깃허브 앱 저장소 생성 권한 분리…관리 권한 없이 새 저장소 만든다

깃허브가 13일 깃허브 앱과 세분화된 개인 액세스 토큰(PAT)에 저장소 생성 권한을 별도로 추가했다. 저장소를 만들기 위해 삭제·이전까지 허용하는 관리 권한을 부여할 필요를 줄인 조치다.

생성과 관리 권한을 나눴다

깃허브의 변경 공지에 따르면 새 권한은 repository_creation:write다. 이전에는 앱이나 토큰으로 저장소를 만들려면 repository_administration:write가 필요했다. 후자는 저장소 삭제와 이전 등 더 넓은 관리 작업에도 쓰인다.

깃허브 REST API 문서의 조직 저장소 생성 항목에도 이제 세분화된 토큰의 필수 권한으로 ‘Administration’ 쓰기 또는 ‘Repository creation’ 쓰기가 나란히 표시된다. 다만 조직 저장소를 만드는 인증 사용자는 조직 구성원이어야 한다는 조건도 문서에 남아 있다.

또 다른 새 권한 installation_repositories:write는 조직 안에서 특정 저장소를 앱 설치 대상에 넣거나 빼는 API에 적용된다. 깃허브는 기존에 이 API가 범위가 넓은 repo 권한만 지원했다고 설명했다. 사용자 계정으로 작업할 때는 조직 소유자여야 하는 등 추가 조건이 붙을 수 있다.

조직 승인과 토큰 전환은 별개

저장소 관리자가 조직에서 이미 승인된 앱을 저장소에 추가할 수 있는 범위도 넓어졌다. 그러나 깃허브는 조직 수준 권한, 저장소 관리, 저장소 생성 등 민감한 권한 묶음에는 조직 소유자의 승인이 필요하다고 명시했다. 권한이 세분화됐다는 사실만으로 설치 승인 절차가 사라지는 것은 아니다.

앱의 사용자 액세스 토큰에는 offline_access 범위도 지원된다. 만료 토큰과 갱신 토큰을 받는 방식으로 장기 토큰에서 점진적으로 옮기려는 개발자를 위한 기능이다. 이번 인증에만 적용되며 앞으로의 모든 세션을 한꺼번에 바꾸지는 않는다는 게 깃허브 설명이다.

오픈소스 보안 단체 OWASP는 필요한 작업에 한정해 권한을 주는 ‘최소 권한’ 원칙이 침해 시 피해 범위를 제한한다고 설명한다. 이번 변경이 그 원칙에 맞는 선택지를 늘린 것은 분명하지만 실제 위험 감소 폭은 앱의 다른 권한과 조직의 설정에 달렸다. 깃허브는 offline_access를 제외한 개선사항의 깃허브 엔터프라이즈 서버 적용 버전을 3.24로 예고했고, 해당 인증 기능은 3.23에 포함된다고 밝혔다.

대표 이미지: AI 생성 이미지 / 데이마크

자료 출처

GitHub Changelog (2026-10-13): https://github.blog/changelog/2026-10-13-github-app-improvements-for-least-privilege-and-management/

GitHub Docs (API version 2026-03-10; 확인 2026-10-15): https://docs.github.com/en/rest/repos/repos#create-an-organization-repository

OWASP (미표기; 배경 자료): https://owasp.org/www-community/controls/Least_Privilege_Principle