Entornos en la nube

Codex Cloud ejecuta tareas de programación en la nube, así que el trabajo puede continuar mientras tu computadora está en suspensión. Úsalo desde la web, un dispositivo móvil o la aplicación de escritorio para editar código, ejecutar comandos y revisar resultados.

Cada tarea en la nube se ejecuta en su propio espacio de trabajo. Si el entorno predeterminado está disponible, puedes iniciar una tarea sin elegir un repositorio. Para reutilizar una configuración en varias tareas, selecciona Crear entorno, elige los repositorios, las dependencias, las herramientas y los ajustes de acceso que necesiten tus tareas y luego publica el entorno.

Para empezar, consulta la descripción general de Codex Cloud.

Iniciar una tarea en Codex Cloud

En la web o en la aplicación de escritorio, elige Trabajar en > Nube. En un dispositivo móvil, abre Codex. Si el entorno predeterminado aparece en el selector, selecciónalo y describe tu tarea.

• Sin un proyecto, puedes iniciar la tarea sin elegir un repositorio. Por ejemplo, pídele a Codex que escriba y pruebe un script con datos de ejemplo. Si más adelante la tarea requiere código existente, dile a Codex qué repositorio debe clonar.
• Desde un proyecto en la aplicación de escritorio, el entorno predeterminado puede usar automáticamente los repositorios asociados a ese proyecto si están alojados en GitHub.com y ya conectaste tu cuenta de GitHub. Esta configuración automática del proyecto no incluye los repositorios de GitLab.

Agregar un repositorio a una tarea en ejecución es independiente de la configuración automática del proyecto. Puedes pedirle a Codex que clone un repositorio al que tenga acceso el entorno, incluso si inicias la tarea desde un dispositivo móvil. Para obtener una copia de trabajo de un repositorio de GitLab.com con el selector de repositorios, crea un entorno reutilizable desde la web o la aplicación de escritorio.

Si prefieres usar una configuración que ya preparaste o que alguien compartió contigo, selecciona el entorno publicado correspondiente. En los espacios de trabajo Enterprise, usa un entorno publicado al que tengas acceso. Los administradores pueden revisar quién tiene acceso a Codex Cloud en el espacio de trabajo.

Crear y publicar un entorno

Crea un entorno reutilizable desde la web o la aplicación de escritorio si quieres usar los mismos repositorios, herramientas o ajustes de acceso en varias tareas. Inicia sesión con tu cuenta de ChatGPT y sigue estos pasos:

1. En una tarea nueva, elige Trabajar en > Nube, abre Seleccionar entorno y selecciona Crear entorno.
2. Selecciona los repositorios de los que quieres obtener una copia de trabajo. Conecta GitHub si se te solicita. Si GitLab está disponible en el selector de repositorios, selecciona tu conexión de GitLab.com y busca el repositorio.
3. Selecciona Comenzar. Codex examina los repositorios, instala las dependencias y las herramientas, y prueba el flujo de trabajo.
4. Si se te solicita, proporciona el acceso o la información que falte. También puedes pedir versiones, comandos o servicios específicos.
5. Revisa el informe de configuración, los ajustes y los archivos. Completa el trabajo pendiente, guarda los cambios y selecciona Publicar.
6. Cuando aparezca Entorno publicado, selecciona Iniciar una tarea nueva y describe lo que quieres que haga Codex.

También puedes empezar desde Configuración > Codex Cloud > Entornos > Crear entorno.

Personalizar la instalación y el inicio

Codex identifica los entornos de ejecución, las versiones de los paquetes, las herramientas y los servicios a partir de tus repositorios. Ajusta la configuración en la conversación. No necesitas escribir un script de instalación por tu cuenta.

Codex puede registrar la configuración probada en dos campos:

• Script de instalación: comandos para instalar dependencias y preparar los recursos de desarrollo.
• Habilidad de inicio: instrucciones para iniciar los servicios y comprobar que estén listos.

Reutilizar y actualizar el estado guardado

• Tarea nueva en un entorno publicado: se inicia con el sistema de archivos preparado del entorno.
• Tarea existente: continúa con sus propios archivos guardados, incluidos los cambios sin commit y las herramientas instaladas.
• Actualización del repositorio: se ejecuta automáticamente en segundo plano y conserva las cachés de dependencias sin volver a ejecutar los comandos de instalación o inicio.

