组织治理让你（管理员）控制整个组织中沙箱可以做什么。你在 Docker Home 中设置一次规则， 它们就会作用于每一位受治理开发者机器上的沙箱，而不是让每位开发者各自用本地策略来决定。 组织策略采用默认拒绝，因此这些沙箱只能访问、挂载和使用你的策略所允许的内容。

组织治理的工作方式

组织治理包含三个部分。许可证和登录强制要求决定谁受治理，组织策略控制他们的沙箱可以 做什么，审计日志记录这些策略所做的决策。

许可证和登录强制要求

组织治理适用于组织中持有 AI Governance 许可证的成员。你在 Docker Home 中分配许可证， 可以按需分配给指定成员，也可以在成员登录 Docker Sandboxes 时自动分配。更多细节请参阅 管理许可证。你可以把每条 策略应用到整个组织，也可以只应用到选定的团队。

开发者可以使用个人账户登录 Docker Sandboxes 来避开你的规则。 登录强制要求堵上了这个缺口：它只允许你组织的成员在你管理的 机器上使用沙箱。

组织策略

组织策略控制沙箱可以访问哪些目标地址、开发者可以挂载哪些宿主路径，以及开发者可以注册 和使用哪些 MCP 服务器。你可以在 Docker Home 中创建它们，也可以通过 AI Governance API 以编程方式创建。更多细节请参阅 组织策略。

审计日志

审计日志记录你组织的治理活动，例如为每个沙箱请求做出的策略决策。 你可以在 Docker Home 中查看和导出它们，也可以把它们转发到你的 SIEM。

开发者体验

开发者继续使用同样的 sbx 命令。当组织策略对他们强制执行时，sbx policy ls 会在状态 行显示 Governance: Managed by <org>，并且只有你的允许规则才会授予访问权限，因此他们 机器上的本地允许规则和 Kit 允许规则不再生效。更多细节请参阅 组织策略如何与本地规则和 Kit 规则相互关联。 被你的策略阻止的请求会返回 Blocked by org policy，如果你配置了 支持消息，则会在其后显示该消息。

入门

有关分步设置组织治理，请参阅组织治理入门。要获取 AI Governance 方案， 请联系 Docker 销售。