GitHub Actions thêm endpoint Blob Storage: rà allowlist để tránh gián đoạn CI

Bài viết này do AI tạo ra, dựa trên GitHub Changelog ngày 22/10/2026. Phạm vi thay đổi áp dụng cho GitHub Actions trên github.com; đội vận hành cần đối chiếu policy mạng thực tế trước khi sửa firewall hoặc proxy.

Tóm tắt nhanh

GitHub bổ sung endpoint Azure Blob Storage mới cho GitHub Actions và đưa chúng vào Meta API. Tổ chức dùng allowlist theo hostname cụ thể cần thêm hai dải: productionresultssa30.blob.core.windows.net đến productionresultssa49.blob.core.windows.net, cùng productionresultssa100.blob.core.windows.net đến productionresultssa199.blob.core.windows.net. Dải đều tính cả hai đầu. Ai đã allow wildcard productionresultssa*.blob.core.windows.net không cần thay đổi.

Thay đổi tác động phần nào?

GitHub mô tả đây là endpoint blob storage phục vụ GitHub Actions, bổ sung để tăng capacity và độ tin cậy. Nếu policy egress chỉ cho phép một tập hostname đóng, runner có thể không truy cập được storage mới sau khi hạ tầng GitHub điều phối request sang các host đó. Hệ quả GitHub nêu là gián đoạn job summaries và logs; tùy kiến trúc còn cần kiểm tra artifact, cache hoặc các luồng phụ thuộc cùng policy.

Hai dải hostname cần có trong allowlist

productionresultssa30.blob.core.windows.net đến productionresultssa49.blob.core.windows.net
productionresultssa100.blob.core.windows.net đến productionresultssa199.blob.core.windows.net

Không nên tự suy diễn host nằm giữa các dải khác là được GitHub yêu cầu. Nếu thiết bị policy không hỗ trợ range hostname, đội mạng cần tạo rule theo danh sách hostname thực, kiểm tra giới hạn rule và theo dõi log deny.

Ai cần xử lý ngay?

Rủi ro cao nhất thuộc về self-hosted runner, runner trong mạng doanh nghiệp hoặc môi trường có secure web gateway/proxy/firewall chặn outbound theo FQDN. GitHub-hosted runner không chịu policy egress nội bộ của doanh nghiệp theo cách này. Tổ chức dùng wildcard nêu trên cũng không phải thay đổi chỉ vì thông báo này, nhưng vẫn nên giữ inventory policy và kiểm tra wildcard có thực sự được áp vào đúng rule hay không.

Quy trình kiểm tra an toàn

Inventory tất cả rule allowlist/proxy liên quan GitHub Actions, đặc biệt runner self-hosted.
Kiểm tra policy dùng wildcard, individual FQDN hay IP-based rule.
Nếu đang pin host cụ thể, thêm đúng hai dải GitHub công bố qua change-control.
Chạy workflow thử nghiệm tạo log, summary và artifact; giữ log proxy/firewall để đối chiếu DNS/SNI/deny.
Dùng Meta API của GitHub và tài liệu IP addresses làm nguồn cập nhật định kỳ, không duy trì danh sách thủ công vô thời hạn.

Caveat: hostname không đồng nghĩa IP tĩnh

Thông báo tập trung vào hostname. Các endpoint Azure Blob có thể thay đổi IP phía sau DNS; cố định IP mà không bám tài liệu GitHub dễ tạo outage hoặc mở quá rộng. Proxy TLS inspection cũng cần được kiểm tra riêng để chắc SNI và chứng chỉ không bị xử lý sai.

Phân tích

Thay đổi nhỏ ở allowlist thường chỉ lộ ra khi CI đang chạy release. Đây là lý do egress policy cho SaaS cần có owner, nguồn dữ liệu chuẩn, review định kỳ và bài test synthetic từ network runner. Wildcard giảm gánh vận hành nhưng mở rộng phạm vi tin cậy; allowlist host cụ thể chặt hơn nhưng đòi hỏi quản trị thay đổi tốt. Không có lựa chọn tuyệt đối: chọn theo threat model, khả năng giám sát và thời gian chịu lỗi của pipeline.