Copilot mở xác thực máy chủ: GitHub App dùng ngân sách tổ chức

Tác vụ nền không còn phải dựa vào một người đang đăng nhập

GitHub công bố hỗ trợ xác thực server-to-server cho Copilot ngày 27/10/2026, ở trạng thái public preview. GitHub App cài trên organization có thể dùng installation access token của chính ứng dụng để gửi yêu cầu Copilot, thay vì yêu cầu một người đăng nhập tương tác. Tài liệu quản trị và hướng dẫn SDK được bổ sung để giải thích đường xác thực này.

Tin được biên tập ngày 28/10. Với đội đang nghiên cứu trợ lý xử lý issue, chuẩn bị thay đổi mã hoặc tác vụ nền nội bộ, khả năng mới làm rõ một hướng tích hợp bằng danh tính ứng dụng. Nó không tự chứng minh một bài toán có nhu cầu thương mại, không cấp quyền triển khai không giám sát và không bảo đảm public preview sẽ giữ nguyên mọi chi tiết.

Read-only là tên quyền, không phải cam kết miễn phí

Tài liệu yêu cầu GitHub App có quyền organization Copilot Requests ở mức Read-only. Trong trường hợp này, quyền cho phép gửi yêu cầu tiêu thụ AI credits của tổ chức. Vì vậy, việc nhìn thấy chữ Read-only không có nghĩa ứng dụng chỉ xem thông tin hoặc không làm phát sinh chi phí. Người duyệt cần biết ứng dụng nào, phục vụ công việc gì và ai chịu trách nhiệm chi tiêu.

Phạm vi được mô tả là ứng dụng cài trên organization; cài trên tài khoản cá nhân hay ở cấp enterprise không dùng đường xác thực này. Chính sách model của tổ chức vẫn áp dụng. Tài liệu quản trị dành cho chủ organization có Copilot Business hoặc Enterprise, không phải lời khẳng định mọi tài khoản miễn phí đều có thể bật ngay tính năng.

Đường này cũng khác xác thực theo danh tính người dùng và khác GitHub Actions dùng GITHUB_TOKEN. Không sao chép nguyên cấu hình của một workflow Actions rồi cho rằng đã hoàn tất quyền GitHub App. Tùy chọn cho phép Copilot CLI tính phí tổ chức không phải điều kiện của đường installation token được mô tả ở đây.

Token hết hạn là một tình huống vận hành phải thiết kế trước

Installation token có thời hạn một giờ. Với tác vụ dài hoặc dịch vụ luôn chạy, hướng dẫn SDK yêu cầu quản lý việc cấp token mới và vòng đời client/runtime phù hợp trước khi token hiện tại hết hạn. Không lưu token ngắn hạn thành một giá trị cố định rồi coi đó là cấu hình xong một lần.

Friday Works khuyến nghị tách nơi giữ private key của ứng dụng khỏi tiến trình xử lý nội dung không tin cậy, chỉ cấp quyền tối thiểu và ghi thời điểm token được cấp, hết hạn, thu hồi. Nhật ký không được chứa private key hay token đầy đủ. Nếu không thể cấp token mới, dịch vụ nên báo lỗi có kiểm soát thay vì âm thầm dùng credential cá nhân làm đường dự phòng.

Đây là đề xuất vận hành cho một thử nghiệm, chưa phải mô tả hệ thống đã triển khai của Friday Works. Cần kiểm tra đúng SDK và kiểu runtime đang dùng; không suy rằng một cơ chế tự làm mới của công cụ khác sẽ tự áp dụng cho Copilot SDK.

Muốn kiểm soát chi phí phải kiểm tra cả cách dừng

Usage tính vào ngân sách Copilot của tổ chức. Theo tài liệu, hiện không tạo ngân sách riêng cho từng ứng dụng hoặc installation. Một ngân sách chỉ gửi cảnh báo không chặn chi tiêu; muốn chặn sau ngưỡng phải kiểm tra tùy chọn Stop usage when budget limit is reached. Không quảng bá cảnh báo email như một giới hạn cứng.

Khả năng quy chiếu ứng dụng nằm trong báo cáo CSV với app_client_id, không phải ngay trong trang AI usage. Quản trị viên có thể đối chiếu trường đó với client_id trong danh sách installation để nhận diện app_slug. Dữ liệu lịch sử hoặc usage theo người dùng, Actions và một số ứng dụng GitHub có thể không có trường này; ô trống không đủ để kết luận không phát sinh sử dụng.

Khi cần dừng một ứng dụng, tổ chức có thể suspend hoặc uninstall installation. Hành động đó còn chặn các quyền khác của cùng installation đối với tài nguyên tổ chức. Đội vận hành cần biết các phụ thuộc này trước khi dùng như nút ngắt khẩn cấp.

Một thử nghiệm nhỏ có thể kiểm chứng điều gì

Friday Works đề xuất bắt đầu bằng một công việc nội bộ chỉ đọc dữ liệu mẫu và sinh bản nháp có người duyệt, chưa tự sửa hoặc merge mã. Ghi số yêu cầu, lỗi xác thực, chi phí thực tế và khả năng đối chiếu báo cáo. Cố ý thử thời điểm token sắp hết hạn và cơ chế dừng ứng dụng trong môi trường được phép.

Đạt thử nghiệm khi danh tính, chi phí và đầu ra đều truy vết được, tác vụ dừng theo thiết kế và không cần mượn credential cá nhân. Nếu phải thêm quyền rộng, chưa hiểu cách chặn chi tiêu hoặc không quy được usage về ứng dụng, cần sửa thiết kế trước khi mở cho khách hàng. Ảnh tài liệu trong bài là trang hướng dẫn chính thức được cập nhật cho tính năng mới, không phải ảnh dashboard tính phí hay một installation đang chạy của Friday Works.