本文目錄
GitHub Changelog 將 GitHub Copilot 的服務端到服務端鑑權標在 2026 年 10 月 27 日，面向安裝在組織上的 GitHub Apps，階段為公開預覽（public preview）。用 GitHub Copilot SDK 建置的服務與 agent，可以代表組織發起請求，無需依賴已登入使用者的憑證。Changelog 稱之為工作負載擁有的身分（workload-owned identity），便於自動化服務在更大規模下運行，而不把鑑權與用量綁到個人帳號。相關文章見 GitHub Copilot Assisted Permissions 正式 GA。
上述 Assisted permissions 文講的是另一類 Copilot 主題——CLI、應用與 VS Code 裡的工具核准。這裡談的是面向 Copilot SDK 的組織級安裝權杖。兩者不是同一功能。
App 安裝權杖路徑
開發者給 GitHub App 授予唯讀 Copilot Requests 組織權限，把應用安裝到組織，再把短時安裝存取權杖傳給 Copilot SDK。
面向 GitHub Actions 之外的服務，Copilot SDK 文件還補充：
- 建立 App 時將 Copilot Requests 設為 Read-only，並安裝到應承擔計費的組織。
- 簽發帶有組織 Copilot Requests 權限的安裝存取權杖；權杖通常以
ghs_開頭。 - 安裝權杖一小時後過期；過期前重新簽發，並用新權杖重啟 SDK 用戶端或宿主 runtime。
- 組織須已開啟來自 GitHub App 安裝的 Copilot requests。
- 透過 SDK 顯式選項傳入權杖（
gitHubToken、github_token或各語言等價項），並設useLoggedInUser: false。關閉後，runtime 不再自動發現使用者憑證，也不會把環境變數裡的COPILOT_GITHUB_TOKEN當作回退（既有 runtime URI 的另行設定以文件為準）。
計費與組織管控
用量歸屬並計費到擁有該安裝的組織。該組織的模型策略、預算與支出控制仍然適用。若請求的模型不可用，文件提示核對組織 Copilot 策略與捆綁 runtime。站內模型與額度近文見 GitHub Copilot 現在能用哪些模型，各自怎麼收費、GitHub Copilot AI Credits 詳解：計費方式與各模型成本。
組織擁有者可查看哪些應用有權限，在 AI usage CSV 中用 app_client_id 識別應用歸因用量，並透過暫停或解除安裝應用停止存取。組織／團隊近文見 GitHub Copilot 進 Teams：收到通知後可直接修 bug、開 PR。
GitHub Actions 是另一條路徑
文件還寫明：在組織存放庫的 workflow 裡，可為內建 GITHUB_TOKEN 授予 copilot-requests: write。該 Actions 路徑不需要 GitHub App，也不必另存鑑權密鑰，與上文 App 安裝權杖的開通步驟不是同一套。
本能力處於公開預覽，不是一般可用（GA）。組織開關、權杖簽發與 SDK 選項會因帳號與 runtime 而異。細節以 GitHub Changelog 與 Copilot SDK 文件為準。僅供參考。