GitHub Actions CI/CD 비용 2026, Copilot CLI·러너·보관까지 줄이는 운영 기준

GitHub Actions CI/CD 비용을 위한 러너 사용량과 배포 파이프라인 비용 점검 장면 — CI/CD 비용은 빌드 minutes, 보관, 재실행, AI 자동화 권한을 같이 봐야 줄어든다.

GitHub Actions CI/CD 비용을 줄이려는 팀은 보통 runner minutes만 본다.

실제 청구와 운영 리스크는 private repository의 실행 시간, artifact 보관, cache 사용량, larger runner, 재실행, Copilot CLI 같은 AI 자동화 요청이 같이 만든다.

GitHub의 2026년 7월 변경으로 Copilot CLI는 GitHub Actions 안에서 장기 personal access token 없이 내장 GITHUB_TOKEN으로 실행할 수 있다.

보안상 좋은 변화지만 조직 과금과 AI credit 소유자가 바뀌기 때문에 비용 통제 표가 같이 필요하다.

이 글은 GitHub Actions 청구 문서, GITHUB_TOKEN 권한 문서, OIDC 문서, Copilot CLI Actions 문서를 기준으로 CI 비용을 줄이는 순서를 정리한다.

뉴스 요약이 아니라 private repo 운영팀이 이번 달 청구서를 설명할 때 쓰는 점검표에 가깝다.

결론부터 말하면 저렴한 workflow는 빠른 workflow와 다르다.

실패 원인을 줄이고, 보관 기간을 짧게 잡고, 권한을 최소화하고, AI 자동화는 session limit과 cost center에 묶어야 비용과 보안을 동시에 잡는다.

핵심 요약

GitHub Actions CI/CD 비용은 minutes, artifact storage, cache storage, larger runner, 재실행, Copilot AI credit을 분리해서 본다.
private repository에서는 실행한 사람이 아니라 repository owner에게 비용이 붙으므로 write 권한자와 trigger 정책을 같이 봐야 한다.
Copilot CLI가 GITHUB_TOKEN을 쓰면 장기 PAT 관리 위험은 줄지만 조직 과금, copilot-requests 권한, session limit 기준이 필요하다.
OIDC와 최소 권한 permissions를 쓰면 배포 secret 보관 리스크를 줄이고, 실패한 workflow 재실행 비용도 추적하기 쉬워진다.

이 글이 필요한 사람

GitHub Actions 청구가 늘었지만 어느 workflow가 원인인지 설명해야 하는 플랫폼 또는 FinOps 담당자
private repository CI 시간을 줄이려는 백엔드·프론트엔드 리드
larger runner, self-hosted runner, Actions Runner Controller 선택을 검토하는 DevOps 팀
Copilot CLI를 GitHub Actions 안에서 쓰기 전 조직 과금과 보안 권한을 확인해야 하는 관리자
장기 PAT, cloud secret, fork pull request 실행 리스크를 줄이려는 보안팀

1. 먼저 청구 단위를 workflow가 아니라 원가 항목으로 쪼갠다

GitHub Actions billing 문서는 public repository의 표준 GitHub-hosted runner와 self-hosted runner 사용이 무료로 측정된다고 설명한다.

private repository는 플랜별 무료 minutes, artifact storage, cache storage를 넘으면 repository owner에게 과금된다.

이 구조에서 가장 흔한 오해는 “누가 실행했는가”를 비용 소유자로 보는 것이다.

GitHub 문서 기준 minutes usage는 workflow를 누른 사람이 아니라 repository owner에게 붙는다.

그래서 비용 절감 회의의 첫 표는 사용자별 blame이 아니라 repository, workflow, runner, storage, rerun, trigger별 원가 표여야 한다.

이 표가 없으면 cache를 지우고도 larger runner가 그대로 남아 청구가 줄지 않는다.

