GitHub Apps แทน classic PAT ได้มากขึ้น หลัง GitHub เปิดติดตั้งแอประดับ Enterprise เป็น GA
GitHub Apps แทน classic PAT ได้มากขึ้น หลัง GitHub เปิดติดตั้งแอประดับ Enterprise เป็น GA เมื่อ 23 ต.ค. 2026 พร้อมสิทธิ์ใหม่ด้านนโยบาย 2FA และ IP allowlist
โดย กองบรรณาธิการ THAI DATA อ่าน 4 นาที
สรุปประเด็นสำคัญ
- GitHub ประกาศเมื่อ 23 ตุลาคม 2026 ว่าการติดตั้ง GitHub Apps บนบัญชี Enterprise เป็น generally available เพื่อให้งานอัตโนมัติระดับองค์กรเปลี่ยนจาก classic PAT มาใช้ GitHub Apps ได้มากขึ้น
- สิทธิ์ใหม่ 8 กลุ่ม ครอบคลุมนโยบาย repository และ organization, คำขอ bypass, การตั้งค่า enterprise, 2FA, โดเมนที่ยืนยัน, IP allowlist, การจำกัดการเข้าถึง และ rulesets ระดับ enterprise
- ความสามารถชุดนี้จะมาถึง GitHub Enterprise Server 3.24 ส่วนเฉพาะเจ้าของ enterprise (enterprise owner) เท่านั้นที่ติดตั้งแอประดับ enterprise ได้
- แอปที่ติดตั้งระดับ enterprise ไม่ได้รับสิทธิ์เข้า organization หรือ repository และยังไม่รองรับ webhook ณ 25 ต.ค. 2026 ตามเอกสารของ GitHub
GitHub ประกาศเมื่อวันที่ 23 ตุลาคม 2026 ว่าการติดตั้ง GitHub Apps บนบัญชี Enterprise พร้อมใช้งานทั่วไป (GA) พร้อมสิทธิ์ใหม่ด้านนโยบาย ความปลอดภัย และการดูแลระบบ ทำให้องค์กรเปลี่ยนงานอัตโนมัติมาใช้ GitHub Apps แทน classic PAT ได้มากขึ้น ความสามารถชุดเดียวกันจะมาถึง GitHub Enterprise Server 3.24
classic PAT (personal access token แบบเดิม) คือโทเคนที่ผูกกับบัญชีของผู้ใช้คนหนึ่ง งานดูแลระบบระดับ enterprise หลายอย่างเดิมต้องพึ่งโทเคนแบบนี้ เพราะ GitHub Apps ยังเรียก API กลุ่มนี้ได้ไม่ครบ ประกาศรอบนี้ปิดช่องว่างส่วนใหญ่ในงานด้าน governance ความปลอดภัย และการตั้งค่า enterprise
สิทธิ์ใหม่ที่ทำให้ใช้ GitHub Apps แทน classic PAT ได้
GitHub แบ่งงานที่ทำได้ใหม่เป็นสามกลุ่ม คือ governance (นโยบายและ rulesets ของ repository รวมถึงอ่านคำขอ bypass) ความปลอดภัย (2FA, โดเมนที่ยืนยัน, IP allowlist และการจำกัดการเข้าถึง) และการดูแลระบบ (โปรไฟล์ enterprise สิทธิ์ของสมาชิก และการเข้าถึง repository) รายละเอียดตามตารางในประกาศมีดังนี้
| สิทธิ์ (permission) | ระดับ | ทำอะไรได้ |
|---|---|---|
| Enterprise organization and repository policies | อ่าน/เขียน | อ่านและแก้นโยบาย เช่น การ fork repository ส่วนตัว สิทธิ์เริ่มต้นของ repository การเปลี่ยน visibility การสร้างและลบ repository การเชิญ collaborator และ deploy keys |
| Enterprise bypass requests | อ่าน | อ่านคำขอ bypass ของ push rule และนโยบาย repository |
| Enterprise settings | อ่าน/เขียน | อ่านข้อมูล enterprise และแก้โปรไฟล์ enterprise |
| Enterprise two-factor authentication | อ่าน/เขียน | อ่านและแก้ข้อกำหนด 2FA และวิธียืนยันตัวตนที่ไม่อนุญาต |
| Verifiable domains (enterprise และ organization) | เขียน | จัดการโดเมนที่ยืนยันแล้ว |
