この用語の意味
Trusted Publishingは、公開先が信頼するCI環境などの実行元をOIDCで確認し、短期間の認証情報でパッケージを公開する仕組みです。長期間使う公開用トークンをCIへ保存する負担を減らせます。公開される内容の品質を保証する認証ではありません。
何ができるか
開発担当者が、公開用トークンの保存・更新を減らし、どのリポジトリや実行条件から公開できるかを管理できます。公開先とCIの双方が対応している必要があります。
実際に使うために必要なもの
対応する公開先・CI、管理権限、信頼するリポジトリ・ワークフロー・実行環境の設定を用意します。公開の承認、ログ確認、設定変更者、障害時の手順も決めます。
設定と移行試験、CI実行、承認・保守の作業が必要です。CIの実行時間や公開先の契約料金を確認し、秘密情報の管理負担と合わせて比較します。
OIDCを用いる仕組みで、PyPIなどが提供しています。PyPIの信頼設定や対応CIの条件を、ほかのサービスへそのまま適用しません。必要な権限と許可する実行条件を限定します。 情報確認日：2026年10月14日。
小さく試す運用例
試験用のパッケージと公開先で、許可したワークフローだけが公開できるか確認します。許可するリポジトリ・ワークフローを公開先へ登録し、ブランチ制限や公開前承認はCIの環境保護など対応する機能にも設定します。別ブランチ・別リポジトリからの試行が拒否されることと、成功・失敗のログを管理者が確認します。
人が確認すること・注意点
CIや信頼設定を操作できる人の権限が重要です。担当者の離任時は信頼設定も見直します。短期認証でも不正なコードや誤公開を防げるとは限らず、内容と公開先を確認します。
関連する事例・テンプレート
- Git：Gitの基礎を確認し、本用語の安全な運用につなげます。
- アクセストークン（Access Token）：アクセストークン（Access Token）の基礎を確認し、本用語の安全な運用につなげます。
- サービスアカウント：サービスアカウントの基礎を確認し、本用語の安全な運用につなげます。
参考情報
- PyPI：Trusted Publishers（確認日：2026-10-14）
- PyPI：Security Model and Considerations（確認日：2026-10-14）