GitHub Copilot、ユーザー不在でも動くサーバー間認証をプレビュー提供

何が発表されたか

• GitHubは10月27日、GitHub Copilot のサーバー間（server-to-server）認証をパブリックプレビューとして提供開始した。組織にインストールされたGitHub App向けの仕組みで、Copilot SDK で作ったサービスやエージェントが、サインイン済みユーザーの資格情報なしで組織の代理として動作できる。
• 手順は、GitHub Appに読み取り専用の組織権限「Copilot Requests」を付与し、そのAppを組織にインストールし、短期のインストールアクセストークンをCopilot SDKに渡す、という流れになる。
• 利用量は、インストールを所有する組織に紐づけて計上・課金される。その組織のモデルポリシー、予算、支出管理がそのまま適用される。
• 組織オーナーは、どのAppがアクセスを持つかを確認できる。App単位の利用量は、AI利用状況のCSVレポートの app_client_id フィールドで確認できる。
• アクセスの取り消しは、Appのサスペンドまたはアンインストールで行う。
• 提供段階はパブリックプレビュー。

開発者への影響

• 常駐型の処理やバッチ、Webhook起点の自動化からCopilotを呼ぶ際に、特定個人のトークンに依存しない構成が取れるようになった。担当者の退職や権限変更で処理が止まる構成を避けられる。
• 権限は読み取り専用の「Copilot Requests」に限定されており、付与する権限の範囲が明確になっている。
• 課金と制御の主体が組織側に寄る設計である。既存の組織予算とモデルポリシーの中に収まるため、個人アカウント経由の利用に比べて利用状況を把握しやすい。
• 一方でApp単位の利用量追跡はCSVレポートの app_client_id に依存する。複数のAppを運用する場合は、どのAppがどれだけ消費したかを定期的に確認する運用が必要になる。
• パブリックプレビューであり、本番運用に組み込む場合は仕様変更の可能性を前提にしておく必要がある。