的运行器时，除非另有指定，否则会自动将其分配给默认组。运行器一次只能在一个组中。您可以将运行器从一个运行器组移动到另一个运行器组。有关更多信息，请参阅“将运行器移动到组”。

有关如何将作业路由到特定组中的运行器的信息，请参阅“为作业选择运行器”。

注意

在您的工作流可以将作业发送到更大的运行器之前，您必须首先为运行器组配置权限。有关更多信息，请参阅以下部分。

运行器组用于控制哪些存储库可以在您的更大运行器上运行作业。您必须根据您定义更大运行器的位置，从管理层次结构的每个级别管理对该组的访问权限

企业级运行器：默认情况下，组织中的存储库无法访问企业级运行器组。要使存储库能够访问企业运行器组，组织所有者必须配置每个企业运行器组并选择哪些存储库可以访问。
组织级运行器：默认情况下，组织中的所有存储库都授予对组织级运行器组的访问权限。要限制哪些存储库可以访问，组织所有者必须配置组织运行器组并选择哪些存储库可以访问。

例如，下图中在企业级有一个名为 grp-ubuntu-20.04-16core 的运行器组。在名为 octo-repo 的存储库可以使用该组中的运行器之前，您必须首先在企业级配置该组以允许访问 octo-org 组织。然后，您必须在组织级配置该组以允许访问 octo-repo。

Diagram showing a runner group defined at the enterprise level with an organization configuration that allows access for two repositories.

警告

如果您使用的是固定 IP 范围，我们建议您仅将大型运行器与私有存储库一起使用。您的存储库的分支可以通过创建一个执行工作流中代码的拉取请求，从而在您的大型运行器上运行潜在的危险代码。

注意

创建运行器组时，必须选择一个策略来定义哪些存储库可以访问该运行器组。要更改哪些存储库和工作流可以访问运行器组，组织所有者可以为组织设置策略。有关更多信息，请参阅“在您的企业中实施 GitHub Actions 策略”。

所有组织都具有一个默认运行器组。使用 GitHub Team 计划的组织所有者可以创建其他组织级运行器组。

如果在注册过程中未指定任何组，则运行器会自动添加到默认组。您以后可以将运行器从默认组移动到自定义组。有关更多信息，请参阅“将运行器移动到组”。

有关如何使用 REST API 创建运行器组的信息，请参阅“GitHub Actions 的 REST API 端点”。

在 GitHub 上，导航到组织的主页。
在您的组织名称下，单击设置。如果您看不到“设置”选项卡，请选择下拉菜单，然后单击设置。
在左侧边栏中，单击 Actions，然后单击运行器组。
在“运行器组”部分，单击新建运行器组。
输入运行器组的名称。
分配存储库访问策略。

您可以将运行器组配置为可访问特定存储库列表或组织中的所有存储库。默认情况下，只有私有存储库才能访问运行器组中的运行器，但您可以覆盖此设置。如果配置由企业共享的组织的运行器组，则无法覆盖此设置。
单击创建组以创建组并应用策略。