원가 항목	GitHub 문서 기준 핵심	비용이 새는 장면	먼저 볼 지표
Runner minutes	private repo는 포함량 초과 시 repository owner에게 과금	matrix가 과도하거나 실패 후 재실행이 반복된다	workflow별 minutes, rerun count, queue time
Artifact storage	storage는 hourly accrual 방식으로 누적	테스트 리포트와 빌드 산출물을 오래 보관한다	artifact GB-Hours, retention days
Cache storage	repository별 cache 포함량과 peak 사용량을 확인해야 한다	lockfile 변경마다 새 cache가 쌓인다	cache key 수, peak GB, hit rate
Larger runner	runner 종류에 따라 청구 기준이 달라질 수 있다	E2E와 빌드가 항상 큰 runner를 쓴다	runner label별 minutes
Copilot CLI	조직 repo에서는 AI credit이 조직에 직접 청구될 수 있다	workflow가 AI 요청을 반복하거나 session limit이 없다	Copilot sessions, AI credit owner, policy state

실무 시나리오 하나.

월말에 Actions 비용이 뛰었고, 가장 긴 workflow는 nightly E2E다.

이 경우 테스트 시간을 줄이기 전에 실패한 E2E 재실행, artifact retention, larger runner label 고정 여부부터 본다.

이 조건이면 runner 최적화가 맞다.

같은 테스트가 pull_request와 push에서 중복 실행되고, 실패한 job이 dependency 문제로 반복 재실행되며, artifact를 30일 이상 남기는 경우다.

2. private repo 비용은 trigger와 권한 정책에서 시작한다

GitHub 문서는 repository에 write access가 있는 사람이 actions를 실행할 수 있고 그 비용이 repository owner에게 청구된다고 안내한다.

이 문장은 비용과 보안이 같은 문제라는 뜻이다.

trigger가 넓으면 비용은 예측하기 어렵다.

모든 branch push, 모든 path 변경, 모든 fork pull request에서 heavy job이 도는 구조라면 runner minutes가 개발 활동량보다 빠르게 늘어난다.

정책	비용 효과	보안 효과	보류해야 할 패턴
path filter	문서 변경에 빌드·배포 job이 돌지 않는다	불필요한 secret 접근 표면을 줄인다	모든 변경에 전체 pipeline 실행
concurrency cancel	오래된 push의 중복 job을 취소한다	배포 race condition도 줄인다	같은 branch에서 이전 job이 계속 돈다
timeout-minutes	hang job 비용을 제한한다	멈춘 배포 step을 빨리 끊는다	기본 timeout에 의존한다
manual approval	비싼 E2E와 배포를 필요한 때만 실행한다	환경 보호 규칙과 결합 가능하다	PR마다 staging 배포 자동 실행
least permissions	불필요한 write 권한 job을 줄인다	GITHUB_TOKEN 피해 범위를 좁힌다	workflow 전체에 write-all 부여

조건부 판단은 단순하다.

PR마다 전체 E2E가 필요하지 않은 repository라면 smoke test와 full E2E를 나눈다.

main merge 전에는 핵심 경로만 돌리고, nightly에는 full matrix를 둔다.

반대로 결제, 인증, 보안 라이브러리처럼 회귀 비용이 큰 repository는 무작정 job을 줄이면 안 된다.

비용 절감보다 실패 원인 제거, cache hit 개선, 병렬 수 조정이 먼저다.

3. runner minutes는 빠른 빌드보다 실패 재실행을 먼저 줄인다

CI/CD 비용 절감에서 가장 싸고 확실한 항목은 실패 재실행이다.

GitHub billing 예시는 workflow가 dependency 문제로 5분 뒤 실패하고 다시 10분 성공하면 총 15분을 쓴다고 설명한다.

이 말은 flaky test와 외부 dependency 실패가 직접 청구서로 이어진다는 뜻이다.

테스트를 빠르게 만드는 작업보다 실패 원인을 먼저 줄이면 비용과 개발자 대기 시간이 같이 줄어든다.

