{"meta":{"title":"控制对较大运行器的访问","intro":"可以使用策略来限制对已添加到组织或企业的 大型运行器 的访问。","product":"GitHub Actions","breadcrumbs":[{"href":"/zh/actions","title":"GitHub Actions"},{"href":"/zh/actions/how-tos","title":"操作方法"},{"href":"/zh/actions/how-tos/manage-runners","title":"管理运行器"},{"href":"/zh/actions/how-tos/manage-runners/larger-runners","title":"大型运行程序"},{"href":"/zh/actions/how-tos/manage-runners/larger-runners/control-access","title":"控制访问"}],"documentType":"article"},"body":"# 控制对较大运行器的访问\n\n可以使用策略来限制对已添加到组织或企业的 大型运行器 的访问。\n\n## 管理对大型运行器的访问\n\n> \\[!NOTE]\n> 必须先为运行器组配置权限，这样工作流才能将作业发送到 大型运行器s。 有关详细信息，请参阅下列各节。\n\n运行器组用于控制哪些仓库可以在您的大型运行器上运行作业。 必须从管理层级结构的各个级别管理对该组的访问权限，具体取决于你在何处定义了 大型运行器：\n\n* \\*\\*企业级运行器：\\*\\*默认情况下，组织中的存储库无权访问企业级运行器组。 若要向存储库授予对企业运行器组的访问权限，组织所有者必须配置每个企业运行器组，并选择要授予访问权限的存储库。\n* \\*\\*组织级运行器：\\*\\*默认情况下，向组织中的所有存储库授予对组织级运行器组的访问权限。 若要限制哪些存储库具有访问权限，组织所有者必须配置组织运行器组并选择哪些存储库具有访问权限。\n\n例如，下图包含一个企业级别的名为 `grp-ubuntu-24.04-16core` 的运行器组。 在名为 `octo-repo` 的存储库可以使用该组中的运行器之前，必须先在企业级别配置该组以允许访问 `octo-org` 组织。 然后必须在组织级别配置该组以允许访问 `octo-repo`。\n\n\n\n## 为组织创建运行器组\n\n> \\[!WARNING]\n> 如果使用固定 IP 范围，建议仅对专用存储库使用 大型运行器。 公共存储库的分支可能会通过创建在工作流中执行代码的拉取请求，在 大型运行器 上运行危险代码。\n\n> \\[!NOTE]\n> 创建运行程序组时，必须选择一个策略，该策略定义哪些存储库 有权访问运行程序组。 若要更改哪些存储库和工作流可以访问运行程序组，具有“管理组织运行程序和运行程序组”权限和用户可以为组织设置策略。 有关详细信息，请参阅“[使用组管理对自托管运行程序的访问](/zh/actions/how-tos/manage-runners/self-hosted-runners/manage-access#changing-which-repositories-can-access-a-runner-group)”。\n\n所有组织都有单个默认运行器组。\n组织所有者（使用 GitHub Team 计划）可以创建额外的组织级运行器组。\n\n如果在注册过程中未指定任何组，则运行器会自动添加到默认组。 稍后可以将运行器从默认组移动到自定义组。\n\n有关如何使用 REST API 创建运行器组的信息，请参阅“[GitHub Actions 的 REST API 端点](/zh/rest/actions#self-hosted-runner-groups)”。\n\n1. 在 GitHub 上，导航到组织的主页面。\n\n2. 在组织名称下，单击 “Settings”\\*\\*\\*\\*。 如果看不到“设置”选项卡，请选择“”下拉菜单，然后单击“设置”\\*\\*\\*\\*\\*\\*\\*\\*。\n\n \n\n3. 在左侧边栏中，单击“ Actions”，然后单击“Runner groups”\\*\\*\\*\\*\\*\\*\\*\\*。\n\n4. 