# 個人用アクセス トークンを管理する
コマンドラインまたは API を使用して personal access token に認証を行う際、パスワードの代わりに GitHub を使用できます。
> \[!WARNING]
> アクセス トークンは、パスワードと同じように扱ってください。 詳細については、「[personal access tokenのセキュリティ保護」を参照してください](#keeping-your-personal-access-tokens-secure)。
## personal access tokenについて
Personal access tokenは、GitHubの認証にパスワードを使用する代わりに、[GitHub API](/ja/enterprise-server@3.21/rest/authentication/authenticating-to-the-rest-api)または[コマンドライン](#using-a-personal-access-token-on-the-command-line)を使用するための代替手段です。
Personal access tokenは、自分の代わりに GitHub リソースにアクセスすることを目的としています。 組織の代わりにリソースにアクセスしたり、有効期間の長い統合のためには、 GitHub Appを使用する必要があります。 詳しくは、「[GitHub アプリの作成について](/ja/enterprise-server@3.21/apps/creating-github-apps/about-creating-github-apps/about-creating-github-apps)」をご覧ください。
トークンは、トークンのオーナーと同様に、リソースにアクセスしてそれらのリソースに対してアクションを実行できますが、さらに、トークンに付与されるスコープまたはアクセス許可によって制限されます。 トークンは、ユーザーに追加のアクセス権を付与できません。 たとえば、 personal access token は `admin:org` スコープで構成できますが、トークンの所有者が組織の所有者でない場合、トークンは組織への管理アクセス権を付与しません。
### personal access tokenの種類
GitHub現在、personal access tokenとfine-grained personal access tokenの 2 種類のpersonal access tokens (classic)がサポートされています。
GitHubでは、可能な限りfine-grained personal access tokenの代わりにpersonal access tokens (classic)を使用することをお勧めします。
> \[!NOTE]
> Fine-grained personal access tokens は、より安全で制御可能ですが、 personal access token (classic) が実行できるすべてのタスクを実行することはできません。 詳細については、以下の [Fine-grained personal access tokens 制限事項](#fine-grained-personal-access-tokens-limitations) に関するセクションを参照してください。
fine-grained personal access tokenとpersonal access tokens (classic)はどちらも生成したユーザーに関連付けられ、ユーザーがリソースへのアクセスを失うと非アクティブになります。
組織の所有者は、組織への personal access tokens (classic) のアクセスを制限するポリシーを設定できます企業の所有者は、企業または企業が所有する組織に personal access tokens (classic) のアクセスを制限できます。 詳しくは、「[組織の個人用アクセス トークン ポリシーを設定する](/ja/enterprise-server@3.21/organizations/managing-programmatic-access-to-your-organization/setting-a-personal-access-token-policy-for-your-organization#restricting-access-by-personal-access-tokens)」をご覧ください。
#### Fine-grained personal access token
Fine-grained personal access tokens には、 personal access tokens (classic)よりもいくつかのセキュリティ上の利点がありますが、すべてのシナリオで使用できなくなる可能性のある制限もあります。 これらの制限事項とその修正計画については、[後述するセクション](#fine-grained-personal-access-tokens-limitations)を参照してください。
シナリオに fine-grained personal access token を使用できる場合は、次の機能強化を利用できます。
* 各トークンは、1 人のユーザーまたは 1 つの organization が所有するリソースへのアクセスに制限されています。
* 各トークンは、そのユーザーまたは organization の特定のリポジトリにのみアクセスするようにさらに制限できます。
* 各トークンには、特定のきめ細かいアクセス許可が付与され、 personal access tokens (classic)に付与されるスコープよりも細かく制御できます。
* 組織の所有者は、組織内のリソースにアクセスできる任意の fine-grained personal access tokenの承認を要求できます。
* エンタープライズ所有者は、企業が所有する組織のリソースにアクセスできる任意の fine-grained personal access tokenの承認を要求できます。
##### Fine-grained personal access tokens 制限
Fine-grained personal access tokens は、 personal access tokens (classic)のすべての機能をサポートしているわけではありません。 これらの機能のギャップは永続的ではありません。 GitHub はそれらを閉じる作業を行っています。 これらのシナリオがサポートされる時期の詳細については、[公開ロードマップ](https://github.com/github/roadmap)のページを参照してください。
