企業 MCP 配置

企業 MCP 配置不是“給所有人接所有工具”，而是把 server 來源、認證方式、toolsets、registry 和組織策略收攏到可審計邊界裡。

一句話決策：GitHub Enterprise Cloud（GHEC）+ data residency 可以用遠端或本地 GitHub MCP server；GitHub Enterprise Server（GHES）只能用本地 server。這一條決定了你後面所有配置路徑，先確認它。

1. 企業部署分流

GitHub 官方 Enterprise 配置頁給出的邊界：

GitHub Enterprise Cloud with data residency：支援遠端和本地 MCP server。
GitHub Enterprise Server：不支援遠端 MCP server hosting，必須使用本地 MCP server 配置。

flowchart TD
    Env["企業 GitHub 環境"] --> GHEC{"GHEC data residency?"}
    GHEC -->|是| Remote["遠端 MCP server"]
    GHEC -->|是| Local["本地 MCP server"]
    GHEC -->|否| GHES{"GHES?"}
    GHES -->|是| LocalOnly["僅本地 MCP server"]
    GHES -->|否| Public["github.com remote server"]
    Remote --> URL["copilot-api.<subdomain>.ghe.com/mcp"]
    Local --> Docker["Docker / source + GITHUB_HOST"]
    LocalOnly --> Docker

    style Remote fill:#dbeafe,stroke:#2563eb,stroke-width:2px
    style LocalOnly fill:#fef3c7,stroke:#d97706,stroke-width:2px
    style Docker fill:#dcfce7,stroke:#16a34a,stroke-width:2px

2. GHEC data residency 的遠端 URL

對於 GitHub Enterprise Cloud with data residency，遠端 MCP server URL 要指向企業例項對應的 Copilot API 域名。

官方示例邏輯：

https://copilot-api.YOURSUBDOMAIN.ghe.com/mcp

例如企業例項是 https://octocorp.ghe.com，MCP server URL 就是：

https://copilot-api.octocorp.ghe.com/mcp

如果用 PAT，需要把 token 放在受控配置裡，不要提交到儲存庫。

3. GHES 和本地 server

GHES 必須走本地 GitHub MCP server。官方說明本地 server 可以透過 Docker 或原始碼執行，並透過 GITHUB_HOST 環境變數或 --gh-host 引數指向企業 GitHub 主機。

本地 Docker 配置的關鍵點：

使用 ghcr.io/github/github-mcp-server。
設定 GITHUB_PERSONAL_ACCESS_TOKEN。
設定 GITHUB_HOST。
用 input variable 或環境變數提供 token。
在不同 IDE 中配置位置不同，但原則一致。

不要把 GITHUB_PERSONAL_ACCESS_TOKEN 直接寫進可提交檔案。

4. Toolsets 的企業策略

GitHub MCP Server 預設啟用：

repos
issues
pull_requests

可以按任務啟用：

actions
code_security
secret_protection
stargazers
copilot
github_support_docs_search

其中 copilot 和 github_support_docs_search 是 remote-only toolsets。企業裡不建議用 all 作為預設值，除非有明確審計和審批。

建議按角色分層：

普通開發者：repo、issue、PR 只讀為主。
維護者：增加 PR 寫操作和 issue 更新。
DevOps：增加 Actions。
Security：增加 code security 和 secret protection。
AI 平臺管理員：單獨管理 remote-only Copilot 工具。

5. MCP registry

MCP registry 用來簡化發現和設定 MCP servers。GitHub 官方說明，Copilot 預設使用 GitHub MCP Registry，也可以配置自定義 MCP registry。

當前 registry 可用性有預覽邊界：官方頁面把 JetBrains、Xcode、Eclipse 的 registry 配置標為 public preview 或 pre-release 相關要求。企業落地時不要把 preview 當成穩定基礎設施。

治理建議：

內部 registry 只收錄已審查 server。
每個 server 有 owner、版本、用途和風險等級。
高風險 server 不預設推薦安裝。
registry URL 變更要走變更記錄。

6. 上線審查清單

上線前逐項確認：

企業環境型別：github.com、GHEC data residency 還是 GHES。
Server 模式：remote、本地 Docker，還是原始碼執行。
認證方式：OAuth、PAT、input variable、環境變數。
組織策略：MCP servers in Copilot 是否啟用。
Toolsets：是否只開放當前角色需要的工具。
Registry：是否來自 GitHub 官方或內部可信 registry。
日誌：IDE、server、GitHub audit log 是否能追蹤問題。
回復：如何停用 server、撤銷 token、移除 registry。

深讀：企業 MCP 的關鍵不是配置成功

配置成功只說明工具能跑。企業真正要解決的是許可權漂移、工具來源、token 生命週期、審計日誌、preview 能力變化和跨 IDE 差異。

先把最小工具鏈跑通，再擴充套件 toolsets 和 registry，比一次性鋪滿更穩。

本章自檢

當前企業環境是否支援遠端 MCP server？
GHES 是否誤用了遠端 server 配置？
PAT 是否被寫進可提交檔案？
預設 toolsets 是否過寬？
Registry 是否可審查、可撤回、可追蹤？

透過標準：不同團隊成員看到的 MCP server、toolsets 和許可權邊界可解釋，且管理員能停用和追蹤。

官方來源

Configuring the GitHub MCP Server for GitHub Enterprise —— GitHub 官方 GHEC/GHES 配置邊界。
Configuring toolsets for the GitHub MCP Server —— GitHub 官方 toolsets 說明。
Changing your MCP registry in your IDE —— GitHub 官方 registry 配置說明。
Managing MCP usage —— GitHub 官方 MCP 策略入口說明。

企業 MCP 配置

1. 企業部署分流

2. GHEC data residency 的遠端 URL

3. GHES 和本地 server

4. Toolsets 的企業策略

5. MCP registry

6. 上線審查清單

本章自檢

官方來源

接下來去哪

安全、治理與計費

GitHub MCP Server

本頁目錄