| IP allowlist (enterprise และ organization) | อ่าน/เขียน | เพิ่ม แก้ ลบรายการ IP allowlist และเปิดปิดการบังคับใช้ รวมถึงการบังคับระดับผู้ใช้สำหรับ Enterprise Managed Users |
| Enterprise access restrictions | เขียน | เปิดหรือปิดการจำกัดการเข้าถึง enterprise |
| Enterprise repository rulesets | เขียน | จัดการ rulesets ผ่าน REST API และ GraphQL |
นอกจากนี้ สิทธิ์เดิมสองตัวได้ API เพิ่ม คือ Enterprise people ที่อ่านข้อมูล repository ผ่านรายการ outside collaborators และเพิ่มตัวเองเข้า organization ได้ และ Enterprise billing ที่แก้การตั้งค่าการซื้อของสมาชิกใน Marketplace ได้
วิธีติดตั้ง GitHub App บน enterprise
เอกสารของ GitHub อธิบายว่าการติดตั้งเริ่มจากหน้าติดตั้งของแอป ซึ่งผู้พัฒนาแอปอาจส่งลิงก์ให้ หรือหาได้จากหน้าลงทะเบียนของแอป รูปแบบ URL คือ github.com/apps/ชื่อแอป/installations/new ถ้าแอปติดตั้งระดับ enterprise ได้ รายชื่อปลายทางจะมีบัญชี enterprise ให้เลือก หลังติดตั้ง แอปจะสร้าง installation token สำหรับ enterprise ได้ หรือให้สมาชิกลงชื่อเข้าใช้เพื่อทำงานแทนในระดับ enterprise ซึ่งกรณีหลังผู้ใช้คนนั้นต้องมีสิทธิ์ทำงานนั้นอยู่แล้ว เช่น ถ้าแอปจะเชิญผู้ใช้เข้า enterprise ผู้ใช้ที่ลงชื่อเข้าใช้ต้องมีสิทธิ์เชิญสมาชิกด้วย ข้อยกเว้นหนึ่งคือแอปที่ขอสิทธิ์ Enterprise organization installations ติดตั้งได้เฉพาะบน enterprise ที่เป็นเจ้าของแอปเท่านั้น
ข้อจำกัดก่อนย้ายมาใช้ GitHub Apps แทน classic PAT
หน้าเอกสาร Installing a GitHub App on your enterprise ซึ่ง ณ 25 ตุลาคม 2026 ยังติดป้าย public preview อยู่ แม้ประกาศจะระบุว่าเป็น GA แล้ว อธิบายข้อจำกัดที่ทีมควรรู้ก่อนย้ายงาน
- เฉพาะ enterprise owner ที่ติดตั้งแอประดับ enterprise ได้ app manager ทำไม่ได้
- ไม่ได้สิทธิ์ในระดับ organization หรือ repository แอปที่ติดตั้งระดับ enterprise จัดการได้เฉพาะตัว enterprise ถ้าต้องการเข้าถึง repository ต้องติดตั้งแยกในแต่ละ organization ซึ่งทำอัตโนมัติผ่าน API ได้
- ยังไม่รองรับ webhook ระดับ enterprise ต้องติดตั้งที่ organization หรือ repository แทนถ้าต้องการรับ event
- แอปส่วนตัวต้องเป็นของ enterprise เดียวกัน ส่วนแอปสาธารณะของผู้พัฒนาภายนอกติดตั้งได้ผ่านลิงก์ที่ผู้พัฒนาให้
- rate limit แยกต่อการติดตั้ง installation token ของการติดตั้งระดับ enterprise มี rate limit เท่ากับ organization บน GitHub Enterprise Cloud ถ้าแอปเดียวติดตั้งที่ enterprise และอีกสอง organization จะมี token และโควตาแยกกันสามชุด
ทำไมเรื่องนี้สำคัญ
โทเคนแบบ classic PAT มักถูกสร้างจากบัญชีผู้ดูแลที่มีสิทธิ์สูง แล้วฝังไว้ในสคริปต์หรือระบบ CI เป็นเวลานาน เมื่อพนักงานคนนั้นย้ายงานหรือบัญชีถูกเจาะ โทเคนก็กลายเป็นความเสี่ยงทันที การย้ายไปใช้ GitHub Apps แทน classic PAT ทำให้งานอัตโนมัติไม่ผูกกับคนคนเดียว และเลือกสิทธิ์ได้ตามงานจริง ประกาศครั้งนี้ทำให้ใช้ GitHub Apps แทน classic PAT ได้ในงานด้านนโยบายและความปลอดภัยที่เคยต้องพึ่งโทเคนของคน
