GitLab 18.3에서는 잡 토큰에 대한 세분화된 권한이 일반 공급(General Availability)으로 출시되어 중요한 보안 위험을 해결했습니다. 이전에는 잡 토큰이 사용자 계정으로부터 과도한 권한을 상속받아 탈취될 경우 취약점을 야기했습니다. 이 새로운 기능은 유지보수자가 세분화된 권한을 적용하여 특정 API 리소스에 대한 잡 토큰 접근을 제어할 수 있도록 합니다. 최소 권한 원칙에 따라 잡 토큰은 명시적으로 부여될 때까지 초기에는 API 접근 권한이 없습니다.이번 릴리스에는 리포지토리, 배포, 환경, 작업, 패키지, 파이프라인, 릴리스, 보안 파일 및 Terraform 상태에 대한 세분화된 권한이 포함됩니다. 향후 릴리스에서는 추가 API 엔드포인트로 확장하여 소프트웨어 공급망 보안을 강화할 예정입니다. 이 변경은 필요한 리소스에 대한 접근을 제한함으로써 공격 표면을 줄입니다. 또한 장기 토큰에 대한 의존성을 제거하여 개인용 액세스 토큰보다 안전한 대안을 제공합니다.이 기능은 잡 토큰을 사용자 ID에서 완전히 분리하기 위한 기반을 마련함으로써 기계 기반 ID를 준비합니다. 보안을 손상시키지 않으면서 복잡한 CI/CD 워크플로우를 위한 대규모 자동화를 가능하게 합니다. 보안 팀 및 DevOps 엔지니어는 자동화된 배포 및 인프라 관리를 위해 이 옵트인 기능을 평가하는 것이 좋습니다. 중요한 파이프라인을 식별하고, 권한 요구 사항을 감사하고, 기능을 활성화하고, 최소 액세스를 구성하여 점진적인 마이그레이션을 권장합니다.