원문 소식, 쉽게 읽기
GitHub은 2026년 10월 13일 GitHub Apps와 세분화된 개인 액세스 토큰(PAT)의 권한·토큰·관리 기능을 개선했다. PAT는 비밀번호 대신 API나 자동화 도구에 주는 접근 자격이다. 이번 변화의 중심은 필요한 작업만 허용하는 최소 권한이다. 앱이 저장소 하나를 만들거나 설치 대상에 추가하려고 더 넓은 관리 권한까지 받을 필요를 줄였다. 출처
새 세분화 저장소 권한은 두 가지다. repository_creation:write는 허용된 계정에 저장소를 만들 수 있고, installation_repositories:write는 조직 안의 GitHub App 설치에 저장소를 추가하거나 제거할 수 있다. 두 권한은 GitHub Apps와 세분화 PAT에서 모두 쓸 수 있다. 이전에는 저장소 생성에 repository_administration:write가 필요했는데, 이 권한은 삭제와 이전까지 허용한다. 새 권한은 생성만 허용한다. 앱을 조직에 처음 설치하는 일에는 여전히 조직 관리자 승인이 필요하다. 출처
앱 설치에 저장소를 추가하거나 제거하는 API도 GitHub Apps와 세분화 PAT를 지원한다. 이전에는 범위가 넓은 기존 PAT의 repo 권한을 사용해야 했다. 이용자 토큰으로 이 API를 호출하려면 새 권한 외에도 호출자가 조직 소유자이거나 해당 저장소 관리자여야 한다. 토큰 권한과 사람의 실제 역할을 함께 확인하는 구조다. 출처
조직에서 이미 승인·설치한 앱에는 저장소 관리자가 자신이 관리하는 저장소를 추가할 수 있다. 추가 조직 소유자 승인 절차를 반복하지 않아도 된다. 조직 소유자는 이 동작을 제한할 수 있으며, 조직 수준 권한·저장소 관리 권한·저장소 생성 권한이라는 세 민감한 권한 묶음은 계속 소유자 승인이 필요하다. 출처
토큰 전환에는 OAuth의 offline_access 범위를 새로 지원한다. 이를 요청한 인증에서는 만료되는 사용자 액세스 토큰과 갱신 토큰을 함께 받는다. 갱신 토큰은 짧게 끝나는 액세스 토큰을 다시 발급받는 자격이다. 앱 등록 전체를 한 번에 바꾸는 대신 특정 인증부터 만료 토큰으로 옮길 수 있다. GitHub은 이 기능이 GitHub Enterprise Server 3.23에 포함된다고 밝혔다. 출처
앱 관리 범위도 넓어졌다. GitHub App은 공개 앱뿐 아니라 소유 관계가 맞는 비공개·내부 앱의 세부 정보도 가져올 수 있다. 같은 조직의 앱, 같은 엔터프라이즈 안의 내부 앱 등 허용 범위가 공식 발표에 구분돼 있다. 설정 화면에는 클라이언트 비밀키와 키 쌍을 모은 Credentials 탭도 추가됐다. GitHub은 offline_access를 제외한 이번 개선 대부분이 GitHub Enterprise Server 3.24에 제공된다고 안내했다. 출처
OYOPICK의 시선
자동화 자격 증명의 위험은 기능 수보다 권한 반경에서 커진다. 저장소를 만드는 봇에 삭제·이전 권한까지 주지 않아도 되는 변화는 사고나 토큰 유출 때 손상 범위를 직접 줄일 수 있다. 세분화된 권한이 실제 안전으로 이어지려면 앱 개발자도 기존의 넓은 권한을 계속 요구하지 않고 새 권한으로 등록 구성을 바꿔야 한다.
저장소 관리자가 승인된 앱을 직접 연결할 수 있게 된 점은 조직 소유자의 반복 업무를 줄인다. 동시에 어느 앱이 어떤 저장소에 추가됐는지 조직 차원의 변경 기록과 경보가 충분해야 한다. 승인 단계를 줄인 뒤에도 사후 가시성이 약해지지 않는지가 운영 품질을 가를 것이다.
만료 토큰의 단계적 전환은 오래 유지되는 자격 증명을 줄이는 현실적인 경로다. 조직은 먼저 위험도가 낮은 인증에서 토큰 갱신 실패와 복구 절차를 시험하고, 성공률과 만료 오류를 관찰한 뒤 범위를 넓히는 편이 합리적이다. GitHub가 Credentials 화면에 토큰 방식과 마지막 사용·교체 상태까지 함께 보여 준다면 최소 권한과 자격 증명 수명 관리를 한곳에서 판단하기 쉬워질 것이다.