トークン不要でnpmパッケージを公開できるtrusted publishingを試す

GitHubは、APIトークンを使わずにnpmに安全にパッケージを公開できる「trusted publishing」を発表しました。

実際に私が管理しているすべてのパッケージをtrusted publishingに移行したため、設定方法を紹介します。

trusted publishingとは？

npmのtrusted publishingとは、認証にOpenID Connect（OIDC）を使用して、GitHub ActionsまたはGitLab CI/CDのワークフローからnpmパッケージを安全に公開できる仕組みです。

trusted publishingを使うと、流出や再利用ができない、短期間のみ有効なワークフロー固有の認証情報でパッケージを公開できるため、長期間有効なトークンを管理する必要がなくなり、セキュリティが向上します。

また、trusted publishingを設定すると、指定したGitHub ActionsまたはGitLab CI/CDのワークフローからの公開のみを受け付けるようになります。

さらに、デフォルトでnpmのprovenance statementsが有効化されています。

provenance statementsは、npmパッケージの透明性を向上させられる機能で、日本語では「来歴証明」や「来歴情報」といったところでしょうか。

この機能を使うと、パッケージのnpmページにチェックマークのバッジが表示されるようになります。

このバッジをクリックすると、パッケージがどのリポジトリーのどのコミットからどのようなシステムでビルドされたかを確認できます。

手動でnpmパッケージを公開する場合などには、手元でコードを変更してから公開できてしまうため、GitHubで公開されているソースコードとnpmで公開されているコードが同一とは限りませんが、provenance statementsを使うとそれらが同一であることを証明できます。

なお、provenance statements自体は従来のトークンによるパッケージ公開でも利用できます。詳細については、こちらの記事で紹介しています。

Changesetsでnpmへのリリースを自動化する

最近、筆者が管理するいくつかのGitHubリポジトリーにChangesetsを導入しました。これによってnpmへのリリース作業を自動化でき、負担が減りました。この記事では、Changesetsを導入する手順を詳しく解説します。

2024年4月19日

trusted publishingの設定方法

すでにGitHub Actionsを利用してパッケージを公開している場合、trusted publishingへの移行は非常に簡単です。

まずは、trusted publishingに移行したいnpmパッケージの設定を開き、［Trusted Publisher］セクションで［GitHub Actions］または［GitLab CI/CD］を選択します。

ここでは例として、GitHub Actionsを選択しました。

それぞれの項目には、次のような内容を入力します。

• Organization or user：GitHubリポジトリーを所有している組織またはユーザー。たとえば、リポジトリーがhttps://github.com/facebook/react/ならfacebookと入力します
• Repository：GitHubのリポジトリー名。たとえば、リポジトリーがhttps://github.com/facebook/react/ならreactと入力します
• Workflow filename：npmにパッケージを公開する処理を実行するGitHub Actionsワークフローのファイル名。たとえば、.github/workflows/release.ymlでパッケージを公開している場合は、release.ymlと入力します
• Environment name：GitHub Actionsでenvironment機能を利用している場合は、npmパッケージの公開に使用するenvironmentの名前を入力します。environment機能を使用していない場合は空欄にします

必要な項目をすべて入力したら、［Set up connection］をクリックして設定を保存します。

次に、GitHub Actionsの設定ファイルを編集します。

ここでは、前述のChangesetsの記事のGitHub Actionsの設定を例として示しますが、Changesetsを使っていない場合でも同様の手順で移行できます。

1
name: Release
2

3
on:
4
    push:
5
        branches: [main]
6

7
concurrency: ${{ github.workflow }}-${{ github.ref }}
8

9
jobs:
10
    release:
11
        runs-on: ubuntu-latest
12

13
        permissions:
14
            contents: write
15
            id-token: write  # この設定を忘れずに
16
            pull-requests: write
17

18
        strategy:
19
            matrix:
20
                node-version: [24.x]
21

22
        steps:
23
            - uses: actions/checkout@v5
24

25
            - name: Use Node.js ${{ matrix.node-version }}
26
              uses: actions/setup-node@v4
27
              with:
28
                  node-version: ${{ matrix.node-version }}
29

30
            - run: npm ci
31

32
            - name: Create Release Pull Request or Publish to npm
33
              id: changesets
34
              uses: changesets/action@v1
35
              with:
36
                  version: npm run ci:version
37
                  publish: npm run ci:publish
38
              env:
39
                  GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
40
                  NPM_TOKEN: ${{ secrets.NPM_TOKEN }}

今回の場合は、単純に環境変数からNPM_TOKENを削除するだけで大丈夫です。

permissionsでid-token: writeを設定していない場合は、OIDCに必要なので追加してください。

これで、設定は完了です。npmにパッケージを公開できるか確認してください。

問題なくパッケージを公開できることが確認できたら、npmの不要になったトークンをGitHub Actionsのシークレットから削除するとともに、npmのダッシュボードから失効させておきましょう。

参考リンク

• npm trusted publishing with OIDC is generally available - GitHub Changelog
• Trusted publishing for npm packages | npm Docs