Para actualizar la configuración reutilizable, abre Configuración > Codex Cloud > Entornos. En el menú … del entorno, selecciona Editar. Describe el cambio, deja que Codex lo prepare y lo pruebe, guarda los cambios y selecciona Volver a publicar. Inicia una tarea nueva para usar la actualización. Las tareas existentes conservan su propio estado.

Haz commit de los cambios importantes o guarda los resultados que necesites. El estado guardado no sustituye al control de versiones.

Configurar variables de entorno y secretos de red

Codex identifica los ajustes que faltan y te pide los valores que no puede inferir. En la configuración del entorno, selecciona Administrar junto a Variables de entorno o Secretos HTTP. Elige cómo proporcionar cada valor:

Para los secretos de red, configura Clave, Valor y Dominios permitidos. Usa una clave distinta de las que uses para las variables que se entregan directamente. La sustitución funciona con HTTPS en el puerto 443 durante la configuración y la ejecución de tareas. La credencial real no queda expuesta en ningún proceso ni archivo local.

Al guardar secretos de red que pertenecen al entorno, sus destinos se agregan a la lista de destinos permitidos para el acceso restringido a internet. Las variables que se entregan directamente y los valores personales no agregan destinos. Revisa la política de red guardada antes de hacer pruebas. Para conocer los requisitos del espacio de trabajo, consulta Seguridad de los agentes.

Proporcionar valores personales

Usa la bóveda personal para guardar tus propias variables de entorno y secretos de red para los entornos en la nube de tu espacio de trabajo.

Un entorno compartido puede solicitar valores que cada persona proporciona desde su propia cuenta. Al compartir el entorno, compartes esos requisitos. Tus credenciales personales siguen siendo privadas.

Cuando se te solicite, ingresa los valores obligatorios en Agregar secretos personales y selecciona Guardar e iniciar. Puedes dejar sin configurar los valores opcionales.

Para administrar los valores con anticipación:

1. Abre Configuración > Codex Cloud y selecciona la pestaña Bóveda personal.
2. Selecciona Agregar, elige Variable de entorno o Secreto de red en Tipo e ingresa la Clave correspondiente y tu Valor.
3. En Se aplica a, elige Todos los entornos o Entornos seleccionados y luego selecciona Guardar.

Cada tarea recibe únicamente los valores solicitados. El valor de un entorno específico tiene prioridad sobre el valor predeterminado general. Para los secretos de red personales, el proxy usa los destinos permitidos del entorno y reemplaza los marcadores de posición de la misma manera.

Compartir un entorno en un espacio de trabajo Enterprise

Comparte una configuración preparada para que tus colegas puedan iniciar sus propias tareas a partir de ella:

1. Abre la configuración del entorno.
2. En Privacidad > Quién puede usarlo, elige tu espacio de trabajo.
3. Guarda el cambio. Publica el entorno si aún no lo has hecho.

Elige Solo yo en Quién puede usarlo para mantener el entorno privado. Cada tarea tiene sus propios archivos de trabajo. El acceso a la configuración no otorga acceso a la tarea de otra persona ni permiso para editar el entorno.

Antes de compartir el entorno, revisa los archivos preparados y las credenciales que le pertenecen. Las identidades en la nube y las conexiones VPN también pueden dar acceso compartido a servicios. El acceso a los repositorios y las conexiones personales dependen de la cuenta que ejecuta la tarea.

Usar Codex en la nube controla el acceso a las tareas. Administrar entornos del espacio de trabajo controla quién puede crear y editar entornos compartidos con el espacio de trabajo. Consulta Roles y permisos del espacio de trabajo.

Seguridad de los agentes

La configuración de acceso a internet del entorno define a qué destinos de internet pública puede conectarse su máquina virtual. La configuración de la VPN permite conectar esa máquina virtual a servicios de una red privada de forma independiente.

En los espacios de trabajo Enterprise, los administradores usan Seguridad de los agentes para configurar los requisitos del espacio de trabajo relativos al comportamiento de los agentes, las conexiones de red durante la ejecución administrada y el uso de herramientas compatibles. Estos requisitos se aplican junto con la configuración de dominios guardada en cada entorno. Consulta Seguridad de los agentes para conocer las políticas globales y los ajustes de Codex Cloud que pueden prevalecer sobre ellas.