fine-grained personal access tokenの主なギャップは次のとおりです。
* fine-grained personal access tokenを使用して、ユーザーがメンバーではないパブリック リポジトリに投稿する。
* fine-grained personal access tokenを使い、ユーザーが外部者またはリポジトリのコラボレーターとして関わるリポジトリに貢献します。
* fine-grained personal access tokenを使用して複数の組織に一度にアクセスする。
* fine-grained personal access token を使用して、ユーザーが属している企業内 `internal` リソースにアクセスします。
* fine-grained personal access tokenを使用して、エンタープライズ アカウントを管理する API を呼び出します。
* fine-grained personal access token を使用してパッケージにアクセスします。
* fine-grained personal access tokenを使用して Checks API を呼び出す。
* fine-grained personal access tokenを使用して、ユーザー アカウントが所有するプロジェクトにアクセスします。
これらのギャップはすべて、 GitHub がより安全なアクセス パターンに投資し続けるので、時間の経過と同時に解決されます。
#### Personal access tokens (classic)
Personal access tokens (classic) は、より安全性が低いです。 ただし、一部の機能は現在、 personal access tokens (classic)でのみ機能します。
* 自分または自分がメンバーではない組織が所有していないパブリック リポジトリに対する書き込みアクセス権を持っているのは、 personal access tokens (classic) だけです。
* エンタープライズが所有する内部リポジトリに対する書き込みアクセス権を自動的に持つのは、 personal access tokens (classic) だけです。
Fine-grained personal access tokens には、内部リポジトリへのアクセス権が付与されている必要があります。
* 外部コラボレーターは、 personal access tokens (classic) を使用して、コラボレーターである組織リポジトリにのみアクセスできます。
* 企業にアクセスできるのは personal access tokens (classic) だけです。 (Fine-grained personal access token 企業が所有する組織にアクセスできます)。
* いくつかの REST API エンドポイントは、 personal access tokens (classic)でのみ使用できます。 エンドポイントが fine-grained personal access tokenもサポートしているかどうかを確認するには、そのエンドポイントのドキュメントを参照するか、 [AUTOTITLE を](/ja/enterprise-server@3.21/rest/authentication/endpoints-available-for-fine-grained-personal-access-tokens)参照してください。
personal access token (classic)を使用する場合は、アクセス権を持つ組織内のすべてのリポジトリと、個人用アカウント内のすべての個人用リポジトリへのアクセス権が付与されることに注意してください。
### personal access tokenのセキュリティを維持する
Personal access tokenはパスワードのようなもので、同じ固有のセキュリティ リスクを共有します。 新しい personal access tokenを作成する前に、使用できるより安全な認証方法があるかどうかを検討してください。
* コマンド ラインからGitHubにアクセスするには、GitHub CLIを作成する代わりに [\[\] (/github-cli/github-cli/about-github-cli)](https://github.com/GitCredentialManager/git-credential-manager/blob/main/README.md) または personal access token を使用できます。
* personal access token ワークフローでGitHub Actionsを使用する場合は、代わりに組み込みの`GITHUB_TOKEN`を使用できるかどうかを検討してください。 詳しくは、「[ワークフローでの認証に GITHUB\_TOKEN を使用する](/ja/enterprise-server@3.21/actions/tutorials/authenticate-with-github_token)」をご覧ください。
これらのオプションが不可能で、 personal access tokenを作成する必要がある場合は、別の CLI サービスを使用してトークンを安全に格納することを検討してください。
スクリプトで personal access token を使用する場合は、トークンをシークレットとして格納し、 GitHub Actionsを使用してスクリプトを実行できます。 詳細については、 [AUTOTITLE を](/ja/enterprise-server@3.21/actions/how-tos/write-workflows/choose-what-workflows-do/use-secrets)参照してください。
ベスト プラクティスの詳細については、「[API 資格情報をセキュリティで保護する](/ja/enterprise-server@3.21/rest/authentication/keeping-your-api-credentials-secure)」を参照してください。
## fine-grained personal access tokenの作成
> \[!NOTE]
