Microsoft разрешила публиковать расширения Marketplace через OIDC без долгоживущих PAT

28 октября Microsoft объявила Trusted Publishing для Visual Studio Marketplace. Разработчики могут выпускать расширения Visual Studio и VS Code из GitHub Actions или Azure Pipelines, не храня в CI/CD долгоживущий personal access token (PAT). Вместо него Marketplace проверяет удостоверение workflow или pipeline.

В GitHub Actions владелец расширения задаёт политику с разрешёнными репозиторием и workflow, а задача публикации запрашивает идентификатор через OpenID Connect (OIDC). После проверки Marketplace выдаёт временный credential, который действует 15 минут.

В Azure Pipelines используется Microsoft Entra-backed Workload Identity Federation (WIF): нужно настроить service connection и предоставить его identity роль Contributor у издателя расширения. Отдельную Trusted Publishing policy в Marketplace для этого пути создавать не требуется. Публикация с прежним PAT продолжает работать, поэтому переход можно выполнять отдельно для каждого проекта.

Для авторов расширений это убирает постоянный секрет из хранилища сборки, но требует заранее ограничить доверие конкретным publisher и workflow и проверить первый запуск прежде, чем удалять старый PAT. В USB.RU есть также материалы о пакете VSIX для GitHub Copilot for Azure и плагине Azure DevOps в Copilot Cowork.