Erstellen einer sicheren Cloudumgebung für Agents in Ihrem Unternehmen

Bereiten Sie Unternehmensrichtlinien, Repositoryschutz und Runner-Einstellungen für einen kontrollierten Rollout von Copilot in the cloud vor.

In diesem Artikel

Als Nächstes

Konfigurieren einer MCP-Server-Zulassungsliste für Ihr Unternehmen

Dieses Lernprogramm richtet sich an Unternehmensbesitzer und KI-Manager, die sich darauf vorbereiten, Copilot in the cloud für ihre Teams zu aktivieren.

Die Aktivierung Copilot in the cloud ermöglicht Benutzern das Starten von Agentsitzungen in der Cloud und das Zuweisen von Arbeit an Copilot auf GitHub. Bevor Sie dies tun, empfiehlt es sich, Ihr Unternehmen so einzurichten, dass Sie sicher sein können, dass Copilot innerhalb sicherer, vorhersehbarer Leitplanken arbeitet.

Erfahren Sie mehr über integrierte Schutzmaßnahmen

Copilot in the cloud verfügt über eine starke Basis von integrierten Sicherheitsschutzmechanismen, die zum Schutz vor gängigen Risikopunkten von KI-Agents entwickelt wurden. Siehe Risiken und Risikominderungen für GitHub Copilot Cloud-Agent.

Planung von Richtlinieneinstellungen

Planen Sie Ihre Richtlinien für Copilot in the cloud im Voraus. Mithilfe von Richtlinien können Sie einen Basisplan für Einschränkungen auf Unternehmensebene festlegen, die Organisationsbesitzer bei Bedarf weiter einschränken können.

Einige Fragen, die Sie stellen müssen, sind:

Anpassen von Regelsätzen

Copilot ist bereits für Aktionen wie das Pushen in einen Standardbranch oder das Zusammenführen von Pull Requests eingeschränkt. Sie können diese standardmäßigen Schutzmechanismen in Verzweigungsregeln weiter ausbauen. Copilot unterliegt Regelwerken, genau wie menschliche Entwickler.

So passen Sie Ihre Regelsätze für Copilot Agents an:

  • Überlegen Sie, ob zusätzliche Regeln in Repositorys erforderlich sind, in denen Agents funktionieren, z. B. das Anfordern von Ergebnissen aus code scanning oder Code Quality. Wenn Sie die Organisationen oder Repositorys identifiziert haben, in denen Copilot in the cloud aktiviert werden, können Sie eine benutzerdefinierte Eigenschaft auf sie anwenden, damit diese in einem Regelsatz leicht als Ziel verwendet werden können.
  • Überlegen Sie, ob Copilot von einer Ihrer vorhandenen Regelsets blockiert wird. Copilot kann seine Commits signieren, aber möglicherweise nicht in der Lage sein, andere Regeln zu befolgen, die Commit-Metadaten einschränken.
  • Schützen Sie wichtige Copilot und MCP-Konfigurationsdateien mit einer CODEOWNERS Datei, und aktivieren Sie die Regel "Überprüfung von Codebesitzern erforderlich", damit Bearbeitungen an diesen Dateien von bestimmten Teams genehmigt werden müssen. Informationen zu Dateipfaden zum Ziel finden Sie unter Spickzettel für die Copilot-Anpassung.

Speichern von Variablen und Geheimnissen

Stellen Sie Variablen und Geheimnisse bereit, auf die Copilot während des Setups, der Aufgabenausführung und der Verbindung mit MCP-Servern zugreifen muss. Sie können Secrets und Variablen für Agents auf Organisations- oder Repository-Ebene konfigurieren. Weitere Informationen findest du unter Konfigurieren von geheimen Schlüsseln und Variablen für Copilot Cloud-Agent.

Copilot kann in Sitzungen, die auf GitHub Actions ausgeführt werden, auf diese Secrets und Variablen zugreifen. Bei Sitzungen, die in Cloud-Sandboxes ausgeführt werden, sind nur Secrets verfügbar.

(Optional) Konfigurieren Sie Ihre GitHub Actions Umgebung

Agent-Sitzungen auf GitHub können in einer Cloud-Sandbox oder auf GitHub Actions ausgeführt werden. Die Rechenkosten aus beiden Umgebungen greifen auf dasselbe monatliche Kontingent zurück.

  • Eine Cloud-Sandbox ist eine schnellere, einfache Umgebung, in der Benutzer Sitzungen in der Chatoberfläche von GitHub oder in anderen Clients fortsetzen können.
  • GitHub Actions bietet Ihnen mehr Kontrolle über die Umgebung, z. B. Secrets und Variablen, Einrichtungsschritte zum Installieren von Abhängigkeiten und Zugriff auf selbst gehostete Runner oder private Netzwerke.

Einen detaillierten Vergleich finden Sie unter GitHub Copilot auf GitHub.com und GitHub Mobile.

Wenn Benutzer Agents auf GitHub Actions ausführen, richten Sie Ihre Runner und Richtlinien so ein, dass Copilot sicher betrieben wird.

Secrets und Variablen speichern

Sie können weiterhin Daten und Token, auf die _nicht_GitHub Actionszugegriffen werden soll, als Copilot speichern. Copilot kann in den Sitzungen oder bei Schritten zur Einrichtung der Umgebung nicht darauf zugreifen.

Konfigurieren von Runnern

Entscheiden Sie, welche Läufer Sie für Copilot cloud agent verwenden werden. Wir empfehlen die Verwendung von auf GitHub gehosteten Runnern, damit jeder Copilot cloud agent auf einem neuen virtuellen Computer ausgeführt wird. Wenn Sie selbst gehostete Läufer verwenden, empfehlen wir die Verwendung von kurzlebigen Läufern.

Organisationsbesitzer können die Runner von Copilot cloud agent auf eine bestimmte Runnerbezeichnung beschränken, die dann automatisch in allen Repositorys verwendet wird. Siehe Konfigurieren von Runnern für den GitHub Copilot Cloud-Agent in Ihrer Organisation.

Konfigurieren von Workflowrichtlinien

Entscheiden Sie, ob GitHub Actions Workflows von der Ausführung blockiert werden sollen in Pullanforderungen, die Copilot erstellt. Siehe Konfigurieren von Einstellungen für GitHub Copilot in der Cloud.

Standardmäßig werden Workflows daran gehindert, ausgeführt zu werden, bis eine Person mit Schreibzugriff sie genehmigt. Repositoryadministratoren können diese Funktion deaktivieren, deshalb sollten Sie im Voraus mit ihnen über Ihre bevorzugte Einstellung kommunizieren.

Überprüfen von Standardberechtigungen

Überprüfen Sie die Standardberechtigungen für das GITHUB_TOKEN in Ihrem Unternehmen. Siehe Erzwingen von Richtlinien für GitHub Actions in Ihrem Unternehmen.

Diese Richtlinie wirkt sich nicht auf das Token aus, das Copilot für seine Sitzungen empfängt, aber das GITHUB_TOKENwird in den Schritten zur Einrichtung der Umgebung verwendet, die in den Workflowdateien copilot-setup-steps.yml definiert sind.

Denken Sie daran, dass Entwickler ihre eigenen permissions in diesen Workflowdateien festlegen können, und Sie sollten sie ermutigen, die mindest erforderlichen Berechtigungen in allen Workflows zu verwenden.