Conectarse a servicios

Configura el acceso a los registros de paquetes, las API y los demás servicios que necesita tu flujo de trabajo:

1. En la configuración del entorno, elige el nivel de acceso a internet pública que necesita tu flujo de trabajo. Activa Habilitar todo el acceso a internet pública para permitir el acceso completo. Esta opción incluye los destinos que abarcan los controles de gestores de paquetes y dominios adicionales, por lo que esos controles más específicos quedan deshabilitados.
2. Para restringir el acceso a internet pública, desactiva Habilitar todo el acceso a internet pública. Luego permite los destinos de los gestores de paquetes o agrega hosts específicos en Dominios adicionales permitidos. Aunque desactives el acceso completo, esos destinos siguen estando permitidos.
3. Guarda los cambios y prueba los servicios durante la configuración. Publica o vuelve a publicar el entorno y verifica el acceso en una tarea nueva.

El acceso a internet pública y el acceso por VPN son independientes. Puedes usar uno o ambos. La configuración de internet pública se aplica a las conexiones fuera de Tailscale, incluso cuando una ruta de subred de Tailscale usa direcciones IP públicas. Restringir el acceso a internet pública no deshabilita la VPN configurada.

Para conocer los requisitos del espacio de trabajo, consulta Seguridad de los agentes. Permitir un destino no proporciona credenciales ni otorga permisos en ese servicio.

Para los servicios a los que accedes por internet pública y que filtran las conexiones por IP de origen, usa la lista de direcciones IP de salida de los agentes. Permite todos los rangos publicados, consulta la lista a diario y actualiza la lista de direcciones permitidas del servicio cuando cambien los rangos. Estos rangos se comparten entre clientes. Mantén activos los controles de autenticación y autorización del servicio.

Redes privadas (VPN)

Usa una conexión VPN para dar a las tareas en la nube acceso a los servicios de tu red privada. Tailscale usa el DNS privado, las rutas de subred y las reglas de acceso que hayas configurado. Para los destinos a los que accedes mediante Tailscale, incluidos los servicios HTTP, HTTPS y otros servicios TCP, no necesitas una lista aparte de IP o dominios permitidos en Codex.

1. En la configuración del entorno, selecciona el ícono de lápiz junto a Tailscale.
2. Ingresa las credenciales de conexión de tu proveedor de VPN.
3. Configura las rutas, el DNS y las reglas de acceso necesarios en Tailscale para que la identidad VPN del entorno pueda acceder a los servicios previstos.
4. Guarda los cambios y publica o vuelve a publicar el entorno. Inicia una tarea nueva y prueba el servicio.

Tailscale es el proveedor de VPN compatible actualmente. Al crear una clave de autenticación de Tailscale, activa tanto Reusable como Ephemeral. Una clave reutilizable permite que las máquinas virtuales de las tareas nuevas en la nube se unan a tu red. Tailscale elimina automáticamente los dispositivos efímeros después de que se desconectan. Está previsto incorporar otros proveedores de VPN.

Se admiten rutas a subredes IPv4 privadas. Las tareas pueden usar el DNS dividido de Tailscale y MagicDNS para acceder a servicios privados por nombre de host.

Si tu servicio usa el DNS interno de tu organización, configura el DNS dividido en la consola de administración de Tailscale para enviar las consultas de tu dominio interno a tu servidor DNS. Usa el nombre de host completo del servicio, por ejemplo, api.corp.example.com, que debe resolverse en una dirección IPv4. El destino debe ser accesible a través de las rutas de Tailscale que configuraste y estar permitido por tus reglas de acceso de Tailscale.

Las tareas de un entorno compartido usan la identidad VPN configurada en ese entorno.

Conectarse a servicios TCP

Usa la VPN para conectarte a servicios TCP, como bases de datos o SSH. Los destinos TCP deben usar direcciones IPv4 cuyo tráfico se enrute a través de Tailscale. Si usas un nombre de host, todas las direcciones IPv4 en las que se resuelva deben usar esas rutas. Las direcciones protegidas por la plataforma siguen bloqueadas.

Los clientes TCP deben conectarse mediante el proxy HTTP CONNECT del entorno en proxy:8088, ya sea directamente o mediante una herramienta local de reenvío. Si el destino se especifica con un nombre de host, conserva ese nombre para que el proxy lo resuelva mediante DNS. Los túneles TCP no interceptan TLS ni inyectan secretos de red. El cliente debe proporcionar las credenciales del servicio y verificar su certificado TLS cuando corresponda. Las solicitudes que necesiten la sustitución de secretos de red deben usar el proxy HTTPS configurado y cumplir las reglas de dominios permitidos del secreto. La sustitución funciona en el puerto 443.

