GitHubは2026年7月8日、GitHub Actions向けのアクションactions/setup-javaのv5.5.0を公開しました。指定したJDK(Java開発キット)をランナー(ワークフローの実行環境)へ導入する部品で、今回はJDKの署名検証や新しいディストリビューション(JDKの配布元)対応、Maven利用者向けの改善が加わりました。
setup-java v5.5.0の3行まとめ
今回の更新の要点を、先に3点にまとめました。
-
verify-signatureによるJDK署名検証に対応(Temurin/Microsoft) - 新しい
konaディストリビューションでTencent Kona JDKを導入可能 - Mavenのログ簡潔化やツールチェーン重複解消などの改善
本記事は公表時点の情報にもとづきます。仕様や提供状況は変わる可能性があります。
導入や利用を判断する際は、各自の責任で公式情報の最新の内容をご確認ください。
設定変更やアップデートを行う場合は、必ず事前にバックアップを取得し、検証環境で確認したうえで実施してください。
setup-java v5.5.0がJDKの署名検証に対応
v5.5.0では、ダウンロードしたJDKの署名を検証する仕組みが加わりました[1]。verify-signature: trueを指定すると、アクションがGPG(公開鍵暗号を使う署名・検証ツール)による分離署名(本体とは別ファイルで配布される署名)を取得し、インストール前にJDKアーカイブを検証します。
- 現時点で署名検証に対応するのはTemurinとMicrosoft
-
verify-signature-public-keyで信頼する鍵を指定可能 - 非対応ディストリビューションで有効化すると即座に失敗
検証をサポートしないディストリビューションで有効化した場合は、確認を黙って飛ばさずに即座に失敗する挙動です。想定外に検証が省略される事態を防ぐ狙いがあります。
setup-java v5.5.0にTencent Kona JDKを追加
v5.5.0では、新しいkonaディストリビューションが選べるようになりました。これにより、Tencentが公開するTencent Kona JDKを直接インストールできます。
ワークフローでの記述例は次のとおりです(java-versionの値は一例)。
- uses: actions/setup-java@v5.5.0
with:
distribution: kona
java-version: 21このコードはターミナルで実行するコマンドではなく、ワークフローへ追記する設定です。distributionにkonaを指定すると、実行時にランナーへTencent Kona JDKを導入します。
バージョンや状態を表示するだけの操作ではなく、JDKのインストールという変更が走ります。ワークフローファイルを書き換える前に、内容のバックアップを取得してください。
setup-java v5.5.0のMaven・JDK設定まわりの改善
Maven(Javaのビルドツール)の利用やJDKの設定まわりでも、複数の改善が入りました。ログの簡潔化やツールチェーンの重複解消などが含まれます。
既定にせずJDKを導入するset-default: false
set-default: falseを指定すると、JAVA_HOMEとPATHを変更せずにJDKを導入します。このときバージョンとアーキテクチャを含む別名の環境変数(例: JAVA_HOME__<version>_<arch>、JAVA_HOMEの後ろはアンダースコア2つ)も同時にエクスポートされる仕組みです。
導入したJDKはMavenのツールチェーン(利用するJDKを指定する仕組み)へ登録され、ステップごとに使うJDKを選べます。
Mavenのビルドログを既定で簡潔化
アクションがMAVEN_ARGS(Mavenへ渡す引数の環境変数)へ--no-transfer-progressを既定で設定します。対象はMaven 3.9以降とMaven Wrapper(プロジェクトに同梱してMavenを実行する仕組み)で、ダウンロードの進捗表示を抑え、ログを読みやすくする狙いです。
進捗表示を戻したい場合はshow-download-progress: trueを指定してください。既存のMAVEN_ARGSの値は保持されます。
あわせて、生成されるsettings.xmlでは対話モードが無効化されます。CIのような非対話環境での実行に向いた設定です。
toolchains.xmlの重複エントリを解消
以前はジョブ内でアクションを複数回実行すると、toolchains.xmlへ重複したエントリが追加されていました。v5.5.0では、ツールチェーンの種別とidにより重複を排除します。
既存のルート属性やJDK以外のツールチェーンは保持されます。
.sdkmanrcからディストリビューションを自動判定
SDKMAN(Java等のSDKを管理するツール)のバージョン指定ファイル.sdkmanrcの識別子から、使用するディストリビューションを推測します。たとえば-temで終わる識別子はTemurinに対応づけられ、distributionの重複指定を省けます。
setup-java v5.4.0で追加された注目機能
v5.5.0の発表では、あわせてv5.4.0で加わった注目機能も紹介されました。
- 無償のGraalVM Community(
graalvm-community)を追加 - javacの警告・エラーをPR上に表示
-
cache: mavenでMaven Wrapperをキャッシュ
setup-java v5.5.0の概要
| 項目 | 詳細 |
|---|---|
| 提供元 | GitHub(actions/setup-java) |
| バージョン | v5.5.0 |
| 発表日 | 2026年7月8日 |
| 対象 | GitHub Actionsのワークフロー |
| 主な変更 | JDK署名検証、Kona JDK対応、Maven関連の改善 |
| 署名検証の対象 | TemurinとMicrosoft |
| 料金 | 無料(オープンソース) |
| 提供形態 | 正式リリース(v5.5.0) |
| 推奨の指定 | v5.5.0タグまたはコミットSHAへ固定 |
trends編集部の一言
署名検証は、サプライチェーン対策として意味のある追加です。CIでダウンロードしたJDKが改ざんされていないかを、導入の前に確認できます。
まずはTemurinやMicrosoftを使うワークフローでverify-signature: trueを試すとよいでしょう。Mavenの改善はログの見通しやツールチェーン管理にも効くため、更新の価値は高いといえます。
再現性とサプライチェーンの安全性を重視する場合は、可変のv5ではなく、v5.5.0タグか完全なコミットSHA(0f481fcb613427c0f801b606911222b5b6f3083a)への固定が推奨されています。
まず検証用のワークフローで挙動を確かめるとよいでしょう。詳細は公式のリリースノートでもご確認いただけます[2]。
References
- ^ GitHub. 「setup-java v5.5.0: signature verification, Kona JDK, and Maven fixes」. https://github.blog/changelog/2026-07-08-setup-java-v5-5-0-signature-verification-kona-jdk-and-maven-fixes, (参照 26-07-10).
- ^ actions/setup-java. 「Release v5.5.0」. https://github.com/actions/setup-java/releases/tag/v5.5.0, (参照 26-07-10).
※本記事は公式発表を基に編集しています。内容はAIで確認していますが、誤りや最新情報との差異がある場合はコメントよりご報告ください。
