{"meta":{"title":"限制 codespace 的基础映像","intro":"可以指定哪些基础映像可用于为在组织内创建的新代码空间创建开发容器。","product":"Codespaces","breadcrumbs":[{"href":"/zh/codespaces","title":"Codespaces"},{"href":"/zh/codespaces/managing-codespaces-for-your-organization","title":"管理您的组织"},{"href":"/zh/codespaces/managing-codespaces-for-your-organization/restricting-the-base-image-for-codespaces","title":"限制基础映像"}],"documentType":"article"},"body":"# 限制 codespace 的基础映像\n\n可以指定哪些基础映像可用于为在组织内创建的新代码空间创建开发容器。\n\n## 概述\n\n创建 codespace 时，将在远程虚拟机上自动创建一个开发容器。 此开发容器是通过 Docker 映像创建的。 映像实际上是 Docker 容器的模板，它确定了 codespace 提供的结果环境的许多方面。 有关详细信息，请参阅“[GitHub Codespaces 快速入门](/zh/codespaces/quickstart#introduction)”。\n\n可以在存储库的开发容器配置中指定映像，从而选择要用于 codespace 的映像。 例如，可以使用 `image` 文件中的 `devcontainer.json` 属性来执行此操作。\n\n```json copy\n\"image\": \"mcr.microsoft.com/devcontainers/javascript-node:18\",\n```\n\n有关详细信息，请参阅开发容器网站上的[开发容器规范](https://containers.dev/implementors/json_reference/#image-specific)。\n\n你也可以在 Dockerfile 中指定基本映像。 有关详细信息，请参阅“[开发容器简介](/zh/codespaces/setting-up-your-project-for-codespaces/adding-a-dev-container-configuration/introduction-to-dev-containers#dockerfile)”。\n\n如果未在仓库的开发容器配置中指定映像，则将使用默认开发容器映像。 默认映像包含许多常用语言和常用工具的运行时版本。 有关详细信息，请参阅“[开发容器简介](/zh/codespaces/setting-up-your-project-for-codespaces/adding-a-dev-container-configuration/introduction-to-dev-containers#using-the-default-dev-container-configuration)”。\n\n作为组织所有者，你可以添加一个策略来限制哪些开发容器映像可用于组织内创建的 codespace。\n\n如果尝试使用指定策略不允许的映像的 `devcontainer.json` 创建 codespace，将在 GitHub 中显示以下消息：\n\n> 无法创建 Codespace，因为开发容器配置中指定的映像不被允许。 可能需要选择其他分支、修改容器配置或调整组织的策略设置。\n\n使用 CLI 时，错误消息将为：\n\n> 创建 Codespace 时出错：HTTP 400：根据组织管理员设置的组织策略，基础映像“IMAGE-REFERENCE”不被允许。\n\n如果在 Dockerfile 中指定了 Codespace 的映像，但该映像不符合策略，则将使用默认的恢复容器在恢复模式下创建 Codespace，而不是使用指定的映像。 说明此后果的消息将包含在创建日志的末尾。 有关创建日志的详细信息，请参阅 [GitHub Codespaces 日志](/zh/codespaces/troubleshooting/github-codespaces-logs#creation-logs)。\n\n> \\[!NOTE]\n>\n> * 不应将开发容器基础映像与主机映像混淆。 主机映像用于生成运行开发容器的虚拟机。 有关详细信息，请参阅“[选择稳定版本或 beta 版本主机映像](/zh/codespaces/setting-your-user-preferences/choosing-the-stable-or-beta-host-image)”。\n> * 基础映像策略将在创建 Codespace 以及执行完整容器重新生成时应用。 有关详细信息，请参阅“[了解代码空间的生命周期](/zh/codespaces/about-codespaces/understanding-the-codespace-lifecycle#rebuilding-a-codespace)”。\n> * 基础映像策略不适用于默认的映像，也不适用于（当在开发容器配置中引入错误导致无法重新生成容器时）用于恢复代码空间的映像。\n\n### 设置组织范围和存储库特定的策略\n\n创建策略时，您可以选择是将其应用于组织中的所有存储库，还是仅应用于指定的存储库。 如果设置了组织范围的策略，则为各个存储库设置的任何策略都必须在组织级别设置的限制范围内。 添加策略会让图像选择变得更加严格，而不是减少。\n\n例如，你可以创建一个组织范围的策略，将基础映像限制为十个指定映像中的任意一个。 