22 октября GitHub сообщил о новых адресах blob storage для Actions на github.com. Они уже включены в Meta API. На Mentoring.digital объясняем, какие сетевые списки разрешённых адресов стоит пересмотреть, чтобы не потерять доступ к журналам и сводкам заданий.
Какие хосты добавлены
В анонсе указаны два включительных диапазона: от productionresultssa30.blob.core.windows.net до productionresultssa49.blob.core.windows.net и от productionresultssa100.blob.core.windows.net до productionresultssa199.blob.core.windows.net.
Изменение касается организаций, которые ограничивают сетевой доступ к хранилищу Actions. Если разрешения задаются по отдельным хостам, новые адреса нужно добавить. Если уже действует маска productionresultssa*.blob.core.windows.net, для этих дополнений менять её не требуется.
Почему ошибка журнала не всегда означает ошибку сборки
GitHub связывает новые адреса с ёмкостью и надёжностью инфраструктуры. При неполном allowlist возможны перебои в доступе к job summaries и logs. При этом сам факт недоступности журнала не сообщает, чем закончилась команда внутри задания.
Редакционная рекомендация: отдельно проверьте состояние задания, сетевой доступ из нужного окружения и возможность открыть его журнал. Не меняйте код проекта только на основании ошибки загрузки сводки.
Что передать сетевому администратору
Сверьте действующую политику с актуальным списком Meta API и способом задания разрешений в вашей сети. Не расширяйте доступ ко всему облачному домену, если достаточно указанных сервисных адресов. Конкретную процедуру изменения firewall согласуйте с ответственным за инфраструктуру.
Разбор CI и сетевых ограничений можно подготовить вместе с наставником по DevOps. В исходные данные включите время сбоя и затронутое задание, предварительно убрав секреты из диагностических материалов.
