Visual Studio Marketplace'e PAT olmadan güvenli yayın: Trusted Publishing
Visual Studio Marketplace, VS Code ve Visual Studio eklentilerini uzun ömürlü PAT saklamadan yayınlamayı sağlayan Trusted Publishing özelliğini duyurdu. GitHub Actions ve Azure Pipelines destekleniyor. Eklenti yayınlayan geliştiriciler için CI/CD sırrını ortadan kaldırıyor.
Kilit noktalar
- GitHub Actions için Marketplace'te Trusted Publishing politikası oluşturun; depo sahibi, depo adı, workflow dosyası ve varsa ortam adı tam eşleşmeli.
- Özel depolarda politika, oluşturulduktan sonra 48 saat içinde ilk token alışverişiyle kalıcı hale gelir.
- Yayın işine id-token: write izni ekleyin ve vsce komutunu OIDC ile çalıştırın.
- Azure Pipelines'ta Marketplace politikası oluşturmayın; WIF service connection kullanıp kimliğe yayıncı üzerinde Contributor rolü verin.
- PAT'i yalnızca OIDC ile başarılı bir yayın doğruladıktan sonra silin.
Visual Studio Marketplace, Trusted Publishing özelliğini duyurdu. Bu sayede VS Code ve Visual Studio eklentileri, uzun ömürlü Azure DevOps PAT'i saklanmadan yayınlanabiliyor. CI/CD sistemi federated identity sunuyor, Marketplace bunu yayın öncesinde doğruluyor. GitHub Actions için yayıncı sayfasında depo, workflow dosyası ve varsa ortam adını içeren bir politika oluşturulur; üretilen belirteç 15 dakika geçerlidir.
Azure Pipelines ise Workload Identity Federation ile yapılandırılmış bir service connection kullanır. Mevcut PAT tabanlı yayın çalışmaya devam ediyor, geçiş depo bazında yapılabilir. GitHub'da yayın işine id-token: write izni eklenip vsce komutu OIDC'ye çevrilir. Özel depolarda politikanın 48 saat içinde çalıştırılması gerekir. Yazar, PAT'i ancak ilk federated yayın başarılı olduktan sonra silmeyi öneriyor.
Gerçek dünyada kullanımı
- Her sürümde otomatik VS Code eklentisi yayınlayan açık kaynak bir ekip, PAT'i CI sırlarından kaldırmak istiyor.
- Azure DevOps pipeline'ından Visual Studio eklentisi yayınlayan bir kurumsal ekip, WIF service connection ile kimlik yönetimini merkezileştirmek istiyor.
Neden önemli
Eklenti yayınlayan geliştiriciler için uzun ömürlü PAT sızıntı riskini ve periyodik döndürme yükünü ortadan kaldırıyor. Yeni kurulumda PAT yerine kısa ömürlü kimlik kullanmak daha güvenli varsayılan haline geliyor.