团队推 Codex 不靠人肉守规矩，靠 Managed config、Rules、Hooks、审计日志。
企业治理与上线路径
企业落地最常见的失败模式是「光发文档不发配置」。规矩没有强制力。
四件套
Managed config
统一配置下发，不允许用户绕过关键安全策略。
Rules
统一命令级允许 / 提示 / 拒绝。
Hooks
把日志、合规、扫描固化为生命周期脚本。
Audit Log
记录 prompt、工具调用、审批决策、MCP 使用、网络允许 / 拒绝。
网络策略
- 限制外连域名。
- 允许本地服务。
- 禁止粘贴站、未知上传端点。
上线路径
- 选低风险仓库试点。
- 定义权限基线。
- 建 AGENTS.md 模板。
- 配置日志和审计。
- 扩展到核心团队。
- 每月复盘事件与配置漂移。