> 作成できる fine-grained personal access tokens は 50 個に制限されています。 より多くのトークンが必要な場合、または自動化を構築している場合は、スケーラビリティと管理を向上するために GitHub App を使用することを検討してください。 詳しくは、「[GitHub アプリをビルドするタイミングを決定する](/ja/enterprise-server@3.21/apps/creating-github-apps/about-creating-github-apps/deciding-when-to-build-a-github-app#choosing-between-a-github-app-or-a-personal-access-token)」をご覧ください。
1. GitHub の任意のページの右上隅にあるプロフィール写真をクリックし、**\[ Settings]** をクリックします。
2. 左側のサイドバーの ** \[Developer settings]** をクリックします。
3. 左側のサイドバーにある **Personal access tokens** の下にある **きめ細かなトークン** をクリックします。
4. \[ **新しいトークンの生成**] をクリックします。
5. **\[トークン名]** にトークンの名前を入力します。
6. **\[有効期限]** で、トークンの有効期限を選びます。 無限の有効期間は許可されますが、組織または企業の所有者によって設定された最長の有効期間ポリシーによってブロックされる可能性があります。 詳細については、「personal access tokensの[最長有効期間ポリシーの適用](/ja/enterprise-server@3.21/organizations/managing-programmatic-access-to-your-organization/setting-a-personal-access-token-policy-for-your-organization#enforcing-a-maximum-lifetime-policy-for-personal-access-tokens)」を参照してください。
7. 必要に応じて、 **\[説明]** で、トークンの目的を説明するメモを追加します。
8. **\[リソース所有者]** で、リソース所有者を選びます。 トークンは、選んだリソース所有者が所有するリソースにのみアクセスできます。 所属している組織は、組織が fine-grained personal access tokenの使用をブロックしている場合は表示されません。 詳細については、 [AUTOTITLE を](/ja/enterprise-server@3.21/organizations/managing-programmatic-access-to-your-organization/setting-a-personal-access-token-policy-for-your-organization)参照してください。
9. 必要に応じて、リソース所有者が fine-grained personal access tokenの承認を必要とする組織である場合は、リソース所有者の下のボックスに、要求の正当な理由を入力します。
10. **\[リポジトリ アクセス]** で、トークンでアクセスするリポジトリを選びます。 ニーズを満たす最小限のリポジトリ アクセスを選ぶ必要があります。 トークンには常に、 GitHub上のすべてのパブリック リポジトリへの読み取り専用アクセスが含まれます。
11. 前の手順で **\[リポジトリの選択のみ]** を選んだ場合は、 **\[選択されたリポジトリ]** ドロップダウンで、トークンでアクセスするリポジトリを選びます。
12. **\[アクセス許可]** で、トークンに付与するアクセス許可を選びます。 指定したリソース所有者とリポジトリ アクセスに応じて、リポジトリ、Organization、アカウントのアクセス許可があります。 ニーズに必要な最小限のアクセス許可を選ぶ必要があります。
各エンドポイントの REST API リファレンス ドキュメントでは、エンドポイントが fine-grained personal access tokenで動作するかどうかを示し、トークンがエンドポイントを使用するために必要なアクセス許可を示します。 一部のエンドポイントでは複数のアクセス許可が必要な場合があり、一部のエンドポイントでは複数のアクセス許可のうちの 1 つが必要な場合があります。 各アクセス許可で fine-grained personal access token がアクセスできる REST API エンドポイントの概要については、 [詳細に制御された個人用アクセス トークンに必要なアクセス許可](/ja/enterprise-server@3.21/rest/authentication/permissions-required-for-fine-grained-personal-access-tokens) を参照してください。
13. **\[トークンの生成]** をクリックします。
リソース所有者として組織を選択し、組織が fine-grained personal access tokenの承認を必要とする場合、トークンは組織管理者によってレビューされるまで `pending` としてマークされます。 トークンは、承認されるまでパブリック リソースの読み取りのみを実行できます。 Organization のオーナーである場合、要求は自動的に承認されます。 詳しくは、「[組織内での個人用アクセス トークンの確認と取り消し](/ja/enterprise-server@3.21/organizations/managing-programmatic-access-to-your-organization/reviewing-and-revoking-personal-access-tokens-in-your-organization)」をご覧ください。
## personal access token (classic)の作成
> \[!NOTE]
> 組織の所有者は、 personal access token (classic) のアクセスを組織に制限できます。
> personal access token (classic)を使用して、personal access token (classic)アクセスを無効にした組織内のリソースにアクセスしようとすると、要求は 403 応答で失敗します。 代わりに、 GitHub App、 OAuth app、または fine-grained personal access tokenを使用する必要があります。
> \[!WARNING]
