アクセストークン

Codex アクセストークンは、権限の範囲を Codex に限定した ChatGPT ワークスペースの認証情報です。Codex CLI や App Server を使った自動化など、信頼できる非対話型のローカルワークフローを、ChatGPT ワークスペースのユーザーとして認証します。スクリプト、スケジュール済みジョブ、CI ランナーからローカルで繰り返し Codex を利用する場合に使います。

個人用アクセストークンは、ChatGPT 管理コンソールのアクセストークンで作成します。各トークンは、作成者とそのユーザーの ChatGPT ワークスペースに紐づきます。プログラムからローカルワークフローを実行する際、トークンはエージェントの ID として機能します。自動化専用のワークスペースアカウントの詳細ページから作成するトークンについては、サービスアカウントを参照してください。

アクセストークンの仕組み

ユーザーがブラウザでサインインせずに Codex CLI や App Server クライアントを実行する必要がある場合は、アクセストークンを使用します。トークンは、作成者である ChatGPT ワークスペースのユーザーを識別します。そのため、実行時にはそのユーザーの権限を使用でき、ワークスペースのガバナンスデータでも、そのユーザーに紐づく実行として記録できます。

クライアントは実行開始時にトークンを確認し、その実行をワークスペースのユーザーに紐づけます。他の自動化用シークレットと同様に、トークンはシークレットマネージャーに保管し、ログには出力せず、組織のポリシーに従ってローテーションしてください。

アクセストークンは次の用途に使用します。

• 信頼できる自動化環境で実行する codex exec ジョブ
• Codex CLI を非対話型で繰り返し実行するローカルスクリプト
• App Server を利用した信頼できる自動化
• 利用状況を API 組織キーではなく ChatGPT ワークスペースのユーザーに紐づけるエンタープライズワークフロー

次のリスクに注意してください。

• シークレットの漏えい： トークンを入手した人は誰でも、Codex CLI や App Server クライアントを通じて、トークンの作成者としてローカルで実行を開始できます。トークンはシークレットマネージャーに保管し、ログには出力せず、組織のポリシーに従ってローテーションしてください。
• ランナーの信頼性： 公開 CI、フォークからの Pull Request、共有マシンでは、ワークスペース外の人にトークンが漏れるおそれがあります。アクセストークンは信頼できるランナーでのみ使用してください。
• 同じユーザー ID の共有： 関係のない複数のチームで個人のトークンを使い回すと、責任の所在が曖昧になり、監査時に操作を追跡しにくくなります。トークンはワークフローの担当者を特定して作成してください。
• 使われなくなった認証情報： 有効期間が長いトークンは、ワークフローが変わった後も有効なまま残ることがあります。期限付きのトークンを優先し、使わなくなったトークンは取り消してください。
• スコープや認証情報の種類の誤り： Codex の自動化には Codex へのアクセス権、ワークスペースエージェントの起動にはワークスペースエージェントへのアクセス権、一般的な OpenAI API 呼び出しには Platform API キーが必要です。スコープが表示される場合は、ワークフローに必要な権限だけを付与してください。

アクセストークン作成の有効化

許可されたメンバーがアクセストークンを作成できるようにするには、ワークスペース設定でアクセストークン権限を有効にします。

アクセストークン権限で制御するのはトークンの作成です。この権限を付与しても、ChatGPT デスクトップアプリ、Codex CLI、IDE 拡張機能へのアクセスは許可されません。また、メンバーのシートの種類、ワークスペースの組み込みロール、ローカル実行時の権限プロファイルも変わりません。トークン認証で Codex CLI や App Server のワークフローを実行するには、そのユーザーに Codex をローカルで使用する権限も必要です。

これらの設定の関係については、ロールとワークスペースの権限を参照してください。

1. ワークスペースのオーナーに、ワークスペース設定 > 権限とロールを開いてもらいます。
2. アクセストークンセクションが表示される場合は、ユーザーによる個人用アクセストークンの作成を許可を有効にします。このセクションがない場合は、メンバーによる Codex アクセストークンの使用を許可を、Codex と Work のローカル利用または Codex のローカル利用で有効にします。
3. ワークフローの担当者に対して、該当する Codex のローカル利用権限を有効にします。メンバーによる Codex と Work のローカル利用を許可は Codex と Work のローカル利用に、メンバーによる Codex のローカル利用を許可は Codex のローカル利用にあります。Work のローカル利用が独立したセクションとして表示される場合、Work をローカルで使用は Work に適用され、Codex トークンには必要ありません。

アクセストークンの作成を許可するのは、トークンの保管場所、自動化の用途、ローテーションのスケジュールを把握している人やサービスの担当者に限ってください。

Codex のローカル利用権限を無効にすると、対象メンバーが所有する有効な Codex トークンは一時停止されますが、取り消されるわけではありません。ローカル利用権限を戻すと、トークンは再び有効になります。アクセスを恒久的に終了するには、トークンを取り消してください。

アクセストークンの有効期間の上限設定

ワークスペースのオーナーは、メンバーが新しいアクセストークンに設定できる有効期間の上限を指定できます。ワークスペース設定 > 権限とロールを開きます。アクセストークンセクションが表示される場合は、そこでアクセストークンの有効期間の上限を設定します。それ以外の場合は、Codex と Work のローカル利用または Codex のローカル利用でこの設定を探してください。