Después de modificar la configuración de la VPN, guarda los cambios y publica o vuelve a publicar el entorno. Reemplaza los entornos en ejecución para que usen la configuración actualizada de la VPN. Inicia una tarea nueva y prueba el acceso. Desvincular la VPN de un borrador no revoca las conexiones existentes. Para revocar el acceso, reemplaza el entorno afectado o finaliza su ejecución.

Acceder a recursos en la nube con OIDC

OpenID Connect (OIDC) permite que una tarea obtenga credenciales de corta duración para acceder a recursos en la nube. Tu organización configura la relación de confianza con el proveedor de nube y otorga a la identidad los permisos que necesita el flujo de trabajo.

1. En el entorno guardado, abre Avanzado > OIDC.
2. Selecciona Agregar y elige una conexión disponible o Crear conexión… para un proveedor compatible.
3. Para una conexión nueva, ingresa los datos de identidad del proveedor y crea la conexión. En el proveedor, configura la relación de confianza con los valores que se muestran para Emisor, Audiencia y Sujeto, o con condiciones sobre las declaraciones, y otorga los permisos de acceso a los recursos.
4. Confirma que la conexión esté vinculada y revisa su alias. Guarda los cambios y publica o vuelve a publicar el entorno.
5. Inicia una tarea nueva y prueba una operación permitida y otra denegada.

La configuración varía según el proveedor y solo se pueden vincular conexiones compatibles. Los permisos de la identidad determinan el acceso. Tus permisos personales en el proveedor no se transfieren a la identidad. En la política de red, permite por separado los puntos de acceso necesarios del proveedor y los destinos de los servicios.

Guarda los cambios en la vinculación o en el alias para aplicarlos durante la configuración. Publica o vuelve a publicar el entorno para usarlos en tareas nuevas. Editar la conexión de una identidad compartida puede afectar a otros entornos que la usan.

Ejecutar y retomar una tarea

Describe tu objetivo en el chat. Codex puede editar archivos, ejecutar comandos y comprobar su trabajo. Revisa los cambios y los resultados de las pruebas antes de hacer commit o abrir un pull request.

Continuar en la web o en un dispositivo móvil

En la web, elige Trabajar en > Nube y selecciona un entorno. En un dispositivo móvil, abre Codex y elige un entorno disponible. Crea entornos nuevos desde la web o la aplicación de escritorio.

Vuelve a abrir la misma tarea para continuar el trabajo en otro dispositivo. Cada tarea nueva se inicia en su propio espacio de trabajo. Las tareas de Codex Cloud pueden seguir ejecutándose mientras tu computadora está en suspensión.

Iniciar tareas desde Slack o Microsoft Teams

En un espacio de trabajo Enterprise con la delegación en la nube habilitada, pídele a @ChatGPT en Slack o Microsoft Teams que trabaje en un repositorio. Codex usa el contexto de la conversación para elegir un entorno compartido con tu espacio de trabajo al que tenga acceso la cuenta que ejecuta la tarea. Puedes indicar qué entorno prefieres o agregar instrucciones en tu prompt.

Para usar Slack, los espacios de trabajo con control de acceso a Codex Cloud basado en roles deben otorgar acceso a Codex Cloud tanto a la cuenta de servicio del despliegue como al usuario que hace la solicitud. Para consultar los pasos de configuración para administradores, ve a Habilitar Codex Cloud para Slack.

Completa las solicitudes de conexión y aprobación que aparezcan y revisa el resultado en la conversación. Para continuar la tarea, envía las siguientes instrucciones desde la misma cuenta conectada. Una solicitud de otro participante no reanuda automáticamente tu tarea.

Consulta Administrar ChatGPT en Slack y Teams para configurar el espacio de trabajo y Usar ChatGPT en Slack para conocer los controles de tareas en Slack.

Especificaciones de las máquinas virtuales

Cada tarea en la nube se ejecuta en una máquina virtual con estos recursos predeterminados:

De forma predeterminada, puedes recuperar el estado guardado de la máquina virtual de una tarea hasta siete días después de la última vez que iniciaste un turno o reanudaste la tarea.

Para Enterprise hay máquinas virtuales más grandes y especificaciones personalizadas. Ponte en contacto con el equipo de OpenAI que atiende tu cuenta para conocer las configuraciones disponibles y sus precios.

