npm, OIDC로 배포 태그 관리 지원…별도 권한을 켠 작업에만 허용

이번 소식

npm이 신뢰할 수 있는 배포 설정에서 배포 태그를 관리하는 권한을 추가했습니다. 배포 태그는 latest·next·beta처럼 어떤 버전을 가리킬지 정하는 이름입니다. 이제 허용된 자동화 작업은 오래 보관하는 접근 토큰 대신, 작업 때 발급되는 짧은 수명의 OIDC 인증으로 이 이름을 바꿀 수 있습니다.

주요 변경

• 태그 변경까지 인증 범위 확대: 기존 신뢰 배포는 패키지 발행과 발행 전 준비 단계인 스테이징을 지원했지만 태그 조작은 포함하지 않았습니다. 태그 때문에 별도 토큰을 남겨 두던 자동화도 이전을 검토할 수 있습니다.
• 설정마다 직접 허용: 패키지의 신뢰 배포 설정에서 Allow npm dist-tag를 켜야 합니다. 새 설정과 기존 설정 모두 기본값은 꺼짐이므로 자동으로 권한이 늘어나지 않습니다.
• 직접 발행 권한과 분리: 스테이징만 허용한 설정에도 태그 관리 권한을 줄 수 있습니다. 들어온 OIDC 인증이 이 권한을 켠 설정 중 하나와 일치하면 태그 작업이 허용됩니다. 기존 토큰 방식은 그대로 사용할 수 있습니다.

영향 대상과 활용

이 소식은 npm에 라이브러리를 배포하는 관리자를 위한 변경입니다. 예를 들어 이미 올린 시험 버전을 latest로 가리키게 하거나, 문제가 생겨 이전 버전으로 태그를 돌리는 작업에 활용할 수 있습니다. 일반 사용자가 패키지를 설치하는 방법이 새로 바뀐다는 뜻은 아닙니다.

태그 작업용 장기 토큰을 별도로 보관할 필요를 줄일 수 있지만, 실제 사용하려는 자동화에 새 권한과 호환 도구가 갖춰져야 합니다. 태그를 바꿀 수 있는 작업과 패키지를 직접 공개할 수 있는 작업의 권한을 따로 검토하는 것이 이번 변경의 핵심입니다.

사용 전 확인할 점

공식 문서는 OIDC 태그 관리에 npm CLI 11 계열은 11.21.0 이상, 12 계열은 12.2.0 이상을 요구합니다. 신뢰 배포의 지원 환경은 GitHub 호스팅 실행기, GitLab.com 공유 실행기, CircleCI 클라우드이며 자체 호스팅 실행기는 아직 지원하지 않습니다.

비공개 패키지의 태그를 읽을 때도 해당 권한이 필요합니다. 이 권한이 설치·접근 관리 등 모든 npm 명령의 인증을 대신하지는 않습니다. 이번 기사에서는 실제 배포나 권한 변경을 실행하지 않았습니다.

공식 출처·발표 시점

발표 시각: 2026년 10월 1일 06:03 KST, GitHub 공식 게시 시각 기준. 세부 조건은 npm 신뢰 배포 문서에서 확인했습니다.

원문 출처 보기 →