GitHub Copilot（コパイロット）、組織に入れたGitHub Appでサーバー間認証に対応Copilot SDK製のエージェントが個人のログインなしで動く、パブリックプレビュー

GitHubは現地時間2026年10月27日（日本時間10月28日朝）、GitHub Copilot（コパイロット）にサーバー間認証を追加し、パブリックプレビューで公開したと発表しました。組織にインストールしたGitHub Appを使うことで、Copilot SDKで作ったサービスやエージェントが、サインイン中のユーザーの資格情報なしで組織の代理としてリクエストできます。利用と課金は、インストールを所有する組織に帰属します。

3行まとめ

1. GitHub Copilotが、組織にインストールしたGitHub App向けのサーバー間認証をパブリックプレビューで提供（2026年10月27日発表）
2. 必要なのは読み取り専用の組織権限「Copilot Requests」と、Copilot SDKに渡す短期のインストールアクセストークン
3. 利用と課金はインストールを所有する組織に帰属し、組織のモデルポリシー・予算・支出管理が適用される

本記事の内容は、日本時間10月28日6時台に公式ページで確認したものです。

何ができるようになったのか

GitHubの発表によると、今回の仕組みでは、Copilot SDKで作ったサービスやエージェントが、ユーザーの資格情報に頼らずに組織の代理としてリクエストを出せます。

GitHubはこれを「workload-owned identity（ワークロードが持つ ID）」と呼び、エージェントや自動化サービスが大きな規模でも安定して動けるように、認証と利用を個々のユーザーに結びつけない設計だと説明しています。

手順は、公式の説明では次の3段階です。

1. GitHub Appに、読み取り専用の組織権限「Copilot Requests」を付ける
2. そのアプリを組織にインストールする
3. 短期間有効なインストールアクセストークンをCopilot SDKに渡す

誰が、いつから使えるのか

公式ページの表示は「パブリックプレビュー」です。公開日は2026年10月27日で、ページの公開時刻情報は米国太平洋時間14時36分、日本時間では10月28日6時36分にあたります。

対象は「組織にインストールしたGitHub App」です。今回取得した公式ページには、対応するCopilotのプラン名や、日本を含む提供地域についての記載は見当たりませんでした（取得した本文を、プラン・料金・地域に関する語で確認した範囲での話です）。

料金と課金は誰に付くのか

GitHubは、この仕組みによって認証と利用が個々のユーザーに結びつかなくなると説明しています。利用は組織に付き、その組織のモデルポリシー・予算・支出管理が適用される、というのが公式の記載です。料金の単価そのものは、今回確認した公式ページには載っていません。

管理者は何を確認でき、どう止められるのか

組織のオーナー向けに、公式ページは次の3点を挙げています。

• どのアプリにアクセスがあるかを確認できる
• AI利用状況のCSVレポートで、app_client_id フィールドを使ってアプリ経由の利用を見分けられる
• アプリを一時停止（suspend）するかアンインストールすることで、アクセスを止められる

公式の説明では、アクセスを止める操作はアプリの一時停止かアンインストールで行います。

前と何が違うのか

発表の文言から読み取れる違いは、認証の主体です。発表は「サインイン中のユーザーの資格情報に頼らない」と述べており、今回は組織にインストールされたアプリが主体になります。GitHubは、これによってエージェントや自動化サービスの認証と利用が個々のユーザーに結びつかなくなると説明しています。

関連する直近のCopilot関連の発表としては、権限の確認をLLMが判定する Assisted permissions の一般提供や、未設定の機能に適用される全体の既定ポリシーがあります。

筆者が公式ページで確認したこと

日本時間10月28日6時47分に公式のchangelogページを取得した時点で、本文は4つの短い段落で、最後の段落はGitHub Docsへのリンク2本（「server-to-server authentication for the GitHub Copilot SDK」と「managing GitHub App access to your organization's Copilot」）の案内でした。ページ自身が「1 minute read」と表示している通り、発表の本文は短く、トークンの有効時間やSDK側のコード例など、実装の細部は発表ページには出てきません。

細部はリンク先のDocsにあると考えられますが、筆者は今回、そのDocsの2ページまでは取得していません。実装に使う場合は、そちらを直接確認してください。

今回の発表だけでは分からないこと

• 対応プランと地域: 今回確認した公式ページには、対応するCopilotのプランや提供地域の記載は見当たりませんでした。
• 料金の額: 課金が組織に付くことは書かれていますが、単価や上限の数字は、今回確認したページにはありません。
• 一般提供の時期: パブリックプレビューであることは書かれていますが、一般提供の予定時期は今回確認したページに記載がありません。
• 動作の検証: 本記事は公式発表の内容を整理したもので、筆者が実際にGitHub Appを作って試したものではありません。

出典と確認時刻

• GitHub Changelog「GitHub Copilot supports server-to-server authentication」（2026年10月27日）: https://github.blog/changelog/2026-10-27-github-copilot-supports-server-to-server-authentication

確認時刻は日本時間2026年10月28日6時47分です。本記事は続報があり次第更新します。