アクセストークン

Codex アクセストークンは、Codex の権限に限定された ChatGPT ワークスペースの認証情報です。Codex CLI や App Server を利用した自動化をはじめ、信頼できる非対話型のローカルワークフローを、ChatGPT ワークスペースのアイデンティティを使って認証します。スクリプト、スケジュール済みジョブ、CI ランナーで繰り返しローカルアクセスする必要がある場合に使用してください。

ChatGPT 管理コンソールのアクセストークンページで、個人アクセストークンを作成します。各トークンは、作成者とそのユーザーの ChatGPT ワークスペースに属します。トークンは、プログラムで実行するローカルワークフローでエージェントのアイデンティティとして機能します。人間以外の主体を表す専用のワークスペースアイデンティティの詳細ページで作成するトークンについては、サービスアカウントを参照してください。

アクセストークンの仕組み

ユーザーがブラウザでサインインせずに Codex CLI や App Server クライアントを実行する必要がある場合は、アクセストークンを使用します。トークンは作成者である ChatGPT ワークスペースユーザーを表すため、そのユーザーのアクセス権を使って実行でき、実行内容をワークスペースのガバナンスデータで確認できます。

クライアントは実行開始時にトークンを確認し、その実行を該当するワークスペースのアイデンティティに紐づけます。トークンは他の自動化用シークレットと同様に扱い、シークレットマネージャーに保存して、ログに出力せず、組織のポリシーに従ってローテーションしてください。

アクセストークンの用途：

• 信頼できる自動化から実行する codex exec ジョブ
• 非対話型の Codex CLI 実行を繰り返し行う必要があるローカルスクリプト
• App Server を利用した信頼できる自動化
• 利用状況を API 組織キーではなく ChatGPT ワークスペースユーザーに紐づけるエンタープライズ向けワークフロー

回避すべき主なリスク：

• シークレットの漏えい： トークンを持っていれば誰でも、その作成者として Codex CLI または App Server クライアントからローカル実行を開始できます。トークンはシークレットマネージャーに保存し、ログに出力せず、組織のポリシーに従ってローテーションしてください。
• ランナーの信頼性： 公開 CI、フォークからの Pull Request、共有マシンでは、ワークスペース外の人にトークンが漏れる可能性があります。アクセストークンは信頼できるランナーでのみ使用してください。
• アイデンティティの共有： 1 人のトークンを無関係な複数のチームで再利用すると、所有者や監査証跡の把握が難しくなります。トークンは特定のワークフロー所有者専用に作成してください。
• 古い認証情報： 有効期間の長いトークンは、ワークフローの変更後も有効なまま残ることがあります。有効期限付きのトークンを優先し、使用しなくなったトークンは取り消してください。
• スコープや認証情報の種類の誤り： Codex の自動化には Codex へのアクセス権、 ワークスペースエージェントの起動にはワークスペースエージェントへのアクセス権、 一般的な OpenAI API 呼び出しには Platform API キーが必要です。「 スコープ 」が表示される場合は、 ワークフローに必要な権限だけを付与してください。

アクセストークン作成の有効化

ワークスペース設定のアクセストークン権限を使用して、許可されたメンバーがアクセストークンを作成できるようにします。

アクセストークン権限は、トークンの作成を制御します。この権限によって ChatGPT デスクトップアプリ、Codex CLI、IDE 拡張機能へのアクセスが付与されることはなく、メンバーのシート種別、組み込みのワークスペースロール、ローカルランタイムの権限プロファイルが変更されることもありません。トークンで認証する Codex CLI や App Server のワークフローには、ユーザーのローカル Codex 権限も必要です。

これらの設定の関係については、 ロールとワークスペースの権限を参照してください。

1. ワークスペースの所有者に、 ワークスペース設定 > 権限とロールを開いてもらいます。
2. 「 アクセストークン 」セクションが表示される場合は、「 ユーザーによる 個人アクセストークンの作成を許可」を有効にします。そのセクションがない場合は、「 Codex と Work ローカル 」または 「Codex ローカル」で「 メンバーによる Codex アクセストークンの使用を許可 」を有効にします。
3. ワークフローの所有者に対して、対応するローカル Codex 権限を有効にします。 「 Codex と Work ローカル」では「メンバーによる Codex と Work のローカル利用を許可 」、 「 Codex ローカル」では「 メンバーによる Codex のローカル利用を許可 」を有効にします。「 Work ローカル 」に独立したセクションがある場合、「 Work をローカルで使用 」は Work を制御する設定であり、 Codex トークンには必要ありません。

アクセストークンの作成は、トークンの保存先、使用する自動化、ローテーションのスケジュールを理解している担当者またはサービスの所有者に限定してください。

ローカル Codex 権限を無効にすると、対象メンバーが所有する有効な Codex トークンは一時停止されますが、取り消されるわけではありません。ローカル Codex へのアクセスを復元すると、それらのトークンは再び有効になります。アクセスを恒久的に終了する必要がある場合は、トークンを取り消してください。

アクセストークンの有効期限の上限設定

ワークスペースの所有者は、新しいアクセストークンに対してメンバーが選択できる 有効期間の上限を設定できます。 ワークスペース設定 > 権限とロールを開きます。 「 アクセストークン 」セクションが表示される場合は、そのセクションで 「 アクセストークンの有効期限の上限」を設定します。表示されない場合は、「 Codex と Work ローカル 」または 「Codex ローカル」で該当する設定を探してください。

