変更要約: GH-200 第4章を新規作成（ガバナンス＝利用ポリシー無効/全許可/GitHub製/検証済み/許可リスト・SHA ピン留め必須化・再利用コンポーネントのアクセス設定・フォークPR承認・波及、ランナーの大規模管理＝GitHubホスト/セルフホスト・ランナーグループ・IP許可リスト・プリインストール/toolcache/setup-*・トラブルシュート、暗号化シークレットと変数＝組織/リポジトリ/環境のスコープと優先順位・secrets/vars・マスキング・REST API 管理）
4.1アクションとワークフローのガバナンス
Enterprise/組織で、再利用可能なコンポーネントとテンプレートを定義・管理し、どのアクション/ワークフローを使えるかを制御（許可/拒否リスト、検証済みアクションのみ許可、未検証アクションへの必須レビュアー）し、組織の利用ポリシーを構成する方法を理解します。
組織が GitHub Actions を安全に大規模運用するには、「誰が・どのアクションやワークフローを・どう使えるか」を統制する ガバナンス が要ります。Enterprise/組織/リポジトリの各レベルに設定が下りていき、上位（Enterprise）でかけた制限は下位（組織・リポジトリ）に波及します。GH-200 では、利用ポリシー・アクセス制御・再利用コンポーネントの管理 の 3 つが中心テーマです。
4.1.1アクションの利用ポリシー
Settings の Actions ポリシーでは、許可するアクションの範囲を段階的に選べます——すべて無効、すべて許可、GitHub 製アクションのみ許可、GitHub 製＋検証済み（verified creator）のアクションのみ許可、そして 特定のアクションを列挙した許可リスト（owner/* などのパターン指定可）です。最小権限の考え方では、必要なアクションだけを許可リストで通すのが安全です。さらに、外部アクションを使う際に コミット SHA でのピン留めを必須化 するポリシーも設定でき、サプライチェーンの安全性を組織全体で底上げできます。
| ポリシー | 意味 |
|---|---|
| すべて無効 | Actions を一切実行させない |
| すべて許可 | 任意のアクションを許可（最も緩い） |
| GitHub 製のみ | actions/* など公式のみ |
| GitHub 製＋検証済み | 検証済み作成者のアクションも許可 |
| 許可リスト | 列挙した特定アクションのみ（推奨） |