Ambientes de nuvem

O Codex Cloud executa tarefas de programação na nuvem. Assim, o trabalho pode continuar mesmo quando o computador está em modo de suspensão. Use o Codex Cloud na Web, no celular ou no aplicativo para desktop para editar código, executar comandos e revisar os resultados.

Cada tarefa da nuvem é executada em seu próprio espaço de trabalho. Se o ambiente padrão estiver disponível, você pode começar sem escolher um repositório. Para reutilizar uma configuração em várias tarefas, selecione Criar ambiente, escolha os repositórios, as dependências, as ferramentas e as configurações de acesso de que suas tarefas precisam e publique o ambiente.

Para uma introdução, consulte a visão geral do Codex Cloud.

Inicie uma tarefa no Codex Cloud

Na Web ou no aplicativo para desktop, escolha Trabalhar em > Nuvem. No celular, abra o Codex. Se o ambiente padrão aparecer no seletor, selecione-o e descreva a tarefa.

• Sem um projeto, você pode iniciar a tarefa sem um repositório. Por exemplo, peça ao Codex que escreva e teste um script com dados de exemplo. Se depois a tarefa precisar de código existente, diga ao Codex qual repositório clonar.
• Ao iniciar a tarefa a partir de um projeto no aplicativo para desktop, o ambiente padrão pode usar automaticamente os repositórios associados a esse projeto, desde que estejam hospedados no GitHub.com e você tenha conectado sua conta do GitHub. Essa configuração automática do projeto não inclui repositórios do GitLab.

Adicionar um repositório a uma tarefa em execução é uma operação independente da configuração automática do projeto. Você pode pedir ao Codex que clone um repositório ao qual o ambiente tenha acesso, inclusive se tiver iniciado a tarefa no celular. Para fazer checkout de um repositório do GitLab.com pelo seletor de repositórios, crie um ambiente reutilizável na Web ou no aplicativo para desktop.

Se preferir usar uma configuração que você já preparou ou que alguém compartilhou com você, selecione o ambiente publicado correspondente. Em espaços de trabalho Enterprise, use um ambiente publicado ao qual você tenha acesso. Os administradores podem revisar o acesso ao Codex Cloud no espaço de trabalho.

Crie e publique um ambiente

Crie um ambiente reutilizável na Web ou no aplicativo para desktop quando quiser usar os mesmos repositórios, ferramentas ou configurações de acesso em várias tarefas. Entre com sua conta do ChatGPT e siga estas etapas:

1. Em uma nova tarefa, escolha Trabalhar em > Nuvem, abra Selecionar ambiente e selecione Criar ambiente.
2. Selecione os repositórios dos quais deseja fazer checkout. Se solicitado, conecte sua conta do GitHub. Se o GitLab estiver disponível no seletor de repositórios, selecione sua conexão com o GitLab.com e procure o repositório.
3. Selecione Começar. O Codex analisa os repositórios, instala as dependências e as ferramentas e testa o fluxo de trabalho.
4. Quando solicitado, conceda o acesso necessário ou forneça as informações que faltam. Você também pode pedir versões, comandos ou serviços específicos.
5. Revise o relatório de preparação, a configuração e os arquivos. Resolva as pendências, salve as alterações e selecione Publicar.
6. Quando a mensagem Ambiente publicado aparecer, selecione Iniciar nova tarefa e descreva o que você quer que o Codex faça.

Você também pode começar em Configurações > Codex Cloud > Ambientes > Criar ambiente.

Personalize a instalação e a inicialização

O Codex identifica os ambientes de execução, as versões dos pacotes, as ferramentas e os serviços a partir dos seus repositórios. Ajuste a configuração na conversa, sem precisar escrever um script de instalação.

O Codex pode registrar a configuração testada em dois campos:

• Script de instalação: comandos para instalar dependências e preparar recursos de desenvolvimento.
• Habilidade de inicialização: instruções para iniciar os serviços e verificar se estão prontos para uso.

Reutilize e atualize o estado salvo

• Nova tarefa em um ambiente publicado: começa com o sistema de arquivos preparado para esse ambiente.
• Tarefa existente: continua com seus próprios arquivos salvos, incluindo alterações sem commit e ferramentas instaladas.
• Atualização do repositório: ocorre automaticamente em segundo plano e preserva os caches de dependências sem executar novamente os comandos de instalação ou inicialização.

