GitHub Enterprise の資格情報を CSV と API で棚卸し、GHES は後続リリース

セキュリティインシデントの初動でまず問われるのは、「漏れた可能性のある鍵やトークンはどれで、それぞれどこに触れられるのか」だ。GitHub Enterprise Cloud では、この問いに答えるための一覧を enterprise 単位で取り出せるようになった。2026年9月21日付の GitHub Changelog によると、enterprise にアクセスできる資格情報の inventory を、設定画面からの CSV エクスポートと、ページネーション付きの REST API の両方で取得できる。同 Changelog は GitHub Enterprise Server について「今後のリリースで対応」と述べるが、対応バージョンは示していない。

一覧に載るものと、行ごとに付く情報

Changelog が対象として挙げる資格情報、確認できるメタデータ、絞り込みの軸をまとめると次のようになる。

区分	内容
対象の資格情報	SSH 鍵、classic PAT、fine-grained PAT、OAuth App のアクセストークン、GitHub App の user-to-server トークンと installation トークン
確認できるメタデータ	所有者、スコープと権限、作成日と失効日、最終利用日、対象の organization または repository
絞り込みの軸	ユーザー、アプリ、資格情報の種類、organization

出典：GitHub Changelog「GitHub Enterprise adds credential inventory exports」（2026年9月21日）

原文は対象を「every credential that can access their enterprise」と書いたうえで、上の種類を「e.g.」として並べている。表の 6 種類は例示であり、これで全種類なのかは Changelog からは読み取れない。

メンバーが持つ資格情報だけでなく、GitHub App の installation トークンのようにアプリ側が持つものも同じ一覧に入る。Changelog はこれを、メンバーとアプリが持つ資格情報を一か所で見渡せるビューだと説明している。

侵害の連絡を受けた日の使い方

たとえば、あるメンバーの端末が侵害されたと連絡が来たとする。一覧をそのユーザーで絞り込めば、その人が持つ SSH 鍵と各種トークンが並び、それぞれのスコープと権限、届く organization や repository が分かる。どのトークンを止め、どのリポジトリの管理者に連絡するかを、この一覧を起点に決められる。

最終利用日も判断材料になる。Changelog には、資格情報を監査ログの活動と突き合わせて、使われ方とリスクの広がりを見られるとも書かれている。最終利用日を手がかりに確認の優先順位を付けられるが、その日付だけで不正利用の有無は判断できない。アプリで絞り込めば、特定の OAuth App や GitHub App 経由で発行されたトークンを横断して見られる。

一覧から直接失効させる操作は Changelog に出てこない。挙がっているのは閲覧、エクスポート、絞り込み、監査ログとの突き合わせだけで、失効そのものは従来どおりの手段で行う前提で考えておくのが安全だ（推測）。

見られる人と、入口の場所

一覧を扱えるのは enterprise owner と、fine-grained の権限 View enterprise credentials を持つメンバーだ。owner 権限を渡さずに、セキュリティチームの担当者にだけ閲覧を許す形が取れる。

画面から出すなら、enterprise の Settings → Authentication Security → Credentials にある「Export CSV」を使う。「Overview」の隣に置かれている。定期レポートや自動化に組み込むなら REST API のほうが向く。API はページネーション付きなので、取得スクリプトは全ページをたどる実装にしておく必要がある。

インシデントの前に済ませておくこと

実際に侵害が起きてから権限の付与や画面の場所を調べていると、初動が遅れる。平時に次の三つを済ませておきたい。

• 一覧を見る担当者を決め、View enterprise credentials を付与しておく
• 一度 CSV を書き出し、どの列がどんな値で埋まるかを確かめておく
• 失効日と最終利用日を見て、長く使われていないトークンや SSH 鍵を洗い出しておく

SSH 鍵を洗い出すなら、同じ時期に進んでいる ssh-rsa の廃止 の対象になる鍵が残っていないかも合わせて確認できる。2026年9月21日の発表では、GitHub Enterprise Server への対応は後続リリースとされている。対応バージョンを確認できるまでは、既存の手段で棚卸しを続ける必要がある。