【保存版】GitHubアクセストークン全種別解説: Personal Access Token、OAuth、GitHub App、GITHUB_TOKENの違い

Last updated at 2024-09-04Posted at 2024-08-20

GitHubを使用する開発者にとって、アクセストークンの理解は非常に重要です。本記事では、GitHubの各種アクセストークンについての概要、その特徴や使用方法、有効期限、セキュリティ上の注意点などを簡単にまとめています。

アクセストークンの種類

GitHubには以下の種類のアクセストークンがあります：

接頭辞: github_pat_
用途: より細かい権限設定が可能なトークン
特徴:
- 特定のリポジトリやリソースに対するアクセスを制限可能
- セキュリティが強化されている
有効期限:
- 最大で1年間
- トークン生成時に「Expiration」フィールドで設定必須
注意点:
- package:read などClassicでは付与できる権限が付与できない
  - https://docs.github.com/ja/packages/working-with-a-github-packages-registry/working-with-the-container-registry#container-registry%E3%81%A7%E3%81%AE%E8%AA%8D%E8%A8%BC

接頭辞: ghu_
用途:
- GitHub Appがユーザーに代わって認証するために使用
- 特定のユーザーアクションを実行するために利用
- ユーザーアカウントに紐づいており、ユーザーとして操作を行うために使用
有効期限:
- デフォルトで8時間後に期限切れ
- 更新トークンで再作成が可能
特徴:
- オプションで無期限に設定することも可能（セキュリティ上の理由から非推奨）

種別名	接頭辞	有効期限	主な用途	特徴	セキュリティ考慮事項
Personal Access Token (Classic)	ghp_	設定可能・無期限可	ユーザーとしての認証	広範なスコープ、特定リポジトリに制限不可	1年間未使用で自動削除
Fine-grained Personal Access Token	github_pat_	最大1年	細かい権限設定が必要な場合	特定リポジトリ/リソースに制限可能	Classicより推奨されている
OAuth Access Token	gho_	無期	OAuthアプリのAPIアクセス	更新トークンなし、ユーザーが取り消すまで有効	1年間未使用で自動取り消し
GitHub App User Access Token	ghu_	8時間・無期限可	GitHub Appのユーザー認証	更新トークンあり（6ヶ月有効）	無期限設定可能だが非推奨
GitHub App Installation Access Token	ghs_	1時間	GitHub Appのリポジトリ/組織操作	有効期限が最も短い
GitHub App Refresh Token	ghr_	6ヶ月	ユーザーアクセストークンの更新	認証ではなくトークンの更新のためだけに使用
GITHUB_TOKEN	なし	ワークフロー実行中のみ	GitHub Actions内での認証	自動生成、ワークフロー内でのみ有効	リポジトリに限定されたスコープ

パブリックリポジトリへのプッシュに注意:
- 有効なトークンがパブリックリポジトリまたはパブリックgistにプッシュされると、そのトークンは自動的に取り消されます。
トークンの過剰発行に注意:
- ユーザー/アプリケーション/スコープの組み合わせごとに10トークンまでの制限があります。
- 1時間あたり10トークンの作成制限があります。
- 制限を超えると、同じ組み合わせの最古のトークンが取り消されるか、再認証プロンプトが表示されます。
定期的なトークンのレビューと取り消し:
- 不要になったトークンは速やかに取り消しましょう。
- アカウント設定からGitHub AppまたはOAuth appの認証を取り消すと、関連するすべてのトークンが取り消されます。
最小権限の原則を適用:
- 特に Fine-grained Personal Access Token を使用する際は、必要最小限の権限のみを付与しましょう。
有効期限の設定:
- 可能な限り、短い有効期限を設定しましょう。長期間有効なトークンは、セキュリティリスクが高くなります。