Para atualizar a configuração reutilizável, abra Configurações > Codex Cloud > Ambientes. No menu … do ambiente, selecione Editar. Descreva a alteração, deixe o Codex prepará-la e testá-la, salve as alterações e selecione Republicar. Inicie uma nova tarefa para usar a atualização. As tarefas existentes mantêm o próprio estado.

Faça commit das alterações importantes ou salve os resultados de que precisa. O estado salvo não substitui o controle de versão.

Configure variáveis de ambiente e segredos de rede

O Codex identifica o que falta na configuração e solicita os valores que não consegue inferir. Na configuração do ambiente, selecione Gerenciar ao lado de Variáveis de ambiente ou Segredos HTTP. Escolha como fornecer cada valor:

Para segredos de rede, defina Chave, Valor e Domínios permitidos. Use uma chave diferente das usadas para variáveis fornecidas diretamente. A substituição funciona em conexões HTTPS na porta 443, tanto durante a preparação quanto durante as tarefas. A credencial em si não fica disponível em processos ou arquivos locais.

Quando você salva segredos de rede que pertencem ao ambiente, os destinos desses segredos são adicionados à lista de destinos permitidos no acesso restrito à internet. Variáveis fornecidas diretamente e valores pessoais não adicionam destinos. Antes de testar, revise a política de rede salva. Para conhecer os requisitos do espaço de trabalho, consulte Segurança de agentes.

Forneça valores pessoais

Use o Cofre pessoal para salvar suas próprias variáveis de ambiente e seus segredos de rede para os ambientes de nuvem do seu espaço de trabalho.

Um ambiente compartilhado pode solicitar valores que cada pessoa fornece pela própria conta. Ao compartilhar o ambiente, você compartilha os requisitos. Suas credenciais pessoais continuam privadas.

Quando solicitado, insira os valores obrigatórios em Adicionar segredos pessoais e selecione Salvar e iniciar. Você pode deixar os valores opcionais em branco.

Para gerenciar os valores com antecedência:

1. Abra Configurações > Codex Cloud e selecione a aba Cofre pessoal.
2. Selecione Adicionar, escolha Variável de ambiente ou Segredo de rede em Tipo e insira a Chave correspondente e o seu Valor.
3. Em Aplica-se a, escolha Todos os ambientes ou Ambientes selecionados e selecione Salvar.

A tarefa recebe apenas os valores solicitados. Um valor definido para um ambiente específico tem prioridade sobre o valor padrão geral. Os segredos de rede pessoais usam os destinos permitidos do ambiente, e o proxy substitui os marcadores da mesma forma.

Compartilhe um ambiente no espaço de trabalho Enterprise

Compartilhe a configuração preparada para que seus colegas possam usá-la para iniciar as próprias tarefas:

1. Abra a configuração do ambiente.
2. Em Privacidade > Quem pode usar, escolha seu espaço de trabalho.
3. Salve a alteração. Publique o ambiente caso ainda não tenha feito isso.

Escolha Somente eu em Quem pode usar para manter o ambiente privado. Cada tarefa tem seus próprios arquivos de trabalho. O acesso à configuração não dá acesso à tarefa de outra pessoa nem permissão para editar o ambiente.

Antes de compartilhar, revise os arquivos preparados e as credenciais que pertencem ao ambiente. Identidades de nuvem e conexões VPN também podem dar acesso compartilhado a serviços. O acesso aos repositórios e as conexões pessoais dependem da conta que executa a tarefa.

A permissão Usar o Codex na nuvem controla o acesso às tarefas. A permissão Gerenciar ambientes do espaço de trabalho controla quem pode criar e editar ambientes compartilhados com o espaço de trabalho. Consulte Funções e permissões do espaço de trabalho.

Segurança de agentes

As configurações de acesso à internet do ambiente definem quais destinos na internet pública a máquina virtual (VM) pode acessar. As configurações de VPN conectam essa VM a serviços de uma rede privada de forma independente.

Nos espaços de trabalho Enterprise, os administradores usam a Segurança de agentes para configurar os requisitos do espaço de trabalho relativos ao comportamento dos agentes, ao acesso à rede durante a execução gerenciada e ao uso de ferramentas compatíveis. Esses requisitos se aplicam em conjunto com as configurações de domínio salvas em cada ambiente. Consulte Segurança de agentes para conhecer as políticas globais e as opções que o Codex Cloud permite redefinir.