在“运行器组”部分，单击“新建运行器组”。\n\n5. 为运行器组输入名称。\n\n6. 分配存储库访问策略。\n\n 你可以将运行程序组配置为可供特定存储库列表或组织中的所有存储库访问。 默认情况下，只有专用存储库可以访问运行程序组中的运行程序，但你可以覆盖此设置。 如果配置企业共享的组织的运行组，则不能覆盖此设置。\n\n7. 单击“创建组”以创建组并应用策略。\n\n## 更改哪些存储库可以访问运行器组\n\n> \\[!WARNING]\n> 如果使用固定 IP 范围，建议仅对专用存储库使用 大型运行器。 公共存储库的分支可能会通过创建在工作流中执行代码的拉取请求，在 大型运行器 上运行危险代码。\n\n对于组织中的运行器组，可以更改组织中哪些存储库可以访问运行器组。\n\n1. 导航到运行器组所在的组织的主页。\n\n2. 单击“ Settings”\\*\\*\\*\\*。\n\n3. 在左侧边栏中，单击“ Actions”，然后单击“Runner groups”\\*\\*\\*\\*\\*\\*\\*\\*。\n\n4. 在组列表中，单击要配置的运行器组。\n\n5. 在“存储库访问”下，使用下拉菜单单击**所选组织**。\n 1. 在下拉菜单右侧，单击 。\n 2. 在弹出窗口中，使用复选框选择可以访问此运行器组的存储库。\n\n6. 单击 **“保存组”**。\n\n## 为较大的运行器配置专用网络访问\n\n可在 Azure Vnet 中使用 GitHub 托管的运行器。 这样就将 GitHub 托管基础结构用于 CI/CD，同时取得对运行器网络策略的完全控制。 有关 Azure VNET 的详细信息，请参阅 Azure 文档中的[什么是 Azure 虚拟网络？](https://learn.microsoft.com/en-us/azure/virtual-network/virtual-networks-overview)。\n\n如果已将组织配置为连接到 Azure VNET，则可以授予运行程序组对虚拟网络的访问权限。 有关详细信息，请参阅“[使用GitHub托管的运行程序建立专用网络](/zh/actions/concepts/runners/private-networking#using-an-azure-virtual-network-vnet)”。\n\n无法将 macOS 大型运行器 分配给配置了网络的运行器组。 同样，无法将网络配置添加到包含 macOS 大型运行器运行器的运行器组。\n\n## 更改运行器组的名称\n\n1. 导航到运行器组所在的组织的主页。\n2. 单击“ Settings”\\*\\*\\*\\*。\n3. 在左侧边栏中，单击“ Actions”，然后单击“Runner groups”\\*\\*\\*\\*\\*\\*\\*\\*。\n4. 在组列表中，单击要配置的运行器组。\n5. 在“组名称”下的文本字段中输入新的运行器组名称。\n6. 单击“ **保存**”。\n\n## 将运行器移动到组\n\n如果在注册过程中没有指定运行器组，新运行器会自动分配到默认组，然后可以移到另一个组。\n\n1. 在 GitHub 上，导航到组织的主页面。\n2. 在组织名称下，单击 “Settings”\\*\\*\\*\\*。 如果看不到“设置”选项卡，请选择“”下拉菜单，然后单击“设置”\\*\\*\\*\\*\\*\\*\\*\\*。\n\n \n3. 在左侧边栏中，单击“ Actions”，然后单击“Runners”\\*\\*\\*\\*\\*\\*\\*\\*。\n4. 在“Runners（运行器）”列表中，单击您要配置的运行器。\n5. 选择“运行器组”下拉列表。\n6. 在“Move runner to group（将运行器移动到组）”中，选择运行器的目的地组。\n\n## 移除运行器组\n\n若要删除运行器组，必须首先从组中移动或删除所有运行器。\n\n1. 导航到运行器组所在的组织的主页。\n2. 单击“ Settings”\\*\\*\\*\\*。\n3. 在左侧边栏中，单击“ Actions”，然后单击“Runner groups”\\*\\*\\*\\*\\*\\*\\*\\*。\n4. 在组列表中，在要删除的组右侧，单击 。\n5. 若要删除组，请单击“删除组”。\n6. 查看确认提示，然后单击“删除此运行器组”。"}