官方教程中文版安全、治理与计费
安全、治理与计费
把 Copilot 内容排除、访问策略、模型控制、premium requests、用量指标和 rollout 复盘连成治理闭环。
📖 本篇术语速查表
| 英文 / 缩写 | 中文 | 一句话解释 |
|---|---|---|
| Security & governance | 安全治理 | 团队上线 Copilot 的管控面。 |
| rollout 清单 | checklist | 上线前要定的策略项。 |
| 分层管控 | layers | 个人 / 组织 / 企业策略。 |
不想读完？把下面这段提示词丢给 AI 帮你跑完——帮你梳理 Copilot 团队上线的安全治理清单。
你是 Copilot 安全治理导航顾问。
【角色】
Copilot 安全治理导航顾问，按最小够用、安全优先的原则给可落地方案，每条结论都落到能照做的步骤或示例，不停留在空泛建议。
【输入】
- 团队规模和角色：___
- 合规要求：___
- 最担心的风险（泄露 / 越权 / 成本）：___
- 现有 GitHub 治理：___
- 经验水平：___
【工作流程】
1. 列出 rollout 治理清单
2. 按风险排优先级
3. 把策略放到合适层
4. 标出必须先定的项
5. 给落地顺序
【输出规范】
▌一、治理清单
▌二、风险优先级
▌三、策略分层
▌四、必做项 + 落地顺序
【硬约束】
- 按真实风险定策略，不过度管控
- 敏感数据和越权优先
- 策略变更可追溯
- 不要替我臆测情况或编造不存在的功能，信息不全先问清
- 不确定的配置或权限一律以官方文档为准，禁止照搬过时写法Copilot 上线不是“给团队开账号”。真正要交付的是一套可解释的治理面：谁能用、哪些内容不能看、哪些模型可用、哪些功能会产生费用、指标如何复盘——管理员要能在任何时刻对这五个问题给出答案，否则上线就只是把风险推迟。
这组页面按 GitHub 官方文档整理 4 个核心主题：内容排除、访问和策略、用量和计费、指标和采用情况。
阅读目标：读完本组后，你应该能给一个团队设计 Copilot rollout 的安全边界、成本边界和指标复盘方式。
1. 治理闭环
flowchart TD
Rollout["准备上线 Copilot"] --> Access["访问与策略"]
Access --> Exclusion["内容排除"]
Exclusion --> Billing["用量与计费"]
Billing --> Metrics["指标与采用情况"]
Metrics --> Review["月度复盘"]
Review --> Access
Access --> Feature["feature / privacy / model policies"]
Exclusion --> Sensitive["secrets / customer data / internal docs"]
Billing --> Premium["premium requests / budgets / allowances"]
Metrics --> Adoption["adoption / engagement / acceptance / PR lifecycle"]
style Access fill:#dbeafe,stroke:#2563eb,stroke-width:2px
style Exclusion fill:#fef3c7,stroke:#d97706,stroke-width:2px
style Metrics fill:#dcfce7,stroke:#16a34a,stroke-width:2px2. 本组页面
内容排除
配置哪些文件不让 Copilot 用，并理解 CLI、coding agent、Agent mode 的限制。
访问和策略
用 feature、privacy、model policies 控制功能、模型和组织/企业边界。
用量和计费
理解 request、premium request、allowance、budget 和 usage-based billing 迁移。
指标和采用情况
用 adoption、engagement、acceptance、LoC、PR lifecycle 指标评估 rollout。
3. 推荐上线顺序
- 先确定 seat、组织、企业和管理员职责。
- 配置 feature、privacy、model policies。
- 配置内容排除，先保护密钥、客户数据、专有算法和内部策略。
- 确认 premium requests、预算、超额策略和计费归属。
- 建 metrics 看板，不只看开通人数。
- 每月复盘采用率、成本、异常用量、内容排除变更和高风险功能。
上线顺序不能反过来。没有策略和内容排除就直接推广，会把安全和成本问题推迟到事故之后。
4. 月度复盘清单
- 有多少 licensed users 真正在用 Copilot。
- Chat、CLI、code review、cloud agent 等入口分别消耗多少。
- 哪些团队接受率高，哪些团队只开通不使用。
- premium requests 是否被少数人或少数功能集中消耗。
- 内容排除有没有变更，是否能在 audit log 里追踪。
- 新模型或新功能是否改变了成本和权限边界。
深读：治理不是阻止团队使用 Copilot
治理的目标不是让 Copilot 更难用，而是让组织能解释风险、成本和效果。没有治理，团队很快会进入“有人用得很好、有人乱用、管理员说不清”的状态。
商业级 rollout 要让开发者能用，管理员能控，财务能看，安全能审。
本组自检
- 是否知道每个用户通过哪个组织或企业获得 Copilot 许可？
- 是否有内容排除策略和变更审计？
- 是否知道哪些模型和功能会消耗 premium requests？
- 是否能用 metrics 解释采用情况，而不是只看开通人数？
通过标准：团队能说清权限、内容、成本、指标四条边界。
官方来源
- GitHub Copilot policies —— GitHub 官方 feature、privacy、model policies 概念页。
- Content exclusion for GitHub Copilot —— GitHub 官方内容排除概念、支持范围和限制。
- Requests in GitHub Copilot —— GitHub 官方 requests 和 premium requests 说明。
- GitHub Copilot usage metrics —— GitHub 官方指标口径说明。