Conecte-se a serviços

Configure o acesso aos registros de pacotes, às APIs e aos demais serviços necessários para seu fluxo de trabalho:

1. Na configuração do ambiente, escolha o nível de acesso à internet pública de que seu fluxo de trabalho precisa. Ative Permitir acesso total à internet pública para liberar todo o acesso público. Como esse acesso inclui os destinos abrangidos pelos controles de gerenciadores de pacotes e de domínios adicionais, esses controles mais específicos ficam desativados.
2. Para restringir o acesso à internet pública, desative Permitir acesso total à internet pública. Em seguida, permita o acesso aos destinos dos gerenciadores de pacotes ou adicione hosts específicos em Domínios adicionais permitidos. Mesmo com o acesso público total desativado, esses destinos continuam permitidos.
3. Salve a configuração e teste os serviços durante a preparação. Publique ou republique o ambiente e verifique o acesso em uma nova tarefa.

O acesso à internet pública e o acesso por VPN são independentes. Você pode usar um deles ou ambos. As configurações de internet pública se aplicam às conexões fora do Tailscale, mesmo quando uma rota de sub-rede do Tailscale usa endereços IP públicos. Restringir o acesso à internet pública não desativa a VPN configurada.

Para conhecer os requisitos do espaço de trabalho, consulte Segurança de agentes. Permitir um destino não fornece credenciais nem concede permissões no serviço.

Para serviços acessados pela internet pública que filtram conexões pelo IP de origem, use o feed de IPs de saída dos agentes. Permita todas as faixas publicadas, consulte o feed diariamente e atualize a lista de permissões do serviço quando as faixas mudarem. Como vários clientes compartilham essas faixas, mantenha ativos os controles de autenticação e autorização do serviço.

Rede privada (VPN)

Use uma conexão VPN para dar às tarefas da nuvem acesso a serviços na sua rede privada. O Tailscale usa o DNS privado, as rotas de sub-rede e as regras de acesso que você configurou. Não é necessário manter no Codex uma lista separada de IPs ou domínios permitidos para os destinos acessados pelo Tailscale, incluindo serviços HTTP, HTTPS e outros serviços TCP.

1. Na configuração do ambiente, selecione o ícone de lápis ao lado de Tailscale.
2. Insira as credenciais de conexão fornecidas pelo provedor de VPN.
3. Configure as rotas, o DNS e as regras de acesso necessários no Tailscale para que a identidade de VPN do ambiente possa acessar os serviços desejados.
4. Salve e publique ou republique o ambiente. Inicie uma nova tarefa e teste o serviço.

O Tailscale é o provedor de VPN compatível no momento. Ao criar uma chave de autenticação no Tailscale, ative as opções Reutilizável e Efêmera. Uma chave reutilizável permite que as VMs de novas tarefas da nuvem entrem na sua rede. O Tailscale remove automaticamente os dispositivos efêmeros depois que eles ficam offline. Há planos para oferecer suporte a outros provedores de VPN.

Há suporte a rotas de sub-redes IPv4 privadas. As tarefas podem usar o DNS dividido e o MagicDNS do Tailscale para acessar serviços privados pelo nome de host.

Se o serviço usa o DNS interno da organização, configure o DNS dividido no console de administração do Tailscale para encaminhar as consultas do domínio interno ao seu servidor DNS. Use o nome de host totalmente qualificado do serviço, como api.corp.example.com, que deve ser resolvido para um endereço IPv4. O destino precisa estar acessível pelas rotas configuradas no Tailscale, e as regras de acesso do Tailscale devem permitir a conexão.

As tarefas de um ambiente compartilhado usam a identidade de VPN configurada nesse ambiente.

Conecte-se a serviços TCP

Use a VPN para se conectar a serviços TCP, como bancos de dados ou SSH. Os destinos TCP devem usar endereços IPv4 roteados pelo Tailscale. Ao usar um nome de host, todos os endereços IPv4 retornados pelo DNS devem usar essas rotas. Os endereços protegidos pela plataforma continuam bloqueados.

Os clientes TCP devem se conectar pelo proxy HTTP CONNECT do ambiente em proxy:8088, diretamente ou por meio de uma ferramenta local de encaminhamento. Para destinos identificados por nome de host, preserve o nome para que o proxy faça a resolução DNS. Os túneis TCP não interceptam TLS nem injetam segredos de rede. O cliente deve fornecer as credenciais do serviço e verificar o certificado TLS quando aplicável. Solicitações que precisam de substituição de segredos de rede devem usar o proxy HTTPS configurado e atender às regras de domínios permitidos do segredo. A substituição funciona na porta 443.