上限は新しいアクセストークンに適用されます。既存のトークンの有効期間は変わりません。

アクセストークンの作成

アクセストークンのページでトークンに名前を付け、選択できる製品別スコープを確認し、用途に合った有効期間を選びます。

1. アクセストークンを開きます。
2. 作成を選択します。

3. release-ci や nightly-docs-check など、用途がわかる名前を入力します。

4. ダイアログにスコープが表示されたら、Codex を選択します。ワークスペースエージェントを選択するのは、同じワークフローでワークスペースエージェントの起動も必要な場合だけです。スコープの選択欄がない場合は、Codex 専用トークンが作成されます。
5. 有効期間は 7 日、30 日、60 日、90 日など、期限を定めて選びます。スコープを指定する個人用アクセストークンには有効期限が必須です。旧版の Codex 専用ダイアログでは無期限を選択できる場合があります。この選択肢は、組織が承認し、決められたスケジュールでトークンをローテーションする場合に限って使用してください。
6. 作成を選択します。
7. 生成されたアクセストークンをすぐにコピーします。ダイアログを閉じると、トークンを再表示できません。
8. トークンをシークレットマネージャーまたは CI のシークレットストアに保管します。

有効期間を個別に指定する場合、最短は 1 日です。取り消されたトークンや期限切れのトークンでは、新たに認証して実行を開始できません。

Codex CLI でのアクセストークンの使用

トークン作成ダイアログに Codex CLI の必須バージョンが表示される場合は、トークンを使う前に CLI をそのバージョン以降に更新してください。

一時的な環境で自動化する場合は、トークンを CODEX_ACCESS_TOKEN に設定し、通常どおり Codex CLI を実行します。

export CODEX_ACCESS_TOKEN="<access-token>"
codex exec --json "review this repository and summarize the top risks"

ローカルでログイン状態を維持するには、パイプでトークンを codex login --with-access-token に渡します。

printf '%s' "$CODEX_ACCESS_TOKEN" | codex login --with-access-token
codex exec "summarize the last release diff"

codex login --with-access-token は、エージェントの認証情報を Codex CLI の認証ストレージに保存します。マシンに認証情報を残したくない場合は、代わりに環境変数 CODEX_ACCESS_TOKEN を使用してください。

codex app-server は、CODEX_ACCESS_TOKEN または codex login --with-access-token によるログインを通じて同じ認証情報を使用し、OpenAI へのリクエストを認証できます。この認証情報は、クライアントから App Server への接続に使うトランスポート認証とは別のものです。リモートの WebSocket 接続には、App Serverの説明に従って、別のベアラートークンまたはケイパビリティトークンを設定してください。Codex アクセストークンをトランスポート用トークンとして再利用しないでください。認証とネットワークの環境変数も参照してください。

トークンのローテーションと取り消し

アクセストークンは、他の自動化用シークレットと同じ手順でローテーションします。

1. 代わりのトークンを作成します。
2. ランナー、スケジューラー、またはシークレットマネージャーのシークレットを更新します。
3. 新しいトークンでスモークテストを実行します。
4. アクセストークンで古いトークンを取り消します。

ワークスペースのオーナーと管理者は、アクセストークンのページからワークスペース内のどのトークンでも取り消せます。アクセストークン権限を持つメンバーが取り消せるのは、自分で作成したトークンだけです。

権限モデル

ワークスペースのアクセストークン権限は、トークンの作成を制御します。Codex のローカル利用を制御する設定は、ワークスペースの画面構成によって異なります。メンバーによる Codex と Work のローカル利用を許可（Codex と Work のローカル利用セクション）またはメンバーによる Codex のローカル利用を許可（Codex のローカル利用セクション）が該当します。Work のローカル利用が独立したセクションの場合、Work をローカルで使用は Work の利用を制御し、Codex へのアクセス権は付与しません。メンバーがトークン認証で Codex ワークフローを実行するには、Codex のローカル利用権限とアクセストークン権限の両方が必要です。トークンの作成権限がないメンバーにも、Codex のローカル利用権限を付与できます。

ワークスペースのオーナーと管理者は、ワークスペース全体のアクセスを管理します。メンバーが自分のトークンを作成・管理するにはアクセストークン権限が必要ですが、この権限には管理者権限も、他のメンバーのトークンへのアクセス権も含まれません。

トラブルシューティング

アクセストークンのページで 404 またはアクセス拒否が表示される場合

ワークスペースのオーナーに、利用中の画面に応じて、自分のロールにユーザーによる個人用アクセストークンの作成を許可またはメンバーによる Codex アクセストークンの使用を許可が含まれていることを確認してもらってください。トークン認証で Codex ワークフローを実行する場合は、メンバーによる Codex と Work のローカル利用を許可またはメンバーによる Codex のローカル利用を許可が有効になっていることも確認してください。

codex login --with-access-token の失敗

コピーしたのが、ブラウザのセッショントークンや Platform API キーではなく、生成されたアクセストークンであることを確認してください。また、トークンが有効で期限切れになっておらず、その所有者に必要な Codex のローカル利用権限があることも確認してください。

関連ドキュメント

• 認証
• サービスアカウント
• 非対話モード
• 管理者向け導入ガイド
• グループとプロビジョニング
• ユーザーのライフサイクル管理
• ロールとワークスペースの権限
• ガバナンス