ผลต่อองค์กรไทยและทีมพัฒนา
- สำรวจ classic PAT ที่ใช้กับงานระดับ enterprise เพื่อวางแผนใช้ GitHub Apps แทน classic PAT เช่น สคริปต์ตั้ง IP allowlist บังคับ 2FA หรือจัดการ rulesets แล้วจัดลำดับย้ายไป GitHub Apps
- ออกแบบแอปให้ขอสิทธิ์น้อยที่สุด เลือกเฉพาะ permission ในตารางที่งานต้องใช้ และแยกแอปตามหน้าที่แทนการมีแอปเดียวที่ทำทุกอย่าง
- วางแผนติดตั้งหลายระดับ งานที่ต้องแตะ repository ต้องติดตั้งแอปที่ organization ด้วย และอย่าลืมว่าการติดตั้งระดับ enterprise ยังไม่ส่ง webhook
- ผู้ใช้ GitHub Enterprise Server รอรุ่น 3.24 ก่อนย้ายงานกลุ่มนี้ และทดสอบในสภาพแวดล้อมทดสอบก่อน
- ตั้งเจ้าของแอปให้ชัด เพราะเฉพาะ enterprise owner ที่ติดตั้งได้ ควรบันทึกว่าแอปใดทำงานอะไร และทบทวนสิทธิ์เป็นรอบ
ติดตามข่าวเครื่องมือของนักพัฒนาและ DevOps เพิ่มเติมได้ที่หมวดซอฟต์แวร์
คำถามที่พบบ่อย
ทำไมควรใช้ GitHub Apps แทน classic PAT?
GitHub ระบุในประกาศวันที่ 23 ตุลาคม 2026 ว่าองค์กรสามารถใช้ GitHub Apps แทน classic PAT ในงานอัตโนมัติระดับ enterprise และ organization ได้มากขึ้น เพราะแอปขอสิทธิ์เป็นรายการตามงานที่ต้องใช้ และมี installation token แยกต่อการติดตั้ง แทนการใช้โทเคนที่ผูกกับบัญชีของคนคนหนึ่ง
ใครติดตั้ง GitHub App บน enterprise ได้?
ก่อนใช้ GitHub Apps แทน classic PAT ในระดับ enterprise ต้องรู้ว่าเอกสารของ GitHub ระบุว่าเฉพาะเจ้าของ enterprise (enterprise owner) ติดตั้ง GitHub App ระดับ enterprise ได้ ส่วน app manager ทำไม่ได้ แอปต้องขอสิทธิ์ระดับ enterprise และหากเป็นแอปส่วนตัว (private) ต้องเป็นของบัญชีภายใน enterprise เดียวกัน
GitHub App ที่ติดตั้งระดับ enterprise เข้าถึง repository ได้ไหม?
ไม่ได้ เอกสารของ GitHub ระบุว่าการติดตั้งระดับ enterprise จัดการได้เฉพาะตัว enterprise ไม่ได้สิทธิ์เข้า organization หรือ repository ยกเว้น API ติดตั้งแอปให้ organization ถ้าต้องการใช้ GitHub Apps แทน classic PAT กับงานใน repository ต้องติดตั้งแอปแยกในแต่ละ organization
GitHub Enterprise Server จะได้ฟีเจอร์นี้เมื่อไร?
ประกาศของ GitHub ระบุว่าสิทธิ์ใหม่สำหรับ GitHub Apps ชุดนี้จะมาถึง GitHub Enterprise Server รุ่น 3.24 องค์กรที่ใช้ GHES จึงต้องรออัปเกรดเป็นรุ่นนั้นก่อนใช้ GitHub Apps แทน classic PAT ในงานอัตโนมัติส่วนนี้
แหล่งอ้างอิง
- Enterprise installations for GitHub Apps generally available — GitHub Changelog
- Installing a GitHub App on your enterprise — GitHub Docs
- Managing an enterprise account with GraphQL — GitHub Docs
บุคคล องค์กร และสถานที่ในข่าวนี้
เลือกชื่อเพื่ออ่านข่าวทั้งหมดที่กล่าวถึง ตัวเลขคือจำนวนข่าว
- องค์กรและบริษัท
- GitHub72
พบข้อมูลคลาดเคลื่อน? แจ้งกองบรรณาธิการ