문제 신호	비용 영향	운영 조치	측정 방법
flaky test	같은 PR에서 rerun이 반복된다	불안정 테스트 quarantine과 원인 issue 생성	rerun count, failure reason
dependency install 지연	모든 job이 같은 설치 시간을 낸다	cache key 정리와 lockfile 기준 복원	cache hit rate, install minutes
과도한 matrix	OS·버전 조합이 필요 이상으로 돈다	PR은 대표 조합, nightly는 전체 조합	matrix job count, changed paths
큰 runner 고정	가벼운 lint도 비싼 runner에서 돈다	job별 runner label 분리	runner label minutes
긴 timeout	hang job이 오랫동안 과금된다	job별 timeout-minutes 설정	cancelled vs timed-out runs

실무 시나리오 둘.

Node monorepo에서 모든 PR이 12개 package 테스트를 돌린다.

path filter와 affected package 계산을 넣으면 빠르지만, 먼저 cache key가 lockfile 기준으로 맞는지 확인해야 한다.

이 경우는 보류한다.

cache hit가 낮은데 package manager와 lockfile 정책이 정리되지 않았다면 matrix 축소만으로는 효과가 작다.

설치 단계가 계속 실패하면 줄인 job도 다시 실행된다.

4. artifact와 cache는 삭제 시점보다 누적 시간을 본다

GitHub Actions storage billing은 hourly accrual 방식이다.

artifact를 10일 보관한 뒤 11일째 삭제하면 이후 누적은 멈추지만, 이미 발생한 GB-Hours는 이번 달 청구에 남는다.

그래서 “월말에 지웠으니 괜찮다”는 판단이 틀릴 수 있다.

build artifact, test report, coverage report, custom image version은 생성 시점부터 retention 정책으로 줄여야 한다.

dependency cache도 무조건 크게 잡으면 위험하다.

GitHub cache 문서는 정확한 key가 없으면 partial match와 restore-keys를 순서대로 확인하고, cache miss에서 job 성공 후 새 cache를 만든다고 설명한다.

보관 대상	좋은 기준	비용 위험	권장 점검
테스트 리포트	실패 분석에 필요한 요약만 7일 보관	전체 screenshot과 trace를 모든 PR에 보관	failure only upload
빌드 산출물	배포 후보만 보관하고 PR 산출물은 짧게 유지	모든 branch artifact를 장기 보관	retention-days 지정
Coverage report	요약 파일과 HTML report를 구분	HTML report 전체를 매번 저장	main branch만 장기 보관
Dependency cache	lockfile와 OS 기준으로 key 설계	매 commit마다 새 key 생성	cache hit rate와 peak GB 확인
Custom image	버전 수와 retention policy를 제한	snapshot이 매 job마다 쌓인다	image version count 확인

이 조건이면 storage 최적화가 먼저다.

minutes는 크게 늘지 않았는데 bill이 오른 경우, E2E 영상이나 trace가 저장되기 시작했거나 custom image version이 유지되는지 본다.

운영팀은 artifact를 없애는 대신 실패 조사에 필요한 최소 단위를 정의해야 한다.

“실패 job의 요약 로그와 핵심 screenshot만 7일”처럼 규칙을 쓰면 비용과 디버깅이 충돌하지 않는다.

5. Copilot CLI를 Actions에서 쓸 때는 PAT 제거보다 조직 과금을 먼저 본다

GitHub Changelog는 Copilot CLI가 GitHub Actions에서 built-in GITHUB_TOKEN으로 실행될 수 있고, 장기 PAT를 만들고 저장할 필요가 줄었다고 설명한다.

이 변화는 보안팀 입장에서는 분명히 반갑다.

다만 같은 공지는 organization-owned repository에서 CLI가 소비한 AI credit이 조직에 직접 청구된다고 안내한다.

user-level budget이 조직 직접 과금에는 적용되지 않는다는 점도 함께 적혀 있다.

GitHub Docs는 workflow가 Copilot CLI를 쓰려면 조직 정책에서 “Allow use of Copilot CLI billed to the organization”을 확인하고, workflow에 copilot-requests write permission이 필요하다고 설명한다.

