Codex Cloud 环境配置全解：五步搭建、密钥与联网、团队共享

Codex Cloud 把编码任务放到云端跑，笔记本合上任务也不停。核心概念是“环境”：仓库、依赖、工具和访问权限打包成可复用配置，每个新任务从已发布的副本独立启动。这篇讲清 Save、Publish、Republish 的区别、五步搭建流程、密钥与联网的取舍，以及旧版即将下线要注意什么。

环境是什么，四个设置别搞混

• 环境是可复用的任务起点：仓库、依赖、工具、访问设置。Codex 会自己检查仓库、准备并测试配置。
• Save 保存配置，部分设置立即生效；Publish 把准备好的文件系统固化下来，作为每个新任务的起点；Republish 在修改后更新这份快照，只对新任务生效。
• Who can use 决定谁能用这个环境起任务：仅自己，或整个工作区。
• 已有任务继续用自己保存的文件，包括未提交的改动和已装工具；仓库刷新在后台进行，不会重跑安装。
• 官方文档强调：保存的状态不能替代版本控制，重要的东西要提交。

五步搭好第一个环境

• 在网页、手机或桌面端打开 ChatGPT，用 ChatGPT 账号登录。
• 在网页或桌面端选 Work in，再选 Cloud，打开 Select environment，选已有环境或 Create environment。
• 勾选 GitHub 仓库，按提示连接 GitHub；Codex 会检查仓库、安装依赖和工具、测试工作流，缺什么信息会向你索取。
• 检查配置和测试结果，保存后点 Publish，等 Environment published 提示出现。
• 点 Start a new task 描述需求，查看改动和测试结果，追问调整，满意后提交或开 pull request。
• 不用自己写安装脚本：Codex 能把测试过的配置记成 Install script（装依赖、备资源）和 Start skill（启动服务并确认就绪）。

密钥怎么给，联网怎么开

• 环境变量直接交给需要它的程序；network secret 只面向某个 HTTPS 服务，程序看到的是替身值，代理在请求发往允许域名（443 端口）时换成真凭证，原始凭证不落在本地文件或进程里，适合放 API token。
• 共享环境时，可以让每个人通过 Personal vault（Settings 下的 Codex Cloud）自己填值；共享的是“需要这个值”这件事，不是你的凭证。
• 联网要么打开 Enable all public internet access，要么关掉、只放行项目需要的目标。Package managers 预设覆盖 npm、PyPI、crates.io、Go，以及 Ubuntu、Debian 仓库和 GitHub，其余加到 Additional allowed domains。
• 放行某个目标不等于给它凭证或权限，两件事分开看。

VPN、云账号与团队共享

• 私有网络服务目前支持 Tailscale 作为 VPN；创建 auth key 时同时开启 Reusable 和 Ephemeral，任务机器才能加入并在离线后干净退出。数据库等 TCP 服务走环境的 HTTP CONNECT 代理，只有经 Tailscale 路由的 IPv4 地址可用。
• 公网设置和 VPN 相互独立，限制一个不会关掉另一个。
• 云资源用 OpenID Connect 拿短期凭证，信任关系和权限由组织配置，个人权限不会带过去，这是云账号管理员的事。
• Enterprise 工作区里，在 Privacy 的 Who can use 选工作区，保存并发布即可共享；选 Only me 保持私有。共享配置不等于能看同事的任务或改环境，这由 Use Codex in the cloud 和 Manage workspace environments 两个管理员权限分开控制。
• 共享前先检查准备好的文件和归环境所有的凭证。

旧版下线与上手建议

• OpenAI 表示计划弃用 Codex Cloud (Legacy)，该版本目前仍支持 Code Review 以及 Linear、GitHub 集成。依赖这些功能的团队，先确认自己跑在哪个版本上，再决定要不要继续加码。
• 没有 GitHub 仓库的人基本用不上：搭建第一步就是选仓库。
• 作者建议：先拿一个仓库，关掉全量公网访问、只放行 Package managers 预设，VPN 和 OIDC 等第一个任务端到端跑通再说。
• 开发者也能从 Codex CLI 起云端任务、列出最近的云端会话并查看状态，不必开浏览器。