GitHub 호스팅 레지스트리용 Dependabot 자동 접근
Dependabot이 개인용 GitHub Packages 레지스트리를 개인 액세스 토큰 없이 읽을 수 있게 됐습니다.
교안에 영향
Dependabot이 GitHub Packages를 읽는 방식이 바뀌어, 옛 글의 PAT 설정 안내는 더 이상 항상 맞지 않게 됐습니다.
요약
- Dependabot이 private GitHub Packages registries를 개인 액세스 토큰 없이 읽을 수 있습니다. - 패키지 설정의 "Manage Actions access"에서 저장소에 Read access를 부여하면 Dependabot이 그 권한을 재사용합니다. - Dependabot의 GITHUB_TOKEN이 packages: read를 요청할 수 있고, *.pkg.github.com과 ghcr.io에서 패키지를 가져올 때 이 토큰을 보냅니다. - dependabot.yml 변경 없이 사용할 수 있으며, 이 패키지들에 대해 추가한 PAT 기반 registry entries는 제거할 수 있습니다. - 초기 배포 후 일부 npm 업데이트 작업에서 충돌이 있어 잠시 롤백했지만, 현재는 자동 GitHub Packages credentials를 대체 인증으로만 사용하도록 다시 활성화했습니다.
바뀐 것
새 기능
- Dependabot이 private GitHub Packages registries를 개인 액세스 토큰 없이 읽을 수 있게 되었습니다.
- 패키지 설정의 "Manage Actions access"에서 저장소에 Read access를 부여하면 Dependabot이 그 권한을 재사용합니다.
- Dependabot의 GITHUB_TOKEN이 packages: read를 요청하고 *.pkg.github.com과 ghcr.io에서 패키지를 가져올 때 사용할 수 있게 됐습니다.
개선
- dependabot.yml을 수정하지 않아도 되며, 해당 패키지의 PAT 기반 registry entries를 제거할 수 있게 됐습니다.
기타
- 초기 배포 후 일부 npm 업데이트 작업과의 충돌로 잠시 롤백했다가, 자동 GitHub Packages credentials를 대체 인증으로만 쓰도록 다시 활성화했습니다.