GitHub CopilotのCI/CD：個人トークン不要、チーム別コスト制御

GitHubは2026年7月2日、Copilot向けに2つの独立したエンタープライズアップデートを発表した。いずれも同じ戦略的方向性を共有している。手動管理の削減と自動的な保護の強化。一方はCI/CDパイプラインにおける認証に関するもので、もう一方はチーム別のAIクレジット財務管理に関するものだ。

自動化されたワークフローにおける個人トークンの終わり

これまでGitHub ActionsにCopilot CLIを統合するには、各チームまたは開発者がリポジトリまたは組織のシークレットに個人アクセストークン（PAT）を保存する必要があった。PATはその後ワークフロー内のCopilot認証に使用された。このアプローチは機能したが、既知の問題をもたらした。PATは長い有効期間を持ち、具体的なユーザーアカウントに紐付けられ、侵害または更新忘れがあればセキュリティリスクとなる。

7月2日から、Copilot CLIはネイティブGITHUB_TOKEN——GitHub Actionsがワークフロー実行ごとに自動生成する短命のトークン——で機能する。手動での作成、保存、更新はもう不要だ。

新しいメカニズムを使用するには、ワークフローに明示的なcopilot-requests: write権限が必要だ。課金は個別ユーザーから組織に移行するため、「Allow use of Copilot CLI billed to the organization」ポリシーを有効にする必要がある（組織にすでにCopilot CLIポリシーがある場合はデフォルトで有効）。CLIはcopilot updateまたはnpm install -g @github/copilotで更新できる。

PATの排除がセキュリティに意味すること

長命のPATから短命のGITHUB_TOKENへの認証の移行は単なる「品質向上」の変更ではない。ワークフロー設定から消えた長命のトークンはそれぞれ、潜在的な侵害のリスクが1つ減ることを意味する。GitHubはこの新しいアプローチが「大規模な自動化のための長命のPATを管理する運用上・セキュリティ上のリスクを排除する」と明示的に述べている。

Copilot CLIステップを含むCI/CDパイプラインを持つ数十または数百のリポジトリを持つ組織にとって、このシステム的な変更はトークンの状態と有効期限を追跡するセキュリティチームの攻撃面と運用負担を大幅に削減できる。

コストセンターと自動AIクレジットプール

同日の2つ目のChangelogは、コストセンター——チームまたは部門レベルでユーザーをグループ化してコストを管理するGitHubのメカニズム——内のAIクレジットプールを導入した。

新しいシステムは2つのレイヤーで機能する。最初のレイヤーは、Copilot BusinessおよびCopilot Enterpriseライセンスに付属するクレジット——含まれるクレジット——の使用を制御するAIクレジットプールだ。GitHubは各コストセンターの上限を自動的に計算し、割り当てられたライセンス数に基づいてライセンスが追加または削除されると調整する。手動での数値入力もチームごとの「フェアシェア」の見積もりも不要だ。

2つ目のレイヤーは、含まれるクレジットが使い切られ支払いが従量制になるときにのみ有効になるメータードコストの個別予算だ。組織は最初のレイヤーを超えた場合にブロックするか許可するかを設定できる。

解決する主要な問題：1つのアクティブなチームが、組織内の他のチームも費用を負担した共有AIクレジットを無意識に使い切ることができなくなる。GitHubはこの状況を自動的に防ぎ、手動監視の必要がない。

AIコスト管理がインフラになる

両方のアップデートは技術的な詳細を超えた共通のサブテキストを持つ。AIが開発プロセスの不可欠な部分になるにつれて、エンタープライズ組織は他のインフラに対してすでに持っているのと同じコントロールメカニズムを求めている。

PATの排除は「本番プロセスで長命のクレジデンシャルを使用しない」という原則の実例だ。AIクレジットプールはクラウド環境でのチーム別予算上限の実例だ。GitHubはCopilotの採用ペースに合わせた管理レイヤーを構築している——これはAIコストを取締役会の前で正当化・管理しなければならないCIOとCISOからの増大する要求だ。

Copilotを CI/CDに統合するエンジニアとDevOpsチームにとって、両方のアップデートは手動作業の削減と自動的な保護の強化を意味する——これはスケーラブルな使用においてこの文脈での唯一の許容できる解決策だ。