장기 고정 자격 증명에 대한 의존 축소
Vercel이 OIDC와 Vercel Connect를 확장해 장기 고정 자격 증명 사용을 줄이고, Marketplace 공급자에도 새 인증 요구를 적용합니다.
교안에 영향
예전에는 Marketplace 공급자나 배포 워크플로에서 장기 Vercel 토큰과 공급자 키 사용을 전제로 한 안내가 일부 맞지 않게 됩니다.
요약
- OIDC 지원을 Vercel 전반과 Vercel API, CLI로 확장해 장기 Vercel 토큰과 공급자 키 의존을 줄입니다. - Vercel Connect로 배포 신원을 사용해 런타임에 짧은 수명의 공급자 토큰을 요청할 수 있게 했습니다. - OIDC UI를 통해 공급자용 trust-policy 설정과 서버측 토큰 검증 코드를 제공합니다. - Marketplace 공급자에 대해 OIDC auth 지원을 요구하고, 장기 비밀만 사용하는 목록에는 경고와 delist 기준을 적용합니다.
바뀐 것
새 기능
- Vercel Connect에서 배포 신원으로 런타임에 공급자 토큰을 요청하고, 환경 변수에 장기 비밀을 저장하지 않게 했습니다.
- Vercel API와 CLI에 OIDC 지원을 추가해 배포 워크플로에서 장기 Vercel 토큰 필요성을 줄였습니다.
- OIDC UI를 제공해 Vercel, GitHub, GitLab, Google, Bitbucket, AWS, Azure, custom OIDC issuers용 trust-policy 설정과 토큰 검증을 돕습니다.
개선
- Vercel 전반에서 OIDC 지원을 넓혀 Blob, AI Gateway, Sandbox를 장기 키 없이 사용할 수 있게 했습니다.
기타
- Marketplace 공급자에 대해 OIDC auth 지원 요구를 강화하고, 지원하지 않는 공급자에는 2026-11-30부터 경고 메시지를, 2027-01부터 delist 기준을 적용합니다.
- Vercel Functions의 플랫폼 발급 토큰 재사용, Vercel Connect의 provider token 캐싱, custom-audience 및 provider exchange의 네트워크 호출 동작을 설명했습니다.