확인 항목	통과 기준	위험 신호	조치
조직 정책	Copilot CLI 조직 과금 허용 여부를 관리자가 확인	누가 켰는지 모르는 상태	policy owner와 변경 기록 보관
권한	copilot-requests write만 필요한 job에 부여	workflow 전체 write 권한과 결합	job 단위 permissions 분리
인증	GITHUB_TOKEN 기반으로 장기 PAT 제거	PAT나 개인 token을 secret으로 보관	legacy secret 삭제 계획 수립
비용 한도	session limit과 cost center를 사용	AI 요청 반복 workflow가 예산 없이 돈다	pilot repo와 budget owner 지정
trigger	fork PR과 외부 기여자 경로를 차단 또는 제한	AI step이 모든 PR에서 자동 실행	manual dispatch 또는 trusted branch 제한

실무 시나리오 셋.

PR 요약을 Copilot CLI로 자동 생성하려는 팀은 먼저 1개 repository에서 manual dispatch로 시작한다.

session limit을 걸고, 비용을 cost center에 묶고, fork PR에서는 AI step을 꺼둔다.

이 경우는 보류한다.

workflow가 외부 contributor pull request에서도 실행되고, copilot-requests 권한과 contents write 권한이 같은 job에 있으며, AI request 수를 월 단위로 보지 못한다면 pilot이 아니다.

6. GITHUB_TOKEN과 OIDC는 비용 통제의 보안 축이다

GITHUB_TOKEN 문서는 action이 workflow에서 token을 명시적으로 넘기지 않아도 github.token context를 통해 접근할 수 있다고 경고한다.

그래서 permissions 키로 필요한 최소 권한만 줘야 한다.

OIDC 문서는 workflow가 cloud provider에서 short-lived token을 받아 cloud secret을 GitHub에 장기 저장하지 않아도 되는 구조를 설명한다.

배포 비용을 줄이는 문제와 secret 운영 위험을 줄이는 문제는 같은 workflow 설계 안에서 풀어야 한다.

보안 설계	비용과 연결되는 이유	실무 기준	감사 포인트
permissions 최소화	불필요한 쓰기 권한 job을 줄인다	workflow 기본 contents read, job별 write 부여	write 권한 job 목록
OIDC	장기 secret 회전·유출 대응 비용을 줄인다	cloud role trust를 branch·environment로 제한	sub claim, audience, role scope
environment protection	비싼 배포 job을 승인 흐름에 묶는다	production 배포는 reviewer와 branch 제한	approval history
fork PR 제한	외부 코드가 비싼 runner와 secret에 닿지 않는다	untrusted PR은 light test만 실행	event type과 secret exposure
third-party action 검토	malicious action 사고 대응 비용을 줄인다	pinning, allowlist, source review	action version drift

보안팀에 설명할 문장은 길 필요가 없다.

“GitHub Actions CI/CD 비용 최적화는 더 적게 실행하는 것뿐 아니라, 더 좁은 권한으로 실행하는 것”이라고 말하면 된다.

운영팀 관점에서도 같다.

권한이 좁은 job은 실패했을 때 조사 범위가 좁고, secret rotation이나 incident 대응 비용이 작다.

7. 월간 리뷰는 cost center, workflow, repository 단위로 닫는다

GitHub cost centers 문서는 usage-based product인 GitHub Actions가 repository 또는 organization 기준으로 cost center에 배분될 수 있다고 설명한다.

enterprise owner, billing manager, organization owner 권한에 따라 생성 범위도 달라진다.

Copilot CLI 조직 과금까지 들어오면 cost center는 더 중요해진다.

개인 예산이 적용되지 않는 조직 직접 과금 항목은 repository owner가 아니라 플랫폼·개발조직·보안팀이 함께 보는 월간 표로 닫아야 한다.

