GitHub Actions 시니어 기술면접

Reusable Workflow와 Composite Action을 조합한 계층형 아키텍처를 설계합니다. 먼저 조직 레벨의 중앙 저장소에 공통 보안 스캔, 승인 프로세스를 Reusable Workflow로 정의하고, 각 서비스 저장소에서는 workflow_call 이벤트로 이를 호출합니다. 환경별 배포 설정은 Environment Secrets와 Required Reviewers를 활용하여 중앙에서 관리하고, 공통 빌드 스텝은 Composite Action으로 패키징합니다. 또한 Organization 레벨의 Secrets와 Variables를 활용하여 API 키, 레지스트리 정보 등을 통합 관리하며, GitHub Apps를 통한 토큰 발급으로 권한을 세밀하게 제어합니다. 모니터링은 Workflow Run API를 활용한 대시보드를 구축하여 모든 서비스의 배포 현황을 한눈에 파악할 수 있도록 합니다.

먼저 워크플로우 로그를 상세 분석하여 어느 단계에서 실패하는지 특정합니다. GitHub-hosted runner는 매번 새로운 IP에서 실행되므로, 외부 API나 레지스트리의 rate limiting 또는 방화벽 규칙이 원인일 수 있습니다. 각 단계에 retry 로직을 추가하되, actions/github-script나 커스텀 스크립트로 exponential backoff를 구현합니다. Docker 레지스트리 연결 실패라면 대체 미러나 캐싱 전략을 도입하고, Kubernetes API 타임아웃이라면 연결 타임아웃과 재시도 횟수를 조정합니다. 근본적 해결을 위해 Self-hosted runner 도입을 검토하여 고정 IP와 안정적인 네트워크 환경을 확보하고, 실패 시 Slack이나 PagerDuty로 즉시 알림을 받도록 설정합니다. 또한 각 단계별 실행 시간과 성공률을 메트릭으로 수집하여 패턴을 분석하고, 필요시 단계를 분리하여 격리된 job으로 실행합니다.

GitHub Actions는 각 워크플로우 실행 시 OIDC JWT 토큰을 자동 발급하며, 이를 AWS STS AssumeRoleWithWebIdentity API와 연동하여 임시 자격증명을 획득합니다. AWS에서 IAM Identity Provider를 생성하고 GitHub의 OIDC endpoint(token.actions.githubusercontent.com)를 등록한 후, IAM Role의 Trust Policy에서 특정 저장소와 브랜치만 허용하도록 조건을 설정합니다(subject claim 검증). 워크플로우에서는 aws-actions/configure-aws-credentials 액션을 사용하여 role-to-assume 파라미터로 IAM Role ARN을 지정하면, 액션이 자동으로 OIDC 토큰 교환과 임시 자격증명 설정을 처리합니다. 이 방식은 장기 키가 저장소에 존재하지 않아 유출 위험이 없고, 임시 자격증명은 1시간 후 자동 만료되며, 세밀한 조건 설정으로 특정 브랜치나 환경에서만 접근을 허용할 수 있습니다. 또한 CloudTrail 로그에서 어떤 워크플로우 실행이 AWS 리소스에 접근했는지 추적 가능하여 감사 요구사항도 충족합니다.