> personal access token (classic)は、アクセスできるすべてのリポジトリにアクセスできます。 GitHub では、代わりに fine-grained personal access tokenを使用することをお勧めします。これは、特定のリポジトリに制限できます。 Fine-grained personal access tokenまた、広範なスコープではなく、きめ細かいアクセス許可を指定することもできます。
1. GitHub の任意のページの右上隅にあるプロフィール写真をクリックし、**\[ Settings]** をクリックします。
2. 左側のサイドバーの ** \[Developer settings]** をクリックします。
3. 左側のサイドバーの **\[Personal access token**] の \[**トークン (クラシック)]** をクリックします。
4. **\[新しいトークンの生成]** を選択し、**\[新しいトークンの生成 (クラシック)]** をクリックします。
5. \[メモ] フィールドで、トークンにわかりやすい名前を付けます。
6. トークンに有効期限を設定するには、 **\[有効期限]** を選び、既定オプションをクリックするか、 **\[カスタム]** をクリックして日付を入力します。
7. このトークンに付与するスコープを選びます。 トークンを使用してコマンドラインからリポジトリにアクセスするには、 **\[リポジトリ]** を選択します。 スコープが割り当てられていないトークンでは、パブリック情報にのみアクセスできます。 詳しくは、「[OAuth アプリのスコープ](/ja/enterprise-server@3.21/apps/oauth-apps/building-oauth-apps/scopes-for-oauth-apps#available-scopes)」をご覧ください。
8. **\[トークンの生成]** をクリックします。
9. 必要に応じて、新しいトークンをクリップボードにコピーするには、\[ ] をクリックします。
![\[Personal access tokens\] ページのスクリーンショット。 ぼかしのあるトークンの横に、2 つの重なり合う四角形のアイコンがオレンジ色で囲まれています](/assets/images/help/settings/personal-access-tokens-ghes.png)
## personal access token を削除する
personal access tokenが不要になった場合は、削除する必要があります。 デプロイ キーの作成に使用された personal access token を削除すると、デプロイ キーも削除されます。
1. GitHub の任意のページの右上隅にあるプロフィール写真をクリックし、**\[ Settings]** をクリックします。
2. 左側のサイドバーの ** \[Developer settings]** をクリックします。
3. 左側のサイドバー**のPersonal access token** で、削除する\*\*\*\* の種類に応じて、**きめ細かいトークン**またはpersonal access token をクリックします。
4. 削除する personal access token の右側にある \[ **削除**] をクリックします。
## コマンド ラインでの personal access token の使用
personal access tokenを作成したら、HTTPS 経由で Git 操作を実行するときに、パスワードの代わりにパスワードを入力できます。
たとえば、コマンド ラインでリポジトリをクローンするには、次の `git clone` コマンドを入力します。 その後、ユーザー名とパスワードの入力を求められます。 パスワードの入力を求められたら、パスワードではなく personal access token を入力します。
```shell
$ git clone https://HOSTNAME/USERNAME/REPO.git
Username: YOUR-USERNAME
Password: YOUR-PERSONAL-ACCESS-TOKEN
```
personal access tokenと共にユーザー名を入力する必要がありますが、ユーザー名は認証には使用されません。 代わりに、 personal access token が認証に使用されます。 ユーザー名を入力しないと、資格情報が無効であるというエラー メッセージが表示されます。
Personal access tokenは、HTTPS Git 操作にのみ使用できます。 リポジトリで SSH リモート URL が使用されている場合は、[リモートを SSH から HTTPS に切り替える](/ja/enterprise-server@3.21/get-started/git-basics/managing-remote-repositories#switching-remote-urls-from-ssh-to-https)必要があります。
ユーザ名とパスワードの入力を求められない場合、資格情報がコンピュータにキャッシュされている可能性があります。
[キーチェーンの資格情報を更新して](/ja/enterprise-server@3.21/get-started/git-basics/updating-credentials-from-the-macos-keychain)、古いパスワードをトークンに置き換えることができます。
HTTPS Git 操作ごとに personal access token を手動で入力する代わりに、Git クライアントを使用して personal access token をキャッシュできます。 Git では、有効期限が経過するまで、資格情報をメモリに一時的に格納します。 また、Git ですべての要求の前に読み取ることができるプレーンテキスト ファイルにトークンを格納することもできます。 詳しくは、「[Git でGitHub資格情報をキャッシュする](/ja/enterprise-server@3.21/get-started/git-basics/caching-your-github-credentials-in-git)」をご覧ください。
## 参考資料
* [GitHubへの認証について](/ja/enterprise-server@3.21/authentication/keeping-your-account-and-data-secure/about-authentication-to-github)
* [トークンの有効期限と取り消し](/ja/enterprise-server@3.21/authentication/keeping-your-account-and-data-secure/token-expiration-and-revocation)