ci: use GitHub App token for release-please workflow

[jun06t]

概要

release-please workflow が使うトークンを GITHUB_TOKEN から GitHub App 発行のインストールトークンへ切り替えます。

背景

GITHUB_TOKEN で作られたタグや push は 他の workflow を起動しない 仕様です (docs)。release-please が自動で切るタグを起点に Docker build / デプロイ等の下流 workflow を発火させる典型パターンが、デフォルトのままでは成立しません。

GitHub App から発行したインストールトークンを使うとこの制約を回避でき、release-please が打ったタグから後続 workflow を連鎖起動できます。あわせて、リリース PR / タグ / GitHub Release の作成者が github-actions[bot] ではなく App 名 (例: release-please-bot[bot]) で表示されるようになり、ノイズ除外の指定 (CODEOWNERS / Greptile 等) もより明確になります。

変更内容

steps:
  - uses: actions/create-github-app-token@v1
    id: app-token
    with:
      app-id: ${{ secrets.RELEASE_PLEASE_APP_ID }}
      private-key: ${{ secrets.RELEASE_PLEASE_PRIVATE_KEY }}
  - uses: googleapis/release-please-action@v4
    with:
      token: ${{ steps.app-token.outputs.token }}
      ...

前提

リポジトリに以下の Secrets が設定済みであること (登録済み):

• RELEASE_PLEASE_APP_ID
• RELEASE_PLEASE_PRIVATE_KEY

GitHub App は本リポジトリにインストールされ、最低限以下の権限を持つこと:

• Repository permissions: Contents: Read & write
• Repository permissions: Pull requests: Read & write

テスト計画

• 本 PR をマージする
• release-please workflow が正常に成功する
• (任意) 次のリリース PR の Author が App ([bot]) になっていることを確認する
• (任意) リリース PR をマージし、タグの push をトリガーに別 workflow が起動できることを確認する

🤖 Generated with Claude Code