Feature: enterprise/org server-managed settings (incl. `env`) for the local Copilot CLI

### Problem
Org admins have no way to centrally push configuration — especially environment variables — to developers' **local** Copilot CLI installs. Today the only org-managed env mechanism is **Agents/Codespaces secrets**, which only reach GitHub-hosted **cloud** environments. For the local CLI (incl. VS Code dev containers on Colima/Lima/Podman), the only options are MDM-placed files or per-host provisioning — neither of which reaches into an unmanaged container.

### Request
A server-delivered, org/enterprise-managed settings layer for the local Copilot CLI — fetched at auth and refreshed periodically, taking precedence over user/repo settings — that can set a managed `env` block, e.g.:

```jsonc
// org-managed settings (delivered over the network, not a local file)
{ "env": { "MY_ORG_CONFIG_VALUE": "…" } }
```

These vars would apply to CLI sessions (and ideally subprocesses/plugin hooks), so org-distributed plugins/tools can pick up required config with **no MDM and no per-machine provisioning**.

### Why existing mechanisms don't cover it
- **Agents/Codespaces secrets** → cloud agent / Codespaces only; never reach the local CLI.
- **Org/enterprise policies** (#1971) → governance (enable/disable, model & MCP allowlists), not arbitrary config/secret delivery.
- **`.env` loading** (#2879) → local files the developer manages, not org-pushed.

### Prior art
Claude Code ships exactly this as **server-managed settings** (admin console → delivered at auth, refreshed hourly, reaches inside containers, supports an `env` block) — see code.claude.com/docs server-managed-settings. Enterprise-managed *models* already landed for Copilot CLI (#3730), so an enterprise-managed *settings/env* layer is a natural extension. Would also complement the Claude-parity work in #2471.

Không có tệp triển khai hoặc bài kiểm thử nào được nêu tên. Hãy bắt đầu bằng việc xem xét công việc hiện có về enterprise-managed models trong #3730 và các issue liên quan về settings, policy và .env (#1971 và #2879), sau đó so sánh với phần tiền lệ server-managed-settings được dẫn; được xem là hoàn tất khi có một thiết kế đã thống nhất cho việc phân phối có xác thực, làm mới, thứ tự ưu tiên và hành vi của env được quản lý.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.