然后，可以为存储库 A 设置一个策略，将映像限制为仅在组织级别指定的两个映像的子集上。 为存储库 A 指定其他映像将不起作用，因为这些映像未在组织级别策略中指定。 如果添加组织范围的策略，则应将其设置为组织中任何存储库可用的最大映像选择范围。 然后，您可以添加特定于存储库的策略以进一步限制选择。\n\n> \\[!NOTE]\n> Codespace 策略仅适用于组织支付的 codespace。 如果某人为组织中的存储库创建 codespace，并自行付费，则 codespace 不受这些策略的约束。 有关详细信息，请参阅“[选择在您的组织中谁拥有和支付 Codespaces 的费用](/zh/codespaces/managing-codespaces-for-your-organization/choosing-who-owns-and-pays-for-codespaces-in-your-organization)”。\n\n## 添加策略以定义允许的映像\n\n1. 在 GitHub 的右上角，单击个人资料图片，然后单击“ Your organizations”\\*\\*\\*\\*。\n\n2. 单击以选择一个组织。\n\n3. 在组织名称下，单击 “Settings”\\*\\*\\*\\*。 如果看不到“设置”选项卡，请选择“”下拉菜单，然后单击“设置”\\*\\*\\*\\*\\*\\*\\*\\*。\n\n \n\n4. 在边栏中的“代码、规划和自动化”下， 选择 **Codespaces** 并单击“ **策略**”。\n\n5. 在“codespace 策略”页上，单击“创建策略”。\\*\\*\\*\\*\n\n6. 输入新策略的名称。\n\n7. 单击“添加约束”并选择“基础映像” 。\n\n8. 单击 来编辑限制条件。\n\n9. 在“允许的值”字段中，输入要允许的 Docker 映像的映像引用。\n\n \n\n 可以使用 `*` 通配符作为映像引用的最后一个字符，以匹配引用的开始部分与该通配符左侧字符相同的所有映像。 例如，`mcr.microsoft.com/devcontainers/*`。\n\n10. 单击“”以添加该值。\n\n11. 如果需要，请重复前两个步骤以添加更多映像引用。\n\n 添加多个映像引用时，如果存储库的开发容器配置中指定的映像引用与应用于存储库策略中的任何引用不一致，则无法为该存储库创建 Codespace。\n\n12. 单击对话框外部将其关闭。\n\n13. 默认情况下，策略设置为应用于所有存储库，如果你希望它仅应用于组织中的某些存储库，请单击“所有存储库”，然后在下拉菜单中单击“所选存储库”。\n\n \n\n > \\[!NOTE]\n > 如果现有的策略已包含“每用户最大 Codespace 数量”约束，要向该策略添加约束，则无法将该策略应用于所选存储库。 这是因为“每个用户的最大 codespace 数量”约束始终应用于组织中的所有存储库。\n\n 选中“所选存储库”后：\n\n 1. 单击 。\n\n \n\n 2. 选择要应用此策略的存储库。\n\n 3. 在存储库列表的底部，单击“选择存储库”。\n\n \n\n14. 如果要向策略添加另一个约束，请单击“添加约束”并选择另一个约束。 有关其他约束的信息，请参阅：\n * [限制对计算机类型的访问](/zh/codespaces/managing-codespaces-for-your-organization/restricting-access-to-machine-types)\n * [限制用户可以创建的向组织计费的 codespace 数量](/zh/codespaces/managing-codespaces-for-your-organization/restricting-the-number-of-organization-billed-codespaces-a-user-can-create)\n * [限制转发端口的可见性](/zh/codespaces/managing-codespaces-for-your-organization/restricting-the-visibility-of-forwarded-ports)\n * [限制空闲超时期限](/zh/codespaces/managing-codespaces-for-your-organization/restricting-the-idle-timeout-period)\n * [限制 codespaces 的保留期](/zh/codespaces/managing-codespaces-for-your-organization/restricting-the-retention-period-for-codespaces)\n\n15. 向策略添加完约束后，单击“保存”。\n\n当有人尝试创建可向组织收费的新 codespace 时，将应用该策略。 基本镜像约束不会影响现有的 codespaces（无论是正在运行的还是已经停止的）。\n\n## 编辑策略\n\n可以编辑现有策略。 例如，你可能想要在策略中添加或移除约束。\n\n1. 显示“代码空间策略”页。 有关详细信息，请参阅[添加策略以定义允许的映像](#adding-a-policy-to-define-the-allowed-images)。\n2. 单击要编辑的策略的名称。\n3. 在“基础映像”约束旁，单击“”。\n4. 添加或移除映像引用。\n5. 单击“ **保存**”。\n\n## 删除策略\n\n1. 显示“代码空间策略”页。 有关详细信息，请参阅[添加策略以定义允许的映像](#adding-a-policy-to-define-the-allowed-images)。\n2. 在要删除的策略的右侧，单击“”。\n\n "}