OpenAI Codex — App-Server provider (`codex-app-server`) (日本語)

1. アーキテクチャ

┌─ OmniRoute アプリ ──────────────┐        ┌─ codex-app-server サイドカー ──────┐
│  CodexAppServerExecutor          │  WS    │  codex app-server                   │
│  ws://codex-app-server:1456 ─────┼───────▶│  --listen ws://0.0.0.0:1456         │
│  （+ ケイパビリティトークン）    │  JSON  │  --ws-auth capability-token         │
│                                  │  RPC   │  OpenAI OAuth を自己管理            │
└──────────────────────────────────┘        │  (~/.codex/auth.json, 自動更新)     │
        │ 共有（compose ボリューム）         └─────────────────────────────────────┘
        ▼
  codex-appserver-token   → WS ケイパビリティトークン（両方がマウント）
  codex-appserver-home    → ~/.codex（ダッシュボードが auth.json を書き込み、
                             サイドカーの codex app-server が読み取り）

サイドカーは、ケイパビリティトークンで保護された内部 compose ネットワーク（ws://codex-app-server:1456）上でのみリッスンします。ホストやインターネットに公開されることはありません。
Codex CLI は omniroute:base に組み込まれているため、サイドカーを実行する際にホストやユーザーのマシンへ codex をインストールする必要はありません。

2. 起動

# codex app-server サイドカープロファイルを含めてスタックを起動：
docker compose --profile base --profile codex-app-server up -d
# （podman の場合：podman compose --profile base --profile codex-app-server up -d）

サイドカーは初回起動時に WS ケイパビリティトークンを生成し（共有 codex-appserver-token ボリューム内）、アプリは OMNIROUTE_CODEX_APPSERVER_WS_TOKEN_FILE を介して同じトークンを読み取ります。トークンを手動で配線する必要はありません。

3. 接続とサインイン

ダッシュボードで、OpenAI Codex (App-Server) の接続を追加します。API キーやトークンは必要ありません（認証不要のプロバイダーであり、認証はサイドカーが管理します）。
サイドカーの Codex CLI がまだサインインしていない場合、接続のヘルスチェックは、赤色の認証エラーではなく、“running but not signed in” と報告します。 Sign in with ChatGPT を使用してください。これにより、ブラウザーで標準の Codex デバイス OAuth が実行され、Apply auth を介して共有ボリューム内の ~/.codex/auth.json に書き込まれます（1回のログインで codex と codex-app-server の両プロバイダーを利用できます）。
サインインが完了すると、ヘルスチェックは正常状態になります（/readyz と account/read の両方、つまり起動済みかつ認証済みであることを確認します）。その後、処理が開始されます。

ダッシュボードが正常な既存の ~/.codex/auth.json を上書きすることはありません。ファイルが存在しない場合、またはトークンが古い場合にのみ書き込みます（バックアップは常に作成されます）。

4. デプロイシナリオ

すでに認証済みの Codex CLI を使用するオペレーター — ホストの ~/.codex をサイドカー（codex-appserver-home）にマウントし、サインイン手順を省略します。
ローカルに codex がインストールされていない一般ユーザー — 問題ありません。サイドカーに CLI が含まれています。ユーザーはダッシュボード経由で認証するだけです。
ベアメタルの OmniRoute（サイドカーなし、ホストの codex を使用） — OMNIROUTE_CODEX_APPSERVER_WS に独自の codex app-server を指定し、ホストの codex がサインイン済みであることを確認してください。バイナリが存在しない場合は、 “codex not installed” というヒントが表示されます。

5. 住宅回線／UDP 経由の外向き通信（オペレーター向け追加構成、非同梱）

上記の汎用サイドカーは、コンテナの通常のネットワークを介して外向きに通信します。 Codex の通信を住宅回線の出口（たとえば TCP + UDP/QUIC を伝送する TUN tailscale サイドカー）経由にする必要があるオペレーターは、それを別の compose オーバーライドとして実行します。この構成は、意図的に同梱の codex-app-server プロファイルには含まれていません。設定方法については、内部運用ランブックを参照してください。

OmniRoute ソースコード (a58000c7685f)