この上限は新しいアクセストークンに適用されます。既存のトークンの有効期間は変更されません。

アクセストークンの作成

「アクセストークン」ページでトークンに名前を付け、利用可能なプロダクトのスコープを確認し、適切な有効期間を選択します。

1. アクセストークンページを開きます。
2. 「 作成」を選択します。

3. release-ci や nightly-docs-check など、用途が分かる名前を入力します。

4. ダイアログに「 スコープ」が表示される場合は、「 Codex」を選択します。同じワークフローでワークスペースエージェントの起動も必要な場合に限り、「 ワークスペース エージェント 」を選択してください。 ダイアログにスコープの選択欄がない場合は、Codex 専用トークンが作成されます。
5. 7 日、30 日、60 日、90 日など、期限のある有効期間を選択します。 スコープ付きの個人アクセストークンには有効期限が必要です。以前の Codex 専用ダイアログでは、 「 有効期限なし」を選択できる場合がありますが、組織がその使用を承認し、 定められたスケジュールでトークンをローテーションする場合を除き、このオプションは避けてください。
6. 「 作成」を選択します。
7. 生成されたアクセストークンをすぐにコピーします。ダイアログを閉じると、トークンを再表示できません。
8. トークンをシークレットマネージャーまたは CI のシークレットストアに保存します。

カスタムの有効期間は最短 1 日です。取り消されたトークンや期限切れのトークンを使って、認証が必要な新しい実行を開始することはできません。

Codex CLI でのアクセストークンの使用

トークン作成ダイアログに必要な Codex CLI のバージョンが表示される場合は、トークンを使用する前に、そのバージョン以降に CLI を更新してください。

一時的な自動化では、トークンを CODEX_ACCESS_TOKEN に設定し、Codex CLI を通常どおり実行します：

export CODEX_ACCESS_TOKEN="<access-token>"
codex exec --json "review this repository and summarize the top risks"

ローカルログインを永続化するには、トークンを codex login --with-access-token にパイプで渡します：

printf '%s' "$CODEX_ACCESS_TOKEN" | codex login --with-access-token
codex exec "summarize the last release diff"

codex login --with-access-token は、Codex CLI の認証ストレージにエージェントアイデンティティの認証情報を保存します。マシンに認証情報を永続化したくない場合は、代わりに CODEX_ACCESS_TOKEN 環境変数を使用してください。

codex app-server は、CODEX_ACCESS_TOKEN または codex login --with-access-token で作成したログインを通じて同じ認証情報を使用し、 OpenAI へのリクエストを認証できます。この認証情報は、 クライアントと App Server 間のトランスポート認証とは別のものです。リモート WebSocket 接続では、 App Serverの説明に従って、 別のベアラートークンまたはケイパビリティトークンを設定してください。Codex アクセストークンを トランスポートトークンとして再利用しないでください。 詳しくは、認証とネットワークの環境変数を参照してください。

トークンのローテーションまたは取り消し

他の自動化用シークレットと同じ方法でアクセストークンをローテーションします：

1. 置き換え用のトークンを作成します。
2. ランナー、スケジューラー、またはシークレットマネージャーのシークレットを更新します。
3. 新しいトークンでスモークテストを実行します。
4. アクセストークンページで古いトークンを取り消します。

ワークスペースの所有者と管理者は、「アクセストークン」ページからワークスペース内の任意のトークンを取り消せます。アクセストークン権限を持つメンバーが取り消せるのは、自分で作成したトークンのみです。

権限モデル

ワークスペースのアクセストークン権限は、トークンの作成を制御します。 Codex のローカルアクセスは、ワークスペースのレイアウトに応じて、Codex と Work のローカル利用の メンバーによる Codex と Work のローカル利用を許可 、 または Codex のローカル利用の メンバーによる Codex のローカル利用を許可 で制御します。 Work のローカル利用 が独立したセクションになっている場合、 Work をローカルで使用 は Work の利用を制御し、Codex へのアクセスは付与しません。 トークン認証を使う Codex ワークフローには、メンバーが Codex のローカルアクセスと アクセストークン権限の両方を持っている必要があります。アクセストークンの作成権限がなくても、 Codex のローカルアクセスを持つことはできます。

つまり、ワークスペースの所有者と管理者は、ワークスペース全体のアクセスを管理します。メンバーが自身のトークンを作成および管理するにはアクセストークン権限が必要ですが、この権限によって管理者権限や他のメンバーのトークンへのアクセス権が付与されることはありません。

トラブルシューティング

アクセストークンページでの 404 エラーまたはアクセス拒否

表示されるインターフェースに応じて、自分のロールに ユーザーによる 個人アクセストークンの作成を許可 または メンバーによる Codex アクセストークンの 使用を許可が含まれているか、ワークスペースの所有者に確認してもらってください。 トークン認証を使う Codex ワークフローでは、 メンバーによる Codex と Work の ローカル利用を許可 または メンバーによる Codex のローカル利用を許可 が有効になっていることも確認してください。

codex login --with-access-token の失敗

ブラウザのセッショントークンや Platform API キーではなく、生成されたアクセストークンをコピーしたことを確認してください。また、トークンが有効で、有効期限が切れておらず、必要な Codex のローカル利用権限を持つユーザーに属していることも確認してください。

関連ドキュメント

• 認証
• サービスアカウント
• 非対話モード
• 管理者向けロールアウトガイド
• グループとプロビジョニング
• ユーザーライフサイクル管理
• ロールとワークスペースの権限
• ガバナンス