GitHub Actions の uses をコミット SHA に固定する（ステージング・本番デプロイワークフロー）

[coderabbitai]

概要

ステージング・本番環境デプロイワークフロー（.github/workflows/deploy_ecs_staging_stationapi.yml および .github/workflows/deploy_ecs_production_stationapi.yml）において、GitHub Actions の uses: 参照がバージョンタグ（@v*）で固定されています。コミット SHA に固定することで、確定的・再現可能なデプロイが実現され、セキュリティリスクが低減されます。

対応箇所

.github/workflows/deploy_ecs_staging_stationapi.yml

以下の5箇所を対応するコミット SHA に変更してください：

• 32行目: actions/checkout@v4 → actions/checkout@<commit-sha>
• 37行目: aws-actions/configure-aws-credentials@v4 → aws-actions/configure-aws-credentials@<commit-sha>
• 45行目: aws-actions/amazon-ecr-login@v2 → aws-actions/amazon-ecr-login@<commit-sha>
• 63行目: aws-actions/amazon-ecs-render-task-definition@v1 → aws-actions/amazon-ecs-render-task-definition@<commit-sha>
• 70行目: aws-actions/amazon-ecs-deploy-task-definition@v2 → aws-actions/amazon-ecs-deploy-task-definition@<commit-sha>

.github/workflows/deploy_ecs_production_stationapi.yml

以下の5箇所を対応するコミット SHA に変更してください：

• 32行目: actions/checkout@v4 → actions/checkout@<commit-sha>
• 37行目: aws-actions/configure-aws-credentials@v4 → aws-actions/configure-aws-credentials@<commit-sha>
• 45行目: aws-actions/amazon-ecr-login@v2 → aws-actions/amazon-ecr-login@<commit-sha>
• 63行目: aws-actions/amazon-ecs-render-task-definition@v1 → aws-actions/amazon-ecs-render-task-definition@<commit-sha>
• 70行目: aws-actions/amazon-ecs-deploy-task-definition@v2 → aws-actions/amazon-ecs-deploy-task-definition@<commit-sha>

背景

バージョンタグ参照は上流リポジトリの更新により予期しない変動が生じる可能性があります。デプロイワークフローでは特に、セキュリティおよび再現性の観点からコミット SHA への固定が推奨されます。

関連

• PR: ステージング環境へのデプロイワークフローを追加 #1497
• レビューコメント: ステージング環境へのデプロイワークフローを追加 #1497 (comment)
• 起票依頼者: @TinyKitten

[TinyKitten]

@coderabbitai productionでも同じなのでタイトルと説明文を修正してください。

[coderabbitai]

🧩 Analysis chain

まず現在のIssueの内容を確認します。

---

🏁 Script executed:

#!/bin/bash
gh issue view 1499 --repo TrainLCD/StationAPI --json title,body

Length of output: 1102

---

production用のワークフローファイル名を確認してから更新します。

---

🏁 Script executed:

#!/bin/bash
# Find production workflow files
fd --type f 'yml' .github/workflows/ | grep -i prod || \
  ls .github/workflows/ | grep -i prod

Length of output: 55

---

production ワークフローの内容を確認します。

---

🏁 Script executed:

#!/bin/bash
cat -n .github/workflows/deploy_ecs_production_stationapi.yml

Length of output: 2987

---

production ワークフローも同じ構成であることが確認できました。Issueのタイトルと説明文を両ワークフローを対象に更新します。

---

🏁 Script executed:

#!/bin/bash
gh issue edit 1499 --repo TrainLCD/StationAPI \
  --title "GitHub Actions の uses をコミット SHA に固定する（ステージング・本番デプロイワークフロー）" \
  --body "## 概要

ステージング・本番環境デプロイワークフロー（\`.github/workflows/deploy_ecs_staging_stationapi.yml\` および \`.github/workflows/deploy_ecs_production_stationapi.yml\`）において、GitHub Actions の \`uses:\` 参照がバージョンタグ（\`@v*\`）で固定されています。コミット SHA に固定することで、確定的・再現可能なデプロイが実現され、セキュリティリスクが低減されます。

## 対応箇所

### \`.github/workflows/deploy_ecs_staging_stationapi.yml\`

以下の5箇所を対応するコミット SHA に変更してください：

- 32行目: \`actions/checkout@v4\` → \`actions/checkout@<commit-sha>\`
- 37行目: \`aws-actions/configure-aws-credentials@v4\` → \`aws-actions/configure-aws-credentials@<commit-sha>\`
- 45行目: \`aws-actions/amazon-ecr-login@v2\` → \`aws-actions/amazon-ecr-login@<commit-sha>\`
- 63行目: \`aws-actions/amazon-ecs-render-task-definition@v1\` → \`aws-actions/amazon-ecs-render-task-definition@<commit-sha>\`
- 70行目: \`aws-actions/amazon-ecs-deploy-task-definition@v2\` → \`aws-actions/amazon-ecs-deploy-task-definition@<commit-sha>\`

### \`.github/workflows/deploy_ecs_production_stationapi.yml\`

以下の5箇所を対応するコミット SHA に変更してください：

- 32行目: \`actions/checkout@v4\` → \`actions/checkout@<commit-sha>\`
- 37行目: \`aws-actions/configure-aws-credentials@v4\` → \`aws-actions/configure-aws-credentials@<commit-sha>\`
- 45行目: \`aws-actions/amazon-ecr-login@v2\` → \`aws-actions/amazon-ecr-login@<commit-sha>\`
- 63行目: \`aws-actions/amazon-ecs-render-task-definition@v1\` → \`aws-actions/amazon-ecs-render-task-definition@<commit-sha>\`
- 70行目: \`aws-actions/amazon-ecs-deploy-task-definition@v2\` → \`aws-actions/amazon-ecs-deploy-task-definition@<commit-sha>\`

## 背景

バージョンタグ参照は上流リポジトリの更新により予期しない変動が生じる可能性があります。デプロイワークフローでは特に、セキュリティおよび再現性の観点からコミット SHA への固定が推奨されます。

## 関連

- PR: https://github.com/TrainLCD/StationAPI/pull/1497
- レビューコメント: https://github.com/TrainLCD/StationAPI/pull/1497#discussion_r3211982459
- 起票依頼者: `@TinyKitten`"

Length of output: 51

---

@TinyKitten、Issue #1499 のタイトルと説明文を更新しました。

変更内容：

• タイトル： GitHub Actions の uses をコミット SHA に固定する（ステージング・本番デプロイワークフロー）
• 説明文： .github/workflows/deploy_ecs_production_stationapi.yml の対応箇所（5箇所、ステージングと同じ行番号・アクション構成）を追記しました。