本文目录
GitHub Changelog 将 GitHub Copilot 的服务端到服务端鉴权标在 2026 年 10 月 27 日，面向安装在组织上的 GitHub Apps，阶段为公开预览（public preview）。用 GitHub Copilot SDK 构建的服务与 agent，可以代表组织发起请求，无需依赖已登录用户的凭据。Changelog 称之为工作负载拥有的身份（workload-owned identity），便于自动化服务在更大规模下运行，而不把鉴权与用量绑到个人账号。相关文章见 GitHub Copilot Assisted Permissions 正式 GA。
上述 Assisted permissions 文讲的是另一类 Copilot 主题——CLI、应用与 VS Code 里的工具审批。这里谈的是面向 Copilot SDK 的组织级安装令牌。两者不是同一功能。
App 安装令牌路径
开发者给 GitHub App 授予只读 Copilot Requests 组织权限，把应用安装到组织，再把短时安装访问令牌传给 Copilot SDK。
面向 GitHub Actions 之外的服务，Copilot SDK 文档还补充：
- 创建 App 时将 Copilot Requests 设为 Read-only，并安装到应承担计费的组织。
- 签发带有组织 Copilot Requests 权限的安装访问令牌；令牌通常以
ghs_开头。 - 安装令牌一小时后过期；过期前重新签发，并用新令牌重启 SDK 客户端或宿主 runtime。
- 组织须已开启来自 GitHub App 安装的 Copilot requests。
- 通过 SDK 显式选项传入令牌（
gitHubToken、github_token或各语言等价项），并设useLoggedInUser: false。关闭后，runtime 不再自动发现用户凭据，也不会把环境变量里的COPILOT_GITHUB_TOKEN当作回退（既有 runtime URI 的另行配置以文档为准）。
计费与组织管控
用量归属并计费到拥有该安装的组织。该组织的模型策略、预算与支出控制仍然适用。若请求的模型不可用，文档提示核对组织 Copilot 策略与捆绑 runtime。站内模型与额度近文见 GitHub Copilot 现在能用哪些模型，各自怎么收费、GitHub Copilot AI Credits 详解：计费方式与各模型成本。
组织所有者可查看哪些应用有权限，在 AI usage CSV 中用 app_client_id 识别应用归因用量，并通过暂停或卸载应用停止访问。组织／团队近文见 GitHub Copilot 进 Teams：收到通知后可直接修 bug、开 PR。
GitHub Actions 是另一条路径
文档还写明：在组织仓库的 workflow 里，可为内置 GITHUB_TOKEN 授予 copilot-requests: write。该 Actions 路径不需要 GitHub App，也不必另存鉴权密钥，与上文 App 安装令牌的开通步骤不是同一套。
本能力处于公开预览，不是一般可用（GA）。组织开关、令牌签发与 SDK 选项会因账号与 runtime 而异。细节以 GitHub Changelog 与 Copilot SDK 文档为准。仅供参考。