企业 CLI 访问与许可
开启或关闭 CLI，检查席位与组织策略，区分模型、MCP、内容排除和云端委派。
This page has not been translated into English yet. The original Chinese version is shown below.
企业或组织可以单独控制 Copilot CLI。开发者能完成 GitHub 登录，仍可能因席位或策略没有获得 CLI 访问权。
企业开关
进入企业的 AI controls → Copilot → Features & clients → Configure features & clients，在 Clients 中设置 Copilot CLI。
关闭 CLI 不会关闭 GitHub Copilot app，app 有自己的策略。IDE 专属设置也不能自动视作 CLI 控制项。
访问排查顺序
- 确认用户从企业内组织获得有效 Copilot 席位。
- 检查企业策略是否 Enabled everywhere 或 Disabled everywhere；两者覆盖组织设置。
- 企业选择 Let organizations decide 时，检查实际给用户发许可的组织。
- 至少一个提供许可的组织开启 CLI，用户才满足这一访问条件。
组织名字出现在用户资料里不等于它正在提供 Copilot 许可。需要统一行为时，企业可以直接设置统一策略。
其他适用控制
| 控制 | CLI 行为 |
|---|---|
| 模型启用 | 只能使用企业允许的 GitHub 托管模型，/model 查看 |
| 企业 custom agents | 可在 CLI 使用 |
| 内容排除 | 管理说明与概念页标为支持，但配置页仍有不支持的注记；核对支持差异 |
| MCP 注册表与允许列表 | 限制发现来源和可连接服务器 |
| 审计 | 影响 CLI 的企业策略修改记录到审计日志 |
| 云端委派 | CLI 与 cloud agent 两项策略都须启用 |
/delegate 使用云端智能体，不能只打开本地 CLI 就认为可用。具体 MCP 指纹和设备规则见插件与 MCP 管理。
企业自带模型与个人 BYOK
企业或组织提供的自定义模型出现在选择器，可用 --model 或相应变量选择。个人本地 BYOK 是另一种配置路径，企业操作教程说明它不受托管模型选择策略控制。
设备管理仍可通过 forceLoginOrgs 限定账号归属，并拒绝纯 API-key / BYOK 认证。这是设备身份准入限制，不是对 provider 模型选择策略的同一个开关。部署时同时检查两层，见托管配置。