GitHub zaviedla autentifikáciu server-to-server pre aplikácie vytvorené pomocou nástroja Copilot SDK, čo umožňuje automatizovaným pracovným zaťaženiam získať prístup k nástroju Copilot bez spoliehania sa na poverenia prihláseného vývojára.

Funkcia uvedená vo verejnej ukážke 27. októbra používa aplikáciu GitHub nainštalovanú v organizácii. Aplikácia získa krátkodobý inštalačný token a používanie Copilota sa pripisuje a účtuje organizácii, ktorá inštaláciu vlastní. Modelové pravidlá organizácie, rozpočty a kontroly výdavkov sa vzťahujú aj na požiadavky aplikácie.

Tým sa mení operačný model pre tímy, ktoré integrujú Copilot do interných služieb, automatizácie úložísk alebo vývojárskych nástrojov pre zákazníkov. Autentifikácia môže teraz predstavovať samotné pracovné zaťaženie, nie ktorýkoľvek zamestnanec, ktorý ho náhodou autorizoval.

Od poverení používateľa k identite aplikácie

Mnohé integrácie agentov začínajú osobným prístupovým tokenom alebo iným poverením viazaným na jednotlivého vývojára. To môže byť výhodné počas prototypu, ale vytvára to problémy, keď sa integrácia stane trvalou službou. Zamestnanci menia roly, platnosť poverení vyprší alebo sú odvolané a záznamy auditu môžu spôsobiť, že automatizovaná činnosť bude vyzerať ako ľudská činnosť.

Nová cesta

GitHub používa inštalačný token vydaný pre aplikáciu GitHub. Inštalačné tokeny majú krátku životnosť a rozsah sa vzťahuje na inštaláciu a povolenia aplikácie, vďaka čomu sú vhodnejšie pre bezobslužné pracovné zaťaženie ako dlhodobé poverenia používateľa.

Rozlíšenie je dôležité pre riadenie. Organizácia môže identifikovať aplikáciu zodpovednú za spotrebu Copilot namiesto priradenia každej požiadavky nominálnemu operátorovi. GitHub obsahuje pole app_client_id v prehľadoch CSV o používaní AI, čo umožňuje vlastníkom počas analýzy oddeliť použitie pochádzajúce z aplikácie.

Pre tímy vytvárajúce AI API riadiacu rovinu pre vývojárske tímy je to užitočný vzor identity: ľudskí používatelia, automatizačné účty a nasadené aplikácie by nemali zdieľať nerozoznateľné poverenia ani fakturačné záznamy.

Fakturácia sa riadi organizáciou

Požiadavky overené týmto spôsobom spotrebúvajú príspevok organizácie Copilot a riadia sa jej existujúcimi modelovými politikami, rozpočtami a kontrolami výdavkov. To dáva správcom jedno miesto, kde sa môžu rozhodnúť, ktoré modely môže aplikácia používať a koľko súhrnných výdavkov na AI organizácia povolí.

Znamená to tiež, že vlastníci aplikácií nemôžu považovať prístup server-to-server za nezávislý fond kapacity. Zaneprázdnená integrácia môže čerpať z rovnakého organizačného rozpočtu ako iná oprávnená aktivita Copilota. Tímy budú musieť monitorovať automatizovanú spotrebu popri interaktívnom používaní a rozhodovať o tom, ako by mali incidenty, opakované pokusy a neočakávané slučky požiadaviek ovplyvniť zdieľané limity.

Aktuálna ukážka nepodporuje samostatný rozpočet pre každú aplikáciu alebo inštaláciu. Pole app_client_id môže pomôcť pri spätnom priraďovaní, ale nahlasovanie podľa aplikácie nie je ekvivalentom presadzovania pevného stropu pre konkrétnu aplikáciu. Organizácie, ktoré potrebujú izoláciu, môžu stále vyžadovať vlastnú meraciu vrstvu alebo AI API kontrolu výdavkov pre tímy pred automatizovanými úlohami.

Čo musia vývojári zmeniť

Vývojári, ktorí si túto funkciu osvoja, musia vytvoriť GitHub aplikáciu, nainštalovať ju do príslušnej organizácie a vymeniť poverenia aplikácie za inštalačný token. Aplikácia potom použije tento krátkodobý token pri volaní cez Copilot SDK. Systémy nasadenia sa preto musia zaoberať vydávaním a obnovovaním tokenov, a nie ukladaním statického tokenu vývojára na neurčito.

Prevádzkové záznamy by mali zachovať identitu aplikácie GitHub aj organizácie, ktorá je účtovaná za každú žiadosť. To je obzvlášť dôležité pre platformy slúžiace viacerým organizáciám: token vydaný pre jednu inštaláciu sa nesmie opätovne použiť na smerovanie pracovnej záťaže iného zákazníka a exporty používania by sa mali porovnávať so správnym nájomníkom.

Model ovplyvňuje aj offboarding. Odstránenie jedného vývojára už nemusí deaktivovať integráciu vlastnenú organizáciou, zatiaľ čo odinštalovanie aplikácie GitHub alebo zmena jej povolení poskytuje priamu kontrolu nad samotnou aplikáciou. Praktickým výsledkom je čistejšie oddelenie identity pracovnej sily a identity pracovnej záťaže.

Zostávajúce limity

Autentifikácia server-to-server je stále verejná ukážka, takže GitHub môže zmeniť svoju zmluvu pred všeobecnou dostupnosťou. GitHub neoznámila podporu pre inštalácie na podnikovej úrovni alebo osobné účty prostredníctvom tejto autentifikačnej cesty.

Nedostatok rozpočtov na jednotlivé aplikácie je najbezprostrednejšou medzerou v kontrole. Organizácie môžu vidieť, ktorá aplikácia generovala využitie, ale zatiaľ nemôžu priradiť každej aplikácii alebo inštalácii samostatný rozpočet Copilot. To sa stáva dôležitejším, keď spoločnosti nasadzujú viacero kódovacích agentov, kontrolné služby a automatizáciu úložísk v rámci jednej organizácie.

Aj s týmto obmedzením zavádza vydanie jasnejší model vlastníctva pre strojovo generovanú prevádzku Copilota. Autentifikácia, pravidlá a fakturácia sa teraz pripájajú k nainštalovanej aplikácii a jej organizácii, čím vytvárajú obhajiteľnejší základ pre trvalú automatizáciu než vypožičané poverenia vývojára.