npm 2FA 우회 세분화 토큰의 관리 권한 제한
2FA를 우회하는 npm 세분화 접근 토큰이 계정·조직·패키지 관리 작업을 더 이상 수행하지 못하도록 바뀌었습니다.
교안에 영향
2FA 우회 npm 세분화 토큰으로 토큰 생성·삭제, 패키지 권한 변경, 조직/팀 관리, 패키지 권한 부여 작업을 하던 기존 안내 글은 더 이상 맞지 않습니다.
요약
- npm granular access tokens에서 2FA 우회 토큰의 민감한 계정, 조직, 패키지 관리 작업이 차단되었습니다. - 토큰 생성·삭제, 패키지 접근/소유자/ trusted publishing 설정 변경은 이제 인터랙티브 2FA 확인이 필요합니다. - 조직·팀 멤버십과 패키지 권한 관리도 인터랙티브 2FA로만 처리됩니다. - GitHub personal access tokens, GitHub App tokens, GITHUB_TOKEN in Actions에는 영향이 없습니다.
바뀐 것
기타
- 이 변경은 npm granular access tokens에만 적용되며, GitHub personal access tokens, GitHub App tokens, GITHUB_TOKEN in Actions에는 영향을 주지 않습니다.
- 2FA 우회 토큰의 direct publish는 다음 단계에서 추가로 제한될 예정이며, 자동 게시를 trusted publishing (OIDC) 또는 staged publishing으로 옮기도록 안내했습니다.
수정
- npm granular access tokens에서 2FA 우회 토큰이 민감한 계정, 조직, 패키지 관리 작업을 수행하지 못하게 했습니다.
- Creating or deleting tokens 작업은 이제 인터랙티브 2FA 챌린지가 필요합니다.
- Changing package access, maintainers, or trusted publishing configuration 작업은 이제 인터랙티브 2FA 챌린지가 필요합니다.
- Managing organization/team membership and package grants 작업은 이제 인터랙티브 2FA 챌린지가 필요합니다.