Verwaltete Einstellungen (Organisationsrichtlinie)¶

Funktionsweise von verwalteten Einstellungen¶

Verwaltete Einstellungen werden von einer JSON-Datei in einem plattformspezifischen Systemverzeichnis gelesen, einem Speicherort, der Administrator- oder Root-Berechtigungen zum Schreiben erfordert. Da Benutzer Dateien an diesen Speicherorten nicht ändern können, können verwaltete Einstellungen nicht durch Benutzerkonfigurationsdateien, Umgebungsvariablen oder Befehlszeilenargumente überschrieben werden (außer wenn dies explizit angegeben ist).

Administratoren stellen die verwaltete Einstellungsdatei normalerweise mit MDM-Tools (Jamf, Intune, SCCM), Konfigurationsverwaltungssystemen (Ansible, Chef, Puppet) oder manuellen Bereitstellungen während der Gerätebereitstellung bereit

Dateispeicherorte¶

Platzieren Sie die managed-settings.json-Datei im folgenden Systemverzeichnis Ihres Betriebssystems:

Wenn die Datei nicht existiert, wird CLI im nicht verwalteten Modus ausgeführt, und es gelten alle Standardeinstellungen auf Benutzerebene.

Konfigurationsschema¶

Die managed-settings.json-Datei muss ein version-Feld enthalten. Alle Abschnitte der obersten Ebene sind optional.

{
  "version": "1.0",
  "permissions": { },
  "settings":    { },
  "required":    { },
  "defaults":    { },
  "files":       { },
  "ui":          { }
}

Das version-Feld muss "1.0" sein.

{
  "permissions": {
    "onlyAllow": ["read", "write", "bash(git:*)", "skill(bundled:*)"],
    "deny": ["bash(rm:*)", "skill(remote:*)"],
    "defaultMode": "allow",
    "dangerouslyAllowAll": false
  }
}

{
  "settings": {
    "forceNoHistoryMode": true,
    "forceSandboxEnabled": true,
    "forceSandboxMode": "regular"
  }
}

{
  "required": {
    "minimumVersion": "0.26.0"
  }
}

{
  "defaults": {
    "connectionName": "prod",
    "profileName": "data-analyst",
    "theme": "dark"
  }
}

{
  "files": {
    "connectionsFile": "/etc/cortex/connections.toml",
    "mcpFile": "/etc/cortex/mcp.json"
  }
}

{
  "ui": {
    "showManagedBanner": true,
    "bannerText": "Managed by Acme IT - support: helpdesk@acme.com",
    "hideDangerousOptions": true
  }
}

Berechtigungsmuster¶

Die onlyAllow- und deny-Arrays im permissions-Abschnitt akzeptieren Muster in zwei Formen:

• Einfacher Name: Entspricht einer benannten Tool- oder Feature-Kategorie. Beispiel: "bash" oder "read"

• Gefilterter Name: type(filter). Entspricht einem bestimmten Toolaufruf oder einer Ressource innerhalb einer Kategorie. Beispiel: "bash(git:*)" oder "account(myorg-prod)"

Beide Formen unterstützen Glob-Platzhalter * (beliebige Zeichen) und ? (Einzelzeichen). Beim Abgleichen wird nicht zwischen Groß- und Kleinschreibung unterschieden.

Auswertung der Berechtigung¶

Wenn CLI entscheidet, ob ein Tool, eine Fähigkeit, ein MCP-Server oder Snowflake-Konto erlaubt ist, werden die folgenden Regeln in der folgenden Reihenfolge ausgewertet:

1. Verwaltete ``deny``-Übereinstimmungen: Blockieren. Wenn ein Muster im deny-Array der verwalteten Einstellungen übereinstimmt, wird der Zugriff verweigert. Dies kann nicht durch Profile oder Benutzereinstellungen überschrieben werden.

2. Profil-``deny``-Übereinstimmungen: Blockieren. Wenn ein Muster in der Verweigerungsliste des aktiven Profils übereinstimmt, wird der Zugriff verweigert.

3. Verwaltete ``onlyAllow`` ist festgelegt und keine Musterübereinstimmungen: Blockieren. Wenn``onlyAllow`` in verwalteten Einstellungen konfiguriert ist und das Element keinem der aufgeführten Muster entspricht, wird der Zugriff verweigert.

4. Profil ``onlyAllow`` ist für diesen Typ festgelegt und es gibt keine Musterübereinstimmungen: Blockieren. Profil onlyAllow ist typbezogen: Es werden nur explizit aufgeführte Typen eingeschränkt. Wenn das Profil skill(bundled:*) auflistet, aber nichts über bash aussagt, wird der Bash-Zugriff durch das Profil nicht beeinträchtigt.

5. ``defaultMode`` bestimmt das Ergebnis. Wenn