Docker Scout を GitHub Actions と連携する

name: Docker
 
on:
  push:
    tags: ["*"]
    branches:
      - "main"
  pull_request:
    branches: ["**"]
 
env:
  # レジストリのホスト名
  REGISTRY: docker.io
  # イメージリポジトリ（ホスト名とタグなし）
  IMAGE_NAME: ${{ github.repository }}
  SHA: ${{ github.event.pull_request.head.sha || github.event.after }}
 
jobs:
  build:
    runs-on: ubuntu-latest
    permissions:
      pull-requests: write
 
    steps:
      - name: Docker buildx のセットアップ
        uses: docker/setup-buildx-action@v3
 
      # コンテナレジストリへの認証
      - name: レジストリ ${{ env.REGISTRY }} への認証
        uses: docker/login-action@v3
        with:
          registry: ${{ env.REGISTRY }}
          username: ${{ secrets.REGISTRY_USER }}
          password: ${{ secrets.REGISTRY_TOKEN }}
 
      # Docker メタデータを抽出
      - name: Docker メタデータの抽出
        id: meta
        uses: docker/metadata-action@v5
        with:
          images: ${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}
          labels: |
            org.opencontainers.image.revision=${{ env.SHA }}
          tags: |
            type=edge,branch=$repo.default_branch
            type=semver,pattern=v{{version}}
            type=sha,prefix=,suffix=,format=short
 
      # Buildx で Docker イメージをビルドおよびプッシュ
      # （プルリクエスト時にはプッシュせず、ロードのみ）
      - name: Docker イメージのビルドとプッシュ
        id: build-and-push
        uses: docker/build-push-action@v6
        with:
          sbom: ${{ github.event_name != 'pull_request' }}
          provenance: ${{ github.event_name != 'pull_request' }}
          push: ${{ github.event_name != 'pull_request' }}
          load: ${{ github.event_name == 'pull_request' }}
          tags: ${{ steps.meta.outputs.tags }}
          labels: ${{ steps.meta.outputs.labels }}
          cache-from: type=gha
          cache-to: type=gha,mode=max

      # Docker Hubがレジストリの場合、このステップをスキップできます
      # 既に認証されているため
      - name: Dockerへの認証
        uses: docker/login-action@v3
        with:
          username: ${{ secrets.DOCKER_USER }}
          password: ${{ secrets.DOCKER_PAT }}
 
      # プルリクエストでビルドされたイメージを本番環境のイメージと比較
      - name: Docker Scout
        id: docker-scout
        if: ${{ github.event_name == 'pull_request' }}
        uses: docker/scout-action@v1
        with:
          command: compare
          image: ${{ steps.meta.outputs.tags }}
          to-env: production
          ignore-unchanged: true
          only-severities: critical,high
          github-token: ${{ secrets.GITHUB_TOKEN }}