Copilot 서버 간 인증 공개: 개인 로그인 없는 자동화와 조직 과금의 경계

서버 간 인증을 표현한 생성형 개념 이미지. 실제 제품이나 관리 화면이 아니다.

서버에서 돌아가는 AI 에이전트가 개발자 개인 로그인에 묶여 있다면, 사람의 인증 상태가 자동화의 운영 조건이 된다. GitHub Copilot SDK에 새로 추가된 서버 간 인증은 조직에 설치한 GitHub App의 신원으로 요청하는 경로를 제공한다. 다만 인증을 분리한 뒤에는 조직 과금과 토큰 수명도 함께 관리해야 한다.

GitHub는 2026년 10월 27일 이 기능을 public preview로 발표했다. 개인의 로그인 자격 증명 없이 조직을 대신해 Copilot을 호출할 수 있으며, 사용량은 설치를 소유한 조직에 귀속된다. 정식 출시로 오해하면 안 된다. 공식 발표

먼저 실행 위치를 구분한다

GitHub Actions와 외부 서버는 설정 경로가 다르다.

조직 소유 저장소의 Actions에서는 기본 GITHUB_TOKEN과 copilot-requests: write 권한을 사용하는 경로가 안내되어 있다. 조직의 관련 CLI 과금 정책도 필요하다.

외부 서버나 다른 CI에서는 조직에 설치한 GitHub App의 단기 설치 토큰을 SDK에 전달한다. App의 조직 권한은 Copilot Requests의 Read-only다.

이 두 경로의 정책을 섞어서 적용하지 않는 것이 출발점이다. 서버 간 인증 문서

Read-only여도 비용이 발생한다

권한 이름만 보고 무료 조회 기능으로 판단하면 안 된다. 이 권한으로 수행한 Copilot 요청은 조직의 AI 크레딧을 소비할 수 있다.

관리 문서는 Copilot Business·Enterprise 조직 소유자를 대상으로 한다. 개인 계정 설치와 enterprise 설치는 이 인증 방식의 대상이 아니다. 조직에서 허용한 모델만 사용할 수 있고, 앱 하나만을 위한 별도 예산은 만들 수 없다고 명시한다.

예산 초과 알림과 사용 차단도 구분해야 한다. 알림만 보내는 예산은 추가 사용을 막지 않는다. 한도 도달 시 중단이 필요하면 해당 차단 옵션까지 검토해야 한다. 조직 앱 관리 문서

토큰 전달과 갱신을 명시한다

설치 토큰의 수명은 한 시간이다. 문서는 만료 전 새 토큰을 발급하고 실행 형태에 맞춰 클라이언트 또는 런타임을 재시작하도록 안내한다.

또 하나의 함정은 useLoggedInUser: false다. 자동 인증 탐색을 끄므로 환경변수에 토큰만 넣어두는 것으로 충분하지 않을 수 있다. SDK의 명시적인 토큰 옵션으로 전달해야 한다. 기존 런타임 URI를 사용하는 경우에는 그 런타임 프로세스의 설정을 확인한다. 토큰 전달·갱신 설명

아래는 네트워크 요청이나 토큰 생성 없이 환경변수의 존재만 검사하는 준비용 예제다. 인증 성공을 검증하는 코드는 아니며, 토큰 값을 출력하지 않는다.

실제 배포에서는 사용하는 SDK 버전에 맞는 생성자 옵션을 공식 예제와 대조해야 한다. 이 글에서는 GitHub App 생성, 권한 변경, 토큰 발급이나 유료 Copilot 요청을 실행하지 않았다.

운영 검증은 인증 성공 다음까지 본다

다음은 도입 시 권하는 점검 순서다.

호출이 의도한 조직으로 귀속되는지 확인한다.

토큰 만료 전 갱신과 프로세스 전환을 시험한다.

허용하지 않은 모델이나 부족한 권한을 정상적으로 오류 처리한다.

반복 실패 시 무한 재시도하지 않도록 제한한다.

비용과 접근 중단 방법을 운영 담당자가 알고 있는지 확인한다.

앱별 사용량은 AI 사용량 CSV의 app_client_id로 식별할 수 있다. 해당 필드가 없는 행을 곧바로 오류라고 판단하지 말고, 사용자·Actions 등 다른 귀속 경로와 구분해야 한다. 앱 설치를 중지하거나 제거하면 Copilot 외의 해당 설치 권한에도 영향이 생길 수 있다. 사용량 식별과 차단 범위

개인 로그인에서 조직 워크로드 신원으로 옮기는 변화는 자동화 운영에 유용하다. 적용 여부는 토큰 갱신, 조직 정책, 과금 귀속을 함께 검증한 뒤 결정하는 편이 좋다. 위 내용은 공식 문서 확인과 운영 제안이며 실제 서비스의 성공률이나 성능을 측정한 결과는 아니다.