Depois de alterar a configuração da VPN, salve as alterações e publique ou republique o ambiente. Substitua os ambientes que já estão em execução para que usem a configuração de VPN atualizada. Inicie uma nova tarefa e teste o acesso. Desvincular a VPN de um rascunho não revoga as conexões existentes. Para revogar o acesso, substitua ou encerre o ambiente afetado.

Acesse recursos de nuvem com OIDC

O OpenID Connect (OIDC) permite que uma tarefa obtenha credenciais de curta duração para recursos de nuvem. Sua organização configura a relação de confiança com o provedor de nuvem e concede à identidade as permissões necessárias para o fluxo de trabalho.

1. No ambiente salvo, abra Avançado > OIDC.
2. Selecione Adicionar e escolha uma conexão disponível ou Criar conexão… para um provedor compatível.
3. Para uma nova conexão, insira os dados de identidade do provedor e crie a conexão. No provedor, configure a relação de confiança usando os valores exibidos de Emissor, Público e Sujeito ou as condições das declarações de identidade. Conceda as permissões de acesso aos recursos.
4. Confirme que a conexão está vinculada e revise o alias. Salve e publique ou republique o ambiente.
5. Inicie uma nova tarefa e teste uma operação permitida e outra negada.

A configuração varia conforme o provedor, e só é possível vincular conexões compatíveis. As permissões da identidade determinam o acesso. Suas permissões pessoais no provedor não são transferidas para a identidade. Na política de rede, permita separadamente os endpoints necessários do provedor e os destinos dos serviços.

Salve as alterações no vínculo ou no alias para aplicá-las durante a preparação. Publique ou republique o ambiente para usá-las em novas tarefas. Editar a conexão de uma identidade compartilhada pode afetar outros ambientes que usam essa conexão.

Execute e retome uma tarefa

Descreva seu objetivo no chat. O Codex pode editar arquivos, executar comandos e verificar o próprio trabalho. Revise as alterações e os resultados dos testes antes de fazer commit ou abrir um pull request.

Continue na Web ou no celular

Na Web, escolha Trabalhar em > Nuvem e selecione um ambiente. No celular, abra o Codex e escolha um ambiente disponível. Para criar ambientes, use a Web ou o aplicativo para desktop.

Reabra a mesma tarefa para continuar o trabalho em outro dispositivo. Cada nova tarefa começa em seu próprio espaço de trabalho. As tarefas no Codex Cloud podem continuar em execução enquanto seu computador está em modo de suspensão.

Inicie tarefas pelo Slack ou pelo Microsoft Teams

Em um espaço de trabalho Enterprise com a delegação para a nuvem habilitada, peça ao @ChatGPT no Slack ou no Microsoft Teams que trabalhe em um repositório. O Codex usa o contexto da conversa para escolher um ambiente compartilhado com seu espaço de trabalho ao qual a conta que executa a tarefa tenha acesso. Você pode indicar o ambiente de sua preferência ou incluir orientações no prompt.

Para usar o Slack, os espaços de trabalho com controle de acesso ao Codex Cloud baseado em funções devem conceder acesso ao Codex Cloud tanto à conta de serviço da implantação quanto ao usuário que faz a solicitação. Para a configuração administrativa, consulte Habilite o Codex Cloud para o Slack.

Atenda às solicitações de conexão e aprovação e revise o resultado na conversa. Para continuar a tarefa, envie outra solicitação pela mesma conta conectada. Uma solicitação de outro participante não dá continuidade automática à sua tarefa.

Para configurar o espaço de trabalho, consulte Gerencie o ChatGPT no Slack e no Teams. Para conhecer os controles de tarefas no Slack, consulte Use o ChatGPT no Slack.

Especificações da VM

Cada tarefa da nuvem é executada em uma VM com os seguintes recursos padrão:

Por padrão, é possível recuperar o estado salvo da VM por até sete dias após a última vez que você iniciou um turno ou retomou a tarefa.

VMs maiores e especificações personalizadas estão disponíveis para o Enterprise. Entre em contato com a equipe da OpenAI responsável pela sua conta para consultar as configurações disponíveis e os preços.