Limitaciones actuales

Tenemos previsto incorporar las siguientes capacidades, que aún no están disponibles en los entornos en la nube:

• Uso de la computadora
• GitHub Enterprise Server alojado en tu propia infraestructura

Las habilidades guardadas en tu repositorio están disponibles en las tareas en la nube. Las habilidades personales de tu computadora local no se sincronizan con los entornos en la nube.

Solucionar problemas de configuración y acceso durante la ejecución

La configuración falla o falta una herramienta necesaria

Busca en la conversación de configuración el comando que falló. Pídele a Codex que diagnostique el error y vuelva a ejecutar el comando después de corregirlo. Por ejemplo: “Instala pnpm y ejecuta las pruebas del proyecto”.

• Si falla la configuración inicial, selecciona Volver a intentar para intentarlo de nuevo con los repositorios que ya seleccionaste en esa sesión de configuración.
• Si la corrección requiere modificar archivos fuente, un archivo de manifiesto de paquetes o un archivo de bloqueo de dependencias, haz el cambio en una tarea de programación y vuelve a la configuración.

Una vez que Codex verifique la configuración, publica o vuelve a publicar el entorno.

Falla la descarga de un paquete o una solicitud HTTPS

Comprueba por separado el nombre de host de destino y la autenticación:

1. Confirma que la configuración de acceso a internet del entorno permita el host. Para un registro privado en packages.example.com, comprueba ese nombre de host exacto. Si las descargas también usan downloads.example.com, ese host también debe estar permitido.
2. Comprueba la URL y las credenciales configuradas en el gestor de paquetes o el cliente. Permitir un dominio no otorga acceso al servicio.
3. Si la autenticación usa un secreto de red, comprueba que sus Dominios permitidos incluyan el destino y que la solicitud use HTTPS en el puerto 443.
4. En un espacio de trabajo Enterprise, pídele a un administrador que compruebe los requisitos aplicables de Seguridad de los agentes junto con la configuración del entorno.

Guarda los cambios de configuración y prueba la solicitud durante la configuración. Publica o vuelve a publicar el entorno y verifica el acceso en una tarea nueva.

Falta un valor obligatorio o no se puede usar

Comprueba que hayas agregado el valor en la sección correcta de la configuración del entorno:

• Variables de entorno: úsalas para los valores que los programas necesitan leer directamente, como APP_MODE=development.
• Secretos HTTP: úsalos para las credenciales que se envían a un servicio HTTPS permitido, como el token de un registro privado. Los programas reciben un marcador de posición y el proxy lo reemplaza con la credencial en las solicitudes que cumplen las condiciones. Si el programa necesita leer el valor real, agrégalo en Variables de entorno.

Si es un valor personal, comprueba que su Clave coincida con la que solicita el entorno y que Se aplica a incluya ese entorno. El valor de un entorno específico tiene prioridad sobre el valor predeterminado general.

Consulta Variables de entorno y secretos de red para ver las instrucciones de configuración.

La VPN se conecta, pero no puedes acceder a un servicio HTTP o HTTPS

1. Confirma que el cliente use el proxy HTTP/HTTPS configurado en el entorno. Al hacer pruebas con curl, omite --noproxy para que la solicitud use ese proxy.
2. Para los destinos de Tailscale, comprueba las rutas y las reglas de acceso de la VPN. Para los destinos de internet pública, comprueba los dominios permitidos del entorno.
3. Si puedes acceder al servicio por dirección IP, pero no por nombre de host, comprueba la configuración de DNS de Tailscale. Si usas un dominio interno de tu organización, verifica que el DNS dividido apunte al servidor DNS correcto y que se pueda acceder a él a través de tu red de Tailscale. Usa el nombre de host completo del servicio y confirma que se resuelva en una dirección IPv4.

Consulta Redes privadas para configurar la conexión.

Un entorno o sus actualizaciones no están disponibles para una tarea

Revisa el entorno en Configuración > Codex Cloud > Entornos. Si tiene la etiqueta Sin publicar, completa la configuración y selecciona Publicar para que esté disponible para las tareas.

Para modificar un entorno publicado, abre la opción Editar, deja que Codex prepare y pruebe los cambios y selecciona Volver a publicar. Inicia una tarea nueva desde el entorno actualizado para usar la nueva configuración. Las tareas existentes conservan su propio estado de trabajo.