월간 리뷰 질문	좋은 답	나쁜 답	다음 조치
어느 repo가 올랐나	repository와 workflow별 증가분이 보인다	전체 Actions 비용만 보인다	상위 10개 workflow deep dive
왜 올랐나	rerun, runner label, artifact, cache, AI request로 분류된다	개발자가 많이 쓴 것 같다	원인 카테고리별 owner 지정
줄일 수 있나	timeout, retention, trigger, matrix 조정안이 있다	일단 E2E를 줄이자	위험도 낮은 조치부터 적용
보안 문제는 없나	GITHUB_TOKEN permissions와 OIDC 전환 상태가 보인다	secret은 기존과 같다	장기 PAT와 cloud secret 제거 계획
AI 자동화는 통제되나	session limit, policy, cost center가 연결된다	workflow가 알아서 Copilot을 부른다	pilot 종료 기준 결정

실무 시나리오 넷.

결제팀과 플랫폼팀이 월간 Actions 비용을 본다.

결제 서비스 repo의 비용 증가는 승인하지만, 문서 repo의 full CI 비용은 path filter와 timeout으로 줄인다.

이런 식의 차등 판단이 필요하다.

모든 workflow를 같은 비율로 줄이면 고위험 서비스의 품질 신호가 약해지고, 저위험 repo의 낭비는 그대로 남을 수 있다.

8. GitHub Actions CI/CD 비용 정책 스켈레톤

아래 YAML은 실제 배포 파일이 아니라 조직 정책 초안이다.

숫자와 runner label은 GitHub 계약, 플랜, repository 위험도에 맞게 바꾼다.

# github-actions-cost-policy.yaml
# 목적: GitHub Actions CI/CD 비용을 기능별 감상 대신 소유자, 한도, 보안 권한으로 관리한다.
# 실제 금액, runner label, repository name은 조직의 GitHub 계약과 보안 정책에 맞게 수정한다.

ownership:
  billing_owner: platform-finops
  security_owner: appsec
  repository_owner: service-team
  review_cycle: monthly

cost_controls:
  default_runner: ubuntu-standard
  larger_runner_requires_ticket: true
  self_hosted_runner_requires_patch_sla: true
  default_timeout_minutes: 20
  max_parallel_matrix_jobs: 4
  artifact_retention_days_default: 7
  cache_review_threshold_gb: 10
  rerun_budget_policy: investigate_after_second_failure

copilot_cli_in_actions:
  allowed: pilot-only
  authentication: github-token
  required_permission: copilot-requests-write
  session_limit_required: true
  fork_pull_request_usage: deny
  org_billing_owner: platform-finops

security_controls:
  default_permissions: read-only
  write_permissions_require_reason: true
  cloud_credentials: oidc-short-lived-token
  long_lived_pat_in_workflows: deny
  unknown_third_party_action: review-before-use

stop_conditions:
  - missing_timeout_minutes
  - artifact_retention_over_30_days_without_reason
  - workflow_uses_long_lived_cloud_secret
  - pull_request_from_fork_runs_ai_or_deploy_step
  - monthly_actions_spend_exceeds_budget_without_cost_center

다음 workflow는 비용 가드레일 예시다.

GitHub Actions 표현식의 중괄호는 공개 HTML 검수와 충돌할 수 있어 의사코드 형태로 줄였고, 실제 저장소에는 GitHub 문법에 맞게 조정한다.

# ci-cost-guardrail-example.yml
# 검토용 스켈레톤이다. 실제 저장소에 넣기 전 trigger, 권한, runner label, 배포 환경을 조직 정책에 맞게 조정한다.

name: cost-aware-ci
on:
  pull_request:
  push:
    branches:
      - main

permissions:
  contents: read

concurrency:
  group: cost-aware-ci-main
  cancel-in-progress: true

jobs:
  test:
    runs-on: ubuntu-latest
    timeout-minutes: 20
    steps:
      - name: Checkout
        uses: actions/checkout@v6

      - name: Restore dependency cache
        uses: actions/cache@v4
        with:
          path: node_modules
          key: linux-node-lockfile-hash
          restore-keys: linux-node-

