このチュートリアルは、チームで Copilot in the cloud を有効にする準備をしているエンタープライズ オーナーと AI マネージャーを対象としています。
Copilot in the cloudを有効にすると、ユーザーはクラウドでエージェント セッションを開始し、Copilot上のGitHubに作業を割り当てることができます。 これを行う前に、Copilot がセキュリティで保護された予測可能なガードレール内で確実に動作するように、組織を設定しておくことをお勧めします。
組み込みの保護について説明します
Copilot in the cloud には、AI エージェントの一般的なリスク ポイントから保護するように設計された組み込みのセキュリティ保護の強力な基盤があります。 「GitHub Copilot クラウド エージェントのリスクと軽減策」を参照してください。
ポリシー設定を計画する
Copilot in the cloudのポリシーを事前に計画します。 ポリシーを使用すると、エンタープライズ レベルで制限のベースラインを設定できます。組織の所有者は、必要に応じてさらに制限できます。
次のような質問があります。
- Copilot in the cloud はどの組織とリポジトリで有効になりますか?
- 外部ツールに Copilot アクセスできるように、どの MCP サーバーを構成しますか? 「社内での MCP サーバーの使用状況」を参照してください。
- Copilot in the cloud エクスペリエンスを管理するために使用するその他のポリシーと管理設定はどれですか? 「GitHub Copilot ポリシーでサポートされるサーフェス」と「エンタープライズ管理設定」を参照してください。
ルールセットを調整する
Copilot は、既定のブランチへのプッシュやプル要求のマージなどのアクションから既に制限されています。 これらの既定の保護は、ブランチ ルールセットに基づいて構築できます。 Copilot は、人間の開発者と同様にルールセットの対象となります。
Copilotエージェントのルールセットを調整するには:
- ****またはcode scanningの結果を要求するなど、エージェントが動作するリポジトリにCode Qualityします。 Copilot in the cloudが有効になる組織またはリポジトリを特定した場合は、カスタム プロパティを適用して、ルール セットを簡単に対象にすることができます。
- Copilotが既存のルールセットによってブロックされるかどうかを検討します。 Copilot は コミットに署名できますが、コミット メタデータを制限する他の規則に従うことができない場合があります。
- Copilotし、[コード所有者からのレビューを要求する] ルールを有効にして、これらのファイルの編集を特定のチームが承認する必要があります。 ターゲットにするファイルパスについては、 Copilot カスタマイズのチートシート を参照してください。
変数とシークレットを格納する
Copilot がセットアップ、タスクの実行中、および MCP サーバーへの接続中にアクセスする必要がある変数とシークレットを指定します。 Agents secrets と変数は、組織レベルまたはリポジトリ レベルで構成できます。 詳細については、「Copilotクラウドエージェントのシークレットと変数を設定する」を参照してください。
Copilot は、 GitHub Actionsで実行されているセッションでこれらのシークレットと変数にアクセスできます。 クラウド サンドボックスで実行されているセッションでは、シークレットのみが使用できます。
(省略可能) GitHub Actions 環境を構成する
GitHub上のエージェント セッションは、クラウド サンドボックスまたはGitHub Actionsで実行できます。 両方の環境のコンピューティング コストは、同じ月間許容量から差し引かれます。
- クラウド サンドボックスは、ユーザーが GitHubのチャット インターフェイスまたは他のクライアントでセッションを再開できる、より高速で軽量な環境です。
- GitHub Actions では、シークレットや変数、依存関係をインストールするためのセットアップ手順、セルフホステッド ランナーやプライベート ネットワークへのアクセスなど、環境をより詳細に制御できます。
詳細な比較については、GitHub.com および GitHub Mobile でのGitHub Copilotを参照してください。
ユーザーが GitHub Actionsでエージェントを実行する場合は、 Copilot が安全に動作するようにランナーとポリシーを設定します。
シークレットと変数を保持する
あなたが__ にアクセスCopilotデータとトークンは、引き続きGitHub Actions変数またはシークレットとして格納できます。 Copilot では、セッションまたは環境のセットアップ手順でこれらにアクセスできなくなります。
ランナーを構成する
Copilot cloud agentに使用するランナーを決定します。 各 GitHub が新しい仮想マシン上で実行されるように、**** を使用することをお勧めします。 セルフホステッド ランナーを使用する場合は、エフェメラル ランナーを使用することをお勧めします。
組織の所有者は、すべてのリポジトリで自動的に使用されるように、 Copilot cloud agentのランナーを特定のランナー ラベルに制限できます。 「GitHub Copilotクラウドエージェント用ランナーを組織に構成する方法」を参照してください。
ワークフロー ポリシーを構成する
GitHub Actions 「クラウドで GitHub Copilot の設定を行う」を参照してください。
既定では、書き込みアクセス権を持つユーザーが承認するまで、ワークフローの実行はブロックされます。 リポジトリ管理者はこの機能を無効にできるため、希望する設定について事前に連絡してください。
既定のアクセス許可を確認する
エンタープライズ内の GITHUB_TOKEN の既定のアクセス許可を確認します。 「企業でGitHub Actionsのポリシーを適用する」を参照してください。
このポリシーは、セッションに対して**** が受け取るトークンには影響Copilotが、GITHUB_TOKENは、copilot-setup-steps.ymlワークフロー ファイルで定義された環境セットアップ手順で使用されます。
開発者はこれらのワークフロー ファイルで独自の permissions を設定できることに注意してください。また、すべてのワークフローで最低限必要なアクセス許可を使用するよう推奨する必要があります。