Criando um ambiente de nuvem seguro para agentes em sua empresa

Preparar políticas empresariais, proteções de repositório e configurações de runner para uma implantação controlada de Copilot in the cloud.

Neste artigo

A seguir

Configurando uma lista de permissões do servidor MCP para sua empresa

Este tutorial é para proprietários corporativos e gerentes de IA que se preparam para habilitar Copilot in the cloud para suas equipes.

Habilitar Copilot in the cloud permite que os usuários iniciem sessões de agente na nuvem e atribuam trabalho a Copilot em GitHub. Antes de fazer isso, é uma boa prática configurar sua empresa para que você possa ter certeza Copilot de que ele operará dentro de guardrails seguros e previsíveis.

Saiba mais sobre proteções internas

Copilot in the cloud tem uma base forte de proteções de segurança internas projetadas para proteger contra pontos de risco comuns de agentes de IA. Consulte Riscos e mitigações para GitHub Copilot agente de nuvem.

Planejar configurações de política

Planeje suas políticas com Copilot in the cloud antecedência. As políticas permitem que você defina uma linha de base para restrições no nível empresarial, que os proprietários da organização podem restringir ainda mais, se necessário.

Algumas perguntas a serem feitas são:

Adaptar conjuntos de regras

Copilot já está impedido de ações como fazer push para uma ramificação padrão ou mesclar solicitações de pull. Você pode expandir essas proteções padrão em conjuntos de regras de ramo. Copilot está sujeito a conjuntos de regras, assim como os desenvolvedores humanos.

Para adaptar seus conjuntos de regras para Copilot agentes:

  • Considere se regras adicionais são necessárias em repositórios em que os agentes operarão, como exigir resultados de code scanning ou Code Quality. Se você identificou as organizações ou os repositórios nos quais Copilot in the cloud serão habilitados, você poderá aplicar uma propriedade personalizada a elas para que elas sejam fáceis de direcionar em um conjunto de regras.
  • Considere se Copilot será bloqueado por qualquer um de seus conjuntos de regras existentes. Copilot pode assinar suas confirmações, mas pode não ser capaz de seguir outras regras que restringem os metadados de confirmação.
  • Proteja arquivos de configuração importantes Copilot e MCP com um CODEOWNERS arquivo e habilite a regra "Exigir revisão dos Proprietários de Código" para que as edições nesses arquivos sejam aprovadas por equipes específicas. Para os caminhos de arquivo alvo, consulte Guia de personalização rápida do Copilot.

Armazenar variáveis e segredos

Forneça variáveis e segredos que Copilot precisa acessar durante a instalação, a execução da tarefa e a conexão com servidores MCP. Você pode configurar segredos e variáveis de Agents no nível da organização ou do repositório. Para obter mais informações, consulte Configurar segredos e variáveis para Copilot agente de nuvem.

Copilot poderá acessar esses segredos e variáveis em sessões em execução no GitHub Actions. Para sessões em execução em sandboxes na nuvem, somente segredos estarão disponíveis.

(Opcional) Configure seu ambiente GitHub Actions

As sessões do agente em GitHub podem ser executadas em uma área restrita na nuvem ou em GitHub Actions. Os custos de computação de ambos os ambientes se baseiam na mesma franquia mensal.

  • Uma sandbox na nuvem é um ambiente mais rápido e leve que permite que os usuários retomem sessões na interface de chat do GitHub ou em outros clientes.
  • GitHub Actions fornece mais controle sobre o ambiente, como segredos e variáveis, etapas de instalação para instalar dependências e acesso a executores auto-hospedados ou rede privada.

Para obter uma comparação detalhada, consulte GitHub Copilot no GitHub.com e no GitHub Mobile.

Se os usuários executarem agentes em GitHub Actions, configure seus executores e políticas para que Copilot opere com segurança.

Manter segredos e variáveis

Você pode continuar armazenando dados e tokens que você não quer Copilot acessar como GitHub Actions variáveis ou segredos. Copilot não poderá acessá-los em suas sessões ou etapas de configuração do ambiente.

Configurar executores

Decida quais corredores você usará para Copilot cloud agent. É recomendável usar executores GitHub-hospedados para que cada Copilot cloud agent seja executado em uma nova máquina virtual. Se você usar executores auto-hospedados, recomendamos usar executores efêmeros.

Os proprietários da organização podem restringir os executores de Copilot cloud agent a um rótulo específico de executor, a ser usado automaticamente em todos os repositórios. Consulte Configurando executores do agente de nuvem do GitHub Copilot em sua organização.

Configurar políticas de fluxo de trabalho

Decida se os workflows GitHub Actions devem ser impedidos de serem executados em solicitações de pull que o Copilot cria. Consulte Configurando configurações para GitHub Copilot na nuvem.

Por padrão, os fluxos de trabalho são impedidos de serem executados até que alguém com acesso de gravação os aprove. Os administradores do repositório poderão desabilitar esse recurso, portanto, comunique-se com eles com antecedência sobre sua configuração preferida.

Examinar permissões padrão

Verifique as permissões padrão para o GITHUB_TOKEN na sua empresa. Consulte Impor políticas para GitHub Actions em sua empresa.

Essa política não afeta o token que Copilot receberá por suas sessões, GITHUB_TOKEN__ usada em etapas de configuração de ambiente definidas em copilot-setup-steps.yml arquivos de fluxo de trabalho.

Tenha em mente que os desenvolvedores poderão definir suas próprias configurações nesses arquivos de fluxo de trabalho permissions, e é aconselhável incentivá-los a usar as permissões mínimas requeridas em todos os fluxos de trabalho.