      - name: Install and test
        run: |
          npm ci
          npm test

      - name: Upload minimal test report
        if: failure()
        uses: actions/upload-artifact@v4
        with:
          name: test-report
          path: reports/test-summary.txt
          retention-days: 7

  copilot-pilot:
    if: false
    runs-on: ubuntu-latest
    timeout-minutes: 10
    permissions:
      contents: read
      copilot-requests: write
    steps:
      - uses: actions/checkout@v6
      - name: Install Copilot CLI for pilot only
        run: npm install -g @github/copilot
      - name: Run bounded Copilot CLI request
        env:
          GITHUB_TOKEN: provided-by-actions-runtime
        run: copilot --yolo -p "Summarize this pull request and list risky files only"

마지막 예시는 월간 리뷰용 분류기다.

청구 export나 workflow run CSV에서 가져온 값을 넣고, 어떤 repo를 먼저 볼지 고르는 목적으로만 쓴다.

#!/usr/bin/env python3
# ci-cost-estimator.py
# GitHub Actions 요금 계산기가 아니라 월간 리뷰용 분류기다.
# billing export, workflow run CSV, 사내 dashboard에서 가져온 값을 같은 구조로 맞춘 뒤 사용한다.

from dataclasses import dataclass

@dataclass
class WorkflowUsage:
    repo: str
    workflow: str
    runner: str
    minutes: float
    artifact_gb_hours: float
    cache_peak_gb: float
    reruns: int
    copilot_cli_sessions: int

rows = [
    WorkflowUsage("service-api", "pull-request-ci", "ubuntu-standard", 820, 120, 8, 14, 0),
    WorkflowUsage("web-app", "e2e-nightly", "larger-runner", 430, 640, 18, 6, 3),
]

for row in rows:
    flags = []
    if row.runner != "ubuntu-standard":
        flags.append("runner review")
    if row.reruns >= 5:
        flags.append("rerun root-cause")
    if row.artifact_gb_hours > 500:
        flags.append("artifact retention")
    if row.cache_peak_gb > 10:
        flags.append("cache quota")
    if row.copilot_cli_sessions > 0:
        flags.append("ai credit owner")

    print(f"{row.repo}/{row.workflow}: minutes={row.minutes}, flags={','.join(flags) or 'ok'}")

9. 실행 순서와 중단 기준

GitHub Actions CI/CD 비용 절감 프로젝트는 workflow를 지우는 일이 아니다.

실행 권한, trigger, runner, storage, AI 자동화 과금을 같은 표로 정리하는 운영 전환이다.

최근 30일 workflow run을 repository, workflow, runner label, trigger, status, rerun count로 나눈다.
artifact와 cache의 retention, peak GB, hit rate, custom image version 수를 별도 표로 만든다.
private repository의 write 권한자와 expensive workflow trigger를 대조한다.
GITHUB_TOKEN permissions가 workflow 전체 write-all인지 job 단위 최소 권한인지 확인한다.
cloud 배포 workflow는 장기 secret 대신 OIDC 전환 가능성을 검토한다.
Copilot CLI를 Actions에서 쓰는 repo는 조직 정책, copilot-requests 권한, session limit, cost center를 확인한다.
1차 조치는 timeout, concurrency cancel, retention-days, path filter처럼 되돌리기 쉬운 항목부터 적용한다.
품질 위험이 큰 service는 테스트 축소보다 flaky test 제거와 cache hit 개선을 먼저 승인한다.

중단 기준도 정해야 한다.

fork PR에서 AI step이나 deploy step이 돌고, 장기 PAT가 남아 있으며, Copilot CLI 조직 과금 owner가 없으면 비용 최적화 전에 보안 정리가 먼저다.

승인 기준은 반대다.

repository owner, billing owner, security owner가 있고, 상위 workflow 원가가 분류되며, 줄인 job이 품질 신호를 훼손하지 않는다는 검증이 있으면 다음 단계로 간다.