Konfigurieren einer MCP-Server-Zulassungsliste für Ihr Unternehmen

Informationen zu Zulassungslisten

Sie können eine Zulassungsliste definieren und ablehnen, um zu steuern, welche MCP-Serverbenutzer in Ihrem Unternehmen in Copilot Clients ausführen können. Diese Listen sind im Unternehmen managed-settings.jsondefiniert, auf dem Sie speichern GitHubkönnen.

Weitere Informationen findest du unter MCP-Servernutzung in Ihrem Unternehmen.

Voraussetzungen

• Damit MCP-Server ausgeführt werden können, müssen die MCP-Server in Copilot der Richtlinie für Ihr Unternehmen oder für Organisationen aktiviert sein, für die MCP-Server zulässig sein sollten.
• Wenn Sie MCP-Server derzeit auf eine benutzerdefinierte Registrierung beschränken, empfehlen wir, diese Einschränkung zu deaktivieren, um Konflikte mit Ihrer neuen Zulassungsliste zu vermeiden und eine einzige Wahrheitsquelle zu erhalten. Legen Sie den MCP-Zugriff auf registrierungsserverrichtlinie auf "Alle zulassen" fest, und deaktivieren Sie optional den Wert für die MCP-Registrierungs-URL.

Sie finden diese Einstellungen im MCP-Abschnitt Ihrer Copilot Richtlinien. Siehe Verwalten von Richtlinien und Features für GitHub Copilot in Ihrem Unternehmen.

Definieren einer Zulassungsliste oder Ablehnungsliste

1. Erstellen Sie eine managed-settings.json Datei für Ihr Unternehmen. Die meisten Unternehmen speichern diese Datei in einem .github-private Repository. Sie können sie auch direkt auf den Computern der Benutzer mithilfe der Verwaltung mobiler Geräte installieren. Siehe Konfigurieren von unternehmensverwalteten Einstellungen.

2. Bearbeiten Sie die Datei, um eine Zulassungsliste zu definieren und die Zulassungsliste für MCP-Server zu verweigern. Sie können nach Namen, Server-URL oder bestimmten Befehlen übereinstimmen. Ausführliche Informationen zur Syntax finden Sie unter allowedMcpServers und deniedMcpServers in "Referenz zu unternehmensverwalteten Einstellungen".

   Im folgenden Beispiel werden Server zugelassen, die mit einem der drei Zulassungslisteneinträge übereinstimmen. Der Dateisystemserver, der für den Zugriff auf das Stammdateisystem konfiguriert ist, wird immer blockiert, auch wenn er auch mit einem Zulassungslisteneintrag übereinstimmt.

   JSON

   {
     "allowedMcpServers": [
       { "serverUrl": "https://api.githubcopilot.com/*" },
       { "serverCommand": ["npx", "@playwright/mcp@latest"] },
       { "serverCommand": ["cmd", "/c", "uvx", "markitdown-mcp"] }
     ],
     "deniedMcpServers": [
       {
         "serverCommand": [
           "npx",
           "-y",
           "@modelcontextprotocol/server-filesystem",
           "/"
         ]
       }
     ]
   }
   

Bewertungsregeln

Copilot Clients bewerten MCP-Server in dieser Reihenfolge:

1. Immer integrierte Standardserver zulassen, z. B. den integrierten MCP-Server GitHub .
2. Blockieren Sie den Server, wenn er mit einem Eintrag in deniedMcpServersübereinstimmt.
3. Wenn allowedMcpServers vorhanden, blockieren Sie den Server, wenn er nicht mit einem Eintrag übereinstimmt.
4. Blockieren Sie den Server, wenn die URL oder der Befehl eine nicht aufgelöste Variable enthält, z ${VARIABLE} . B. oder $VARIABLE, da der Client den Server nicht überprüfen kann.

Wenn ein Client Einstellungen von mehreren managed-settings.json Bereitstellungsmethoden empfängt, gelten alle Einstellungen. Eine Verweigerungsregel von allen Quellen blockiert den Server, und ein Server muss mit einem Zulassungslisteneintrag auf jeder Ebene übereinstimmen, die einen definiert.

Wenn eine Zulassungsliste oder Ablehnung falsch formatiert ist (z. B. ungültiges JSON hat), behandelt der Client die Richtlinie als leere allowedMcpServers Liste. Dadurch werden alle Server außer integrierten Standardservern blockiert.

Wenn der Client aufgrund eines Abruf- oder Geräteermittlungsfehlers keine Richtlinienebene ermitteln kann, behält er die zuvor erzwungene Richtlinie bei. Die wirksame Politik kann restriktiver, aber nicht weniger restriktiv werden.