Limitações atuais

Os ambientes de nuvem ainda não oferecem suporte aos recursos abaixo, mas eles estão nos nossos planos:

• Uso do computador
• GitHub Enterprise Server em hospedagem própria

As habilidades armazenadas no seu repositório ficam disponíveis nas tarefas da nuvem. As habilidades pessoais do seu computador não são sincronizadas com os ambientes de nuvem.

Solucione problemas de configuração e acesso durante a execução

A preparação falha ou falta uma ferramenta necessária

Procure na conversa de configuração o comando que falhou. Peça ao Codex que diagnostique o erro e execute o comando novamente depois de corrigi-lo. Por exemplo: “Instale o pnpm e execute os testes do projeto.”

• Se a preparação inicial falhar, selecione Tentar novamente para repetir a preparação com os repositórios já selecionados nessa sessão.
• Se a correção exigir alterações nos arquivos de código-fonte, em um manifesto de pacote ou em um arquivo de bloqueio de dependências, faça a alteração em uma tarefa de programação e volte à configuração.

Depois que o Codex verificar a configuração, publique ou republique o ambiente.

Falha no download de um pacote ou em uma solicitação HTTPS

Verifique separadamente o nome de host do destino e a autenticação:

1. Confirme que as configurações de acesso à internet do ambiente permitem o host. Para um registro privado em packages.example.com, verifique esse nome de host exato. Se os downloads também usarem downloads.example.com, o acesso a esse host também precisa estar liberado.
2. Verifique a URL e as credenciais configuradas no gerenciador de pacotes ou no cliente. Permitir um domínio não concede acesso ao serviço.
3. Se a autenticação usar um segredo de rede, verifique se os Domínios permitidos do segredo incluem o destino e se a solicitação usa HTTPS na porta 443.
4. Em um espaço de trabalho Enterprise, peça a um administrador que verifique os requisitos de Segurança de agentes aplicáveis em conjunto com as configurações do ambiente.

Salve as alterações na configuração e teste a solicitação durante a preparação. Publique ou republique o ambiente e verifique o acesso em uma nova tarefa.

Um valor obrigatório está ausente ou não pode ser usado

Verifique se você adicionou o valor no local correto da configuração do ambiente:

• Variáveis de ambiente: use esta opção para valores que os programas precisam ler diretamente, como APP_MODE=development.
• Segredos HTTP: use esta opção para credenciais enviadas a um serviço HTTPS permitido, como um token de registro privado. Os programas recebem um marcador, que o proxy substitui pela credencial nas solicitações que atendem às regras. Se o programa precisar ler o valor em si, adicione-o em Variáveis de ambiente.

Para um valor pessoal, verifique se a Chave corresponde à solicitada pelo ambiente e se Aplica-se a inclui esse ambiente. Um valor definido para um ambiente específico tem prioridade sobre o valor padrão geral.

Para obter instruções de configuração, consulte Variáveis de ambiente e segredos de rede.

A VPN se conecta, mas um serviço HTTP ou HTTPS está inacessível

1. Confirme que o cliente usa o proxy HTTP/HTTPS configurado no ambiente. Ao testar com curl, omita --noproxy para que a solicitação use esse proxy.
2. Para destinos no Tailscale, verifique as rotas e as regras de acesso da VPN. Para destinos na internet pública, verifique os domínios permitidos do ambiente.
3. Se for possível acessar o serviço pelo endereço IP, mas não pelo nome de host, verifique as configurações de DNS do Tailscale. Para um domínio interno da empresa, confirme que o DNS dividido aponta para o servidor DNS correto e que é possível acessar esse servidor pela rede do Tailscale. Use o nome de host totalmente qualificado do serviço e confirme que ele é resolvido para um endereço IPv4.

Para configurar a conexão, consulte Rede privada.

Um ambiente ou suas atualizações não estão disponíveis para uma tarefa

Verifique o ambiente em Configurações > Codex Cloud > Ambientes. Se ele exibir o selo Não publicado, conclua a preparação e selecione Publicar para disponibilizá-lo para as tarefas.

Para alterar um ambiente publicado, abra a opção Editar, deixe o Codex preparar e testar as alterações e selecione Republicar. Inicie uma nova tarefa a partir do ambiente atualizado para usar a nova configuração. As tarefas existentes mantêm o próprio estado de trabalho.