GitHub Actions, 워크플로 의존성 잠금파일 공개 프리뷰

GitHub가 Enterprise Cloud와 데이터 레지던시 지원 Enterprise Cloud에 Actions 의존성 잠금파일을 공개 프리뷰로 제공한다. 태그·브랜치 표기를 유지해도 실행에는 잠근 커밋을 사용하며, 워크플로별로 도입할 수 있다. 관리자는 사용을 강제할 수 있고 Dependabot은 버전 변경 PR에서 잠금 항목도 함께 갱신한다.

내용·출처 업데이트 · 2026. 10. 14. 오후 11:31

GitHub CLI의 gh actions-lock 확장으로 .github/workflows/actions.lock을 생성·관리한다.

액션과 전이 의존성, 재사용 워크플로 의존성을 잠금 대상에 포함한다.

도입한 워크플로는 모든 의존성의 잠금 항목이 있어야 실행된다.

Require lockfile 정책은 기업·조직·저장소 관리자가 각 범위에 적용할 수 있다.

파일을 수정하지 않고 최신 상태를 검사할 수 있어 CI 검사에 활용할 수 있다.

잠금은 의존성 자체의 안전성을 판정하지 않으므로 잠그기 전에 코드를 검토해야 한다.

태그가 가리키는 코드가 바뀌어도 검토한 커밋을 실행하므로, 저장소 변경 없이 의존성이 교체되는 경로를 줄인다.