Это руководство предназначено для владельцев предприятия и руководителей ИИ, которые готовятся включить Copilot in the cloud для своих команд.
Включение Copilot in the cloud позволяет пользователям запускать сеансы агента в облаке и назначать работу.CopilotGitHub Прежде чем это сделать, рекомендуется настроить ваше предприятие, чтобы вы могли быть уверены Copilot , что будете работать в безопасной, прогнозируемой безопасности.
Узнайте о встроенных защитах
Copilot in the cloud имеет прочную базу встроенных систем защиты, предназначенных для защиты от типичных точек риска агентов ИИ. См . раздел AUTOTITLE.
Параметры политики плана
Планируйте свои полисы Copilot in the cloud заранее. Политики позволяют установить базовый уровень ограничений на уровне предприятия, которые владельцы организаций могут дополнительно ограничить при необходимости.
Некоторые вопросы, которые стоит задать:
- В каких организациях и репозиториях будут Copilot in the cloud включены?
- Какие MCP-серверы вы настраиваете так, чтобы они предоставляли Copilot доступ к внешним инструментам? См . раздел AUTOTITLE.
- Какие другие политики и управляемые параметры будут использоваться для управления интерфейсом Copilot in the cloud ? См. Поддерживаемые поверхности для политик GitHub Copilot и Управляемые корпоративными настройками.
Правила адаптации
Copilot уже ограничен в действиях, таких как push на стандартную ветку или слияние pull request. На основе этих стандартных защит можно строить в наборах правил ветвь. Copilot подчиняется правилам, как и человеческие разработчики.
Чтобы адаптировать наборы правил для Copilot агентов, выполните следующие действия.
- Рассмотрим, требуются ли дополнительные правила в репозиториях, где агенты будут действовать, например, требование результатов из code scanning или Code Quality. Если вы определили организации или репозитории, где Copilot in the cloud будет включено, вы можете применить к ним пользовательское свойство, чтобы их было легко таргетировать в наборе правил.
- Подумайте, будет Copilot ли блокировка какой-либо из ваших существующих правил. Copilot может подписывать свои коммиты, но может не следовать другим правилам, ограничивающим метаданные коммита.
- Защитите важные Copilot и MCP-конфигурационные файлы
CODEOWNERSс помощью файла и включите правило «Требуется проверка от владельцев кода», чтобы правки в этих файлах должны были быть одобрены конкретными командами. Для целевых путей файлов см. Шпаргалка для кастомизации Copilot.
Хранение переменных и секретов
Предоставьте переменные и секреты, необходимые Copilot для доступа во время установки, выполнения задач и подключения к серверам MCP. Секреты и переменные агентов можно настроить на уровне организации или репозитория. Дополнительные сведения см. в разделе Настройте секреты и переменные для облачного агента Copilot.
Copilot сможет получить доступ к этим секретам и переменным в сеансах, выполняющихся в GitHub Actions. Для сеансов, работающих в песочнице облака, будут доступны только секреты.
(Необязательно) GitHub Actions Настройка среды
Сеансы GitHub агента могут выполняться в облачной песочнице или в GitHub Actionsней. Затраты на вычисления из обеих сред используют одинаковые ежемесячные пособия.
- Облачная песочница — это более быстрая упрощенная среда, которая позволяет пользователям возобновлять сеансы в GitHubинтерфейсе чата или в других клиентах.
- GitHub Actions обеспечивает больше контроля над средой, например секретами и переменными, этапами установки для установки зависимостей и доступом к локальным запускам или частным сетям.
Подробное сравнение см. в разделе GitHub Copilot на GitHub.com и GitHub Mobile.
Если пользователи будут запускать агенты GitHub Actions, настройте средства выполнения и политики, чтобы Copilot обеспечить безопасную работу.
Сохранение секретов и переменных
Вы можете продолжать хранить данные и маркеры, к которым вы не хотите Copilot обращаться как GitHub Actions к переменным или секретам. Copilot не смогу получить доступ к ним в сессиях или этапах настройки среды.
Настройка раннеров
Решите, какие бегуны вы будете использовать для Copilot cloud agent. Мы рекомендуем использовать GitHub-hosted runners, чтобы каждый Copilot cloud agent работал на новой виртуальной машине. Если вы используете самостоятельные бегунки, мы рекомендуем использовать эфемерные бегуны.
Владельцы организаций могут ограничивать Copilot cloud agent's runners определённой меткой, которая будет использоваться автоматически во всех репозиториях. См . раздел AUTOTITLE.
Настройка политик рабочего процесса
Решите, стоитGitHub Actions ли блокировать рабочие процессы для запуска в pull requests, которые Copilot создают. См . раздел AUTOTITLE.
По умолчанию рабочие процессы блокируются до тех пор, пока кто-то с доступом к записи не одобрит их. Администраторы репозиториев смогут отключить эту функцию, поэтому заранее сообщите им о своих предпочтениях.
Просмотр стандартных разрешений
Проверьте стандартные права для GITHUB_TOKEN вашего предприятия. См . раздел AUTOTITLE.
Эта политика не влияет на токен, который Copilot будет получен за сессии, но GITHUB_TOKENиспользуется в этапах настройки среды, определённых в copilot-setup-steps.yml файлах рабочего процесса.
Имейте в виду, что разработчики смогут настраивать свои права permissions в этих файлах рабочих процессов, и вам следует поощрять их использовать минимальные требования разрешений во всех рабочих процессах.