Codex access tokens

Codex CLI や app-server を使った自動化など、信頼された非対話のローカルワークフローを、ChatGPT ワークスペースの ID で認証します。ユーザーがブラウザでサインインしなくても、Codex CLI や app-server クライアントを実行できます。

Codex アクセストークンは個人のアクセストークンで、作成したユーザーとそのユーザーの ChatGPT ワークスペースに属します。トークンは、プログラムから動かすローカルワークフローにおけるエージェントの ID として働きます。

トークンは作成した ChatGPT ワークスペースのユーザーを表します。そのため、実行ではそのユーザーのアクセス権を使うことができ、実行はワークスペースのガバナンスデータに表れる場合があります。実行の開始時にはクライアントがトークンを確認し、実行をそのワークスペースの ID に結び付けます。

なお、Codex 専用のトークンでは、workspace agent の起動 (trigger) の呼び出しを認証できません。

• トークン作成のダイアログに必要な Codex CLI のバージョンが表示される場合は、トークンを使う前に CLI をそのバージョン以降に更新します。
• 一時的な自動化では、トークンを環境変数 CODEX_ACCESS_TOKEN に入れて、Codex CLI を通常どおり実行します。この方法では、認証情報をマシンに保存しません。
• 継続して使うローカルのログインには、トークンをパイプで codex login --with-access-token に渡します。このコマンドは、エージェント ID の認証情報を Codex CLI の認証ストレージに保存します。
• codex app-server も、CODEX_ACCESS_TOKEN または codex login --with-access-token で作成したログインを通じて同じ認証情報を使い、OpenAI へのリクエストを認証できます。この認証情報は、クライアントから app-server への通信の認証とは別のものです。

Codex アクセストークンは ChatGPT Enterprise のワークスペースで提供され、オーナーと管理者が許可したメンバーが作成できます。ほかのプランでの提供については、公式のリリースノートには記載がありません。

権限の構成

• アクセストークンの権限が制御するのはトークンの作成です。ChatGPT デスクトップアプリ、Codex CLI、IDE 拡張機能へのアクセスは付与しません。
• トークンで認証する Codex のワークフローには、ローカルでの Codex のアクセス権とアクセストークンの権限の両方が必要です。
• ローカルでの Codex の権限を無効にすると、対象メンバーが持つ有効な Codex トークンは一時停止されます。取り消しにはならず、ローカルでの Codex のアクセスを戻すと、それらのトークンは再び有効になります。

トークン作成の有効化

1. ワークスペースのオーナーが Workspace settings (ワークスペース設定) > Permissions & roles (権限とロール) を開きます。
2. Access tokens (アクセストークン) のセクションが表示される場合は、Allow users to create personal access tokens (ユーザーに個人アクセストークンの作成を許可) を有効にします。表示されない場合は、Codex and Work Local または Codex Local で Allow members to use Codex access tokens (メンバーに Codex アクセストークンの使用を許可) を有効にします。
3. ワークフローの所有者に対応するローカル Codex の権限として、Codex and Work Local の Allow members to use Codex and Work Locally、または Codex Local の Allow members to use Codex locally を有効にします。

有効期限の上限

• ワークスペースのオーナーは、新しいトークンでメンバーが選べる有効期間の上限を設定できます。設定場所は Workspace settings (ワークスペース設定) > Permissions & roles (権限とロール) の Access tokens (アクセストークン) セクションの Access token expiration limit (アクセストークンの有効期限の上限) です。セクションが無い場合は Codex and Work Local または Codex Local にあります。
• 上限は新しいトークンにだけ適用され、既存のトークンは現在の有効期間を保ちます。
• 任意に設定できる有効期間の最短は 1 日です。

ローテーションと取り消し

• Access tokens (アクセストークン) のページから、ワークスペースのオーナーと管理者はワークスペース内のどのトークンも取り消せます。アクセストークンの権限を持つメンバーが取り消せるのは、自分が作成したトークンだけです。
• ローテーションは、代わりのトークンを作成し、ランナー・スケジューラー・シークレットマネージャーのシークレットを更新し、新しいトークンで動作確認 (smoke test) を行ってから、Access tokens (アクセストークン) のページで古いトークンを取り消す順に進めます。

ChatGPT Enterprise のワークスペースでは、オーナーと管理者が許可したメンバーが Codex アクセストークンを作成できます。

1. Access tokens (アクセストークン) のページを開きます。
2. Create (作成) を選択します。
3. release-ci や nightly-docs-check のように、用途の分かる名前を入力します。
4. ダイアログに Scopes (スコープ) が表示される場合は Codex を選びます。同じワークフローで workspace agent の起動も必要な場合だけ Workspace Agents を選びます。スコープの選択欄が無い場合は、Codex 専用のトークンが作成されます。
5. 7、30、60、90 日など、期限のある有効期間を選びます。
6. 生成されたアクセストークンをすぐにコピーします。ダイアログを閉じると、トークンは再表示できません。
7. トークンをシークレットマネージャーまたは CI のシークレットストアに保存します。