GitHub, Copilot SDK ile oluşturulan uygulamalar için sunucudan sunucuya kimlik doğrulamayı sunarak, otomatik iş yüklerine, oturum açmış bir geliştiricinin kimlik bilgilerine ihtiyaç duymadan Copilot'a erişme yolu sağlıyor.
27 Ekim'de genel önizlemeyle yayınlanan bu özellik, bir kuruluşta yüklü GitHub Uygulamasını kullanıyor. Uygulama, kısa ömürlü bir kurulum jetonu alır ve Copilot kullanımı, kurulumun sahibi kuruluşa atfedilir ve ona fatura edilir. Kuruluşun model politikaları, bütçeleri ve harcama kontrolleri uygulama tarafından yapılan istekler için de geçerlidir.
Bu, Copilot'u dahili hizmetlere, veri havuzu otomasyonuna veya müşteriye yönelik geliştirici araçlarına yerleştiren ekiplerin operasyonel modelini değiştirir. Kimlik doğrulama artık hangi çalışanın yetkilendirdiğini değil, iş yükünün kendisini temsil edebiliyor.
Kullanıcı kimlik bilgilerinden uygulama kimliğine
Birçok aracı entegrasyonu, kişisel erişim jetonuyla veya bireysel bir geliştiriciye bağlı başka bir kimlik bilgisiyle başlar. Bu, prototip aşamasında uygun olabilir ancak entegrasyon kalıcı bir hizmet haline geldiğinde sorunlar yaratır. Çalışanlar rolleri değiştirir, kimlik bilgilerinin geçerliliği sona erer veya iptal edilir ve denetim kayıtları, otomatik etkinliklerin insan etkinlikleri gibi görünmesine neden olabilir.
GitHub'nin yeni yolu, GitHub Uygulamasına verilen bir yükleme jetonunu kullanır. Kurulum belirteçleri kısa ömürlüdür ve uygulamanın yükleme ve izinleri kapsamında kapsanır; bu da onları uzun ömürlü kullanıcı kimlik bilgilerine göre gözetimsiz iş yükleri için daha uygun hale getirir.
Bu ayrım yönetim açısından önemlidir. Bir kuruluş, her isteği nominal bir operatöre atfetmek yerine Copilot tüketiminden sorumlu uygulamayı tanımlayabilir. GitHub, AI kullanımı CSV raporlarında, sahiplerin analiz sırasında uygulama kaynaklı kullanımı ayırmasına olanak tanıyan bir app_client_id alanı içerir.
Geliştirici ekipleri için AI API kontrol düzlemi oluşturan ekipler için bu, yararlı bir kimlik modelidir: insan kullanıcılar, otomasyon hesapları ve dağıtılan uygulamalar, ayırt edilemeyen kimlik bilgilerini veya faturalandırma kayıtlarını paylaşmamalıdır.
Faturalandırma kuruluşa göre yapılır
Bu şekilde kimliği doğrulanan istekler, kuruluşun Yardımcı Pilot ödeneğini tüketir ve mevcut model politikalarına, bütçelerine ve harcama kontrollerine tabidir. Bu, yöneticilere bir uygulamanın hangi modelleri kullanabileceğine ve kuruluşun toplam AI harcamasına ne kadar izin vereceğine karar vermeleri için tek bir yer sağlar.
Bu aynı zamanda uygulama sahiplerinin sunucudan sunucuya erişimi bağımsız bir kapasite havuzu olarak değerlendiremeyeceği anlamına da gelir. Yoğun bir entegrasyon, diğer uygun Copilot faaliyetleriyle aynı kurumsal bütçeden yararlanabilir. Ekiplerin etkileşimli kullanımın yanı sıra otomatik tüketimi de izlemesi ve olayların, yeniden denemelerin ve beklenmedik istek döngülerinin paylaşılan sınırları nasıl etkileyeceğine karar vermesi gerekecek.
Mevcut önizleme, her uygulama veya kurulum için ayrı bir bütçeyi desteklemiyor. app_client_id alanı geriye dönük ilişkilendirmeye yardımcı olabilir, ancak uygulamaya göre raporlama, uygulamaya özel katı bir tavanın uygulanmasıyla eşdeğer değildir. İzolasyona ihtiyaç duyan kuruluşlar, otomatik iş yükleri önünde yine de kendi ölçüm katmanlarına veya ekipler için AI API harcama kontrollerine ihtiyaç duyabilir.
Geliştiricilerin neyi değiştirmesi gerekiyor
Bu özelliği benimseyen geliştiricilerin bir GitHub Uygulaması oluşturması, bunu ilgili kuruluşa yüklemesi ve uygulamanın kimlik bilgilerini bir yükleme jetonuyla değiştirmesi gerekir. Uygulama daha sonra Copilot SDK aracılığıyla arama yaparken bu kısa ömürlü jetonu kullanır. Bu nedenle dağıtım sistemleri, statik bir geliştirici jetonunu süresiz olarak depolamak yerine jeton verme ve yenileme işlemlerini gerçekleştirmelidir.
Operasyonel kayıtlar, hem GitHub Uygulama kimliğini hem de her istek için ücretlendirilen kuruluşu korumalıdır. Bu, birden fazla kuruluşa hizmet veren platformlar için özellikle önemlidir: Bir kurulum için verilen bir belirteç, başka bir müşterinin iş yükünü yönlendirmek için yeniden kullanılmamalı ve kullanım dışa aktarımları, doğru kiracıyla mutabakata varılmalıdır.
Model aynı zamanda ayrılmayı da etkiler. Bir geliştiricinin kaldırılması artık kuruluşa ait entegrasyonu devre dışı bırakmak zorunda değildir; GitHub Uygulamasının kaldırılması veya izinlerinin değiştirilmesi ise uygulamanın kendisi üzerinde daha doğrudan bir kontrol sağlar. Pratik sonuç, iş gücü kimliği ile iş yükü kimliği arasında daha net bir ayrımdır.
Kalan sınırlar
Sunucudan sunucuya kimlik doğrulama hâlâ genel bir önizleme aşamasında olduğundan GitHub, genel kullanıma sunulmadan önce sözleşmesini değiştirebilir. GitHub, bu kimlik doğrulama yolu üzerinden kurumsal düzeyde kurulumlara veya kişisel hesaplara yönelik destek açıklamadı.
Uygulama başına bütçe eksikliği, en acil kontrol açığıdır. Kuruluşlar hangi uygulamanın kullanım oluşturduğunu görebilir ancak henüz her uygulamaya veya kuruluma bağımsız bir Copilot bütçesi atayamazlar. Şirketler tek bir kuruluş altında birden fazla kodlama aracısı, inceleme hizmeti ve veri havuzu otomasyonu dağıttıkça bu durum daha da önemli hale geliyor.
Bu sınırlamaya rağmen sürüm, makine tarafından oluşturulan Copilot trafiği için daha net bir sahiplik modeli oluşturuyor. Kimlik doğrulama, politika ve faturalandırma artık yüklü bir uygulamaya ve organizasyonuna bağlanarak kalıcı otomasyon için ödünç alınan geliştirici kimlik bilgilerine göre daha savunulabilir bir temel oluşturuyor.