Création d’un environnement cloud sécurisé pour les agents de votre entreprise

Préparez des stratégies d’entreprise, des protections de référentiel et des paramètres des runners pour un déploiement contrôlé de Copilot in the cloud.

Dans cet article

À suivre

Configuration d’une liste d’autorisation pour un serveur MCP de votre entreprise

Ce tutoriel est destiné aux propriétaires d’entreprise et aux gestionnaires d’IA qui se préparent à activer Copilot in the cloud pour leurs équipes.

L’activation Copilot in the cloud permet aux utilisateurs de démarrer des sessions d’agent dans le cloud et d’affecter du travail à Copilot sur GitHub. Avant de le faire, il est recommandé de configurer votre entreprise afin que vous puissiez avoir l’assurance que Copilot fonctionnera dans un cadre sécurisé et prévisible.

En savoir plus sur les protections intégrées

Copilot in the cloud dispose d’une base forte de protections de sécurité intégrées conçues pour se protéger contre les points de risque courants des agents IA. Consultez « Risques et atténuations pour l’agent cloud GitHub Copilot ».

Paramètres de politique de planification

Planifiez vos politiques pour Copilot in the cloud à l'avance. Les stratégies vous permettent de définir une base de référence pour les restrictions au niveau de l’entreprise, que les propriétaires de l’organisation peuvent restreindre davantage si nécessaire.

Voici quelques questions à poser :

Adapter des ensembles de règles

Copilot est déjà restreint pour des actions telles que le push vers une branche par défaut ou la fusion de pull requests. Vous pouvez vous appuyer sur ces protections par défaut dans les ensembles de règles de branche. Copilot est soumis à des ensembles de règles comme les développeurs humains.

Pour adapter vos ensembles de règles pour Copilot agents :

  • Déterminez si des règles supplémentaires sont requises dans les référentiels où les agents fonctionnent, comme exiger des résultats à partir de code scanning ou Code Quality. Si vous avez identifié les organisations ou référentiels où Copilot in the cloud seront activés, vous pouvez appliquer une propriété personnalisée pour qu’elles soient faciles à cibler dans un ensemble de règles.
  • Déterminez si Copilot sera bloqué par l’un de vos ensembles de règles existants. Copilot peut signer ses validations, mais elle peut ne pas être en mesure de suivre d’autres règles qui limitent les métadonnées de validation.
  • Protégez les fichiers de configuration importants Copilot et MCP avec un CODEOWNERS fichier et activez la règle « Exiger une révision des propriétaires de code », de sorte que les modifications de ces fichiers doivent être approuvées par des équipes spécifiques. Pour les chemins de fichier à cibler, consultez Fiche de personnalisation de Copilot.

Stocker des variables et des secrets

Fournissez des variables et des secrets auxquels Copilot doit accéder pendant l’installation, l’exécution des tâches et la connexion aux serveurs MCP. Vous pouvez configurer les secrets et variables des agents au niveau de l’organisation ou du référentiel. Pour plus d’informations, consultez « Configurer des secrets et des variables pour Copilot agent cloud ».

Copilot sera en mesure d’accéder à ces secrets et variables dans les sessions en cours d’exécution sur GitHub Actions. Pour les sessions s’exécutant dans des bacs à sable dans le cloud, seuls les secrets seront disponibles.

(Facultatif) Configurer votre GitHub Actions environnement

Les sessions d’agent sur GitHub peuvent s’exécuter dans un bac à sable cloud ou sur GitHub Actions. Les coûts de calcul des deux environnements sont imputés sur la même allocation mensuelle.

  • Un sandbox cloud est un environnement plus rapide et léger qui permet aux utilisateurs de reprendre des sessions dans l’interface de chat de GitHub ou dans d’autres clients.
  • GitHub Actions vous permet de contrôler davantage l’environnement, comme les secrets et les variables, les étapes de configuration pour installer les dépendances et l’accès aux exécuteurs auto-hébergés ou à la mise en réseau privée.

Pour obtenir une comparaison détaillée, consultez GitHub Copilot sur GitHub.com et GitHub Mobile.

Si les utilisateurs exécutent des agents sur GitHub Actions, configurez vos exécuteurs et stratégies de façon à ce que Copilot fonctionne de manière sécurisée.

Conserver les secrets et les variables

Vous pouvez continuer à stocker des données et des jetons auxquels vous ne souhaitez Copilot pas accéder en tant que GitHub Actions variables ou secrets. Copilot ne pourra pas y accéder dans ses sessions ou étapes de configuration de l’environnement.

Configurer des exécuteurs

Déterminez les coureurs que vous utiliserez pour Copilot cloud agent. Nous vous recommandons d’utiliser GitHubdes exécuteurs hébergés, afin que chaque Copilot cloud agent exécution s’exécute sur une nouvelle machine virtuelle. Si vous utilisez des runners auto-hébergés, il est recommandé d’opter pour des runners éphémères.

Les propriétaires d’organisation peuvent limiter les runners de Copilot cloud agent à une étiquette spécifique, appliquée automatiquement à l’ensemble des référentiels. Consultez « Configuration des exécuteurs pour l’agent cloud GitHub Copilot dans votre organisation ».

Configurer des stratégies de flux de travail

Déterminez si l’exécution des workflows GitHub Actions doit être bloquée dans les demandes de tirage générées par Copilot. Consultez « Configuration des paramètres de GitHub Copilot dans le cloud ».

Par défaut, les flux de travail ne sont pas exécutés jusqu’à ce que quelqu’un disposant d’un accès en écriture les approuve. Les administrateurs de référentiel pourront désactiver cette fonctionnalité. Par conséquent, communiquez avec eux à l’avance sur votre paramètre préféré.

Passer en revue les autorisations par défaut

Passez en revue les autorisations par défaut pour GITHUB_TOKEN dans votre entreprise. Consultez « Application de stratégies pour GitHub Actions dans votre entreprise ».

Cette stratégie n’affecte pas le jeton qui Copilot recevra pour ses sessions, mais il GITHUB_TOKENest utilisé dans les étapes de configuration de l’environnement définies dans les copilot-setup-steps.yml fichiers de flux de travail.

N’oubliez pas que les développeurs pourront définir leurs propres permissions fichiers de flux de travail et vous devez les encourager à utiliser les autorisations minimales requises dans tous les flux de travail.