工作流认证与用量

Agentic Workflows 同时需要访问 GitHub Actions 和所选推理引擎。先确定仓库归属、引擎和费用承担者，再配置凭据。

组织 Copilot 计费

适用于拥有 Copilot 计划的组织所拥有的仓库，且引擎为 Copilot。管理员需在 Copilot → Policies 启用 Copilot CLI 与 Allow use of Copilot CLI billed to the organization。

在工作流 frontmatter 中声明：

permissions:
  contents: read
  copilot-requests: write

此时 Copilot 请求使用 Actions 内置 GITHUB_TOKEN，费用直接计入组织；这些请求会忽略 COPILOT_GITHUB_TOKEN，不需要再保存个人 token 来支持该路径。

如果 Actions token 没有组织 Copilot 访问权限，请求会失败。官方建议改用个人 token 方案，但并未描述失败后自动回退；不要同时留下组织权限配置和个人 secret，就假定会自动切换凭据。

个人仓库与其他引擎

使用仓库 GitHub Actions secrets 保存所选引擎的凭据。Copilot 对应 COPILOT_GITHUB_TOKEN，值为 fine-grained PAT；其他引擎在向导中可能要求：

可通过 gh aw add-wizard 引导配置；手动创建工作流时，可从 GitHub UI 或 gh aw secrets set 保存，具体授权范围按官方 authentication reference 核对。

这是 Actions 工作流认证，与 cloud agent 的 Agents secrets/variables 类型不同。把密钥存在后者并不能据此证明本工作流已配置。

概念页泛称每个 engine 需要 secret，但专门认证步骤明确组织 Copilot 的内置 token 例外，按具体认证路径操作。

费用构成

总费用分为 Actions minutes 和引擎推理费用。Copilot 引擎的 AIC 对应 Copilot 计费；第三方引擎由相应供应商收取推理费用。

官方当前用 AIC 表示跨引擎监测和预算估算，1 AIC = 0.01 USD。AIC 是 best-effort 估算，可能与最终账单不同，应在对应计费界面确认实际费用。

查询与预算

gh aw logs
gh aw audit RUN-ID

logs 查看近期运行的时长、token 与 AIC 估算；audit 查看指定运行的详细情况。RUN-ID 应替换为实际运行标识。

可用 frontmatter max-ai-credits 限制单次推理用量，当前默认每次 1,000 AIC。这不是包含 Actions minutes 在内的总货币费用上限，不能据此保证完整工作流成本固定。