Docker Sandboxes

在 Docker Home 中创建和管理组织策略。网络、文件系统和 MCP 策略的步骤相同，区别只在于你 添加的规则。如果你想以编程方式管理策略，请使用 AI Governance API。有关作用域、规则评估和优先级如何工作， 请参阅组织策略。

开始之前 ​

你需要组织 owner 角色，或带有 Governance 权限的 自定义角色。

创建策略 ​

  1. 登录 Docker Home 并选择你的组织。
  2. 在左侧导航中展开 AI Platform，选择 Network access、Filesystem access 或 MCP access。
  3. 选择 Create policy。
  4. 输入 Policy name。
  5. 把 Scope 设置为 Organization 或 Teams。如果选择 Teams，请选择该策略 适用的团队。更多细节请参阅将策略限定到团队。
  6. 定义策略规则。
  7. 对于网络策略，如果希望开发者在沙箱访问某个目标地址之前逐一确认，请设置 Require approval before access。策略详情页会把审批报告为 Required 或 Not required。更多细节请参阅需要审批的访问。

有关可以创建的策略和规则数量，请参阅组织策略限制。

将策略限定到团队 ​

要把策略限定到团队，这些团队必须已存在于你的组织中。可以通过两种方式之一创建团队并 管理其成员：

  • 手动方式：在 Docker Home 中 创建团队。
  • 自动方式：使用组映射把身份 提供商的组与组织中的团队同步。组映射会创建尚不存在的团队，并让其成员与你的 IdP 组 保持一致。

团队作用域的策略会跟随团队成员关系，因此当有人加入或离开团队时（包括通过 IdP 同步）， 适用于他们的策略会自动更新。有关全组织范围的策略与团队作用域的策略如何组合，请参阅 策略作用域。

编辑或删除策略 ​

  1. 登录 Docker Home 并选择你的组织。
  2. 在左侧导航中展开 AI Platform，选择 Network access、Filesystem access 或 MCP access。
  3. 在列表中找到该策略。每条策略都列出其名称、作用域、规则数量和最后更新时间。
  4. 选择该策略的操作菜单（⋮），然后选择 Edit，或者删除该策略。
  5. 如果你要编辑，进行修改后选择 Save。

编辑策略会整体替换该策略。例如，在网络策略上关闭 Require approval before access， 会从该策略的每条规则中移除这一要求。更改会在 5 分钟内到达开发者机器。更多细节请参阅 策略更改何时到达开发者。

配置支持消息 ​

管理员可以添加一条可选的支持消息，当组织策略阻止某个沙箱操作时，它会显示在策略拒绝详情 之后。用它把成员引向内部支持渠道、工单队列或安全联系人。

要设置该消息：

  1. 登录 Docker Home 并选择你的组织。

  2. 在左侧导航中展开 AI Platform，选择 Manage。

  3. 在 Support message 中输入最多 500 个字符。

    只有开启 AI governance 后才会显示 Support message 字段。更多细节请参阅 开启 AI 治理。

  4. 选择 Save changes。

只有当拒绝由组织策略引起，或请求被要求审批的策略 阻止时，Docker 才会显示该消息。如果你留空，Docker 会显示策略拒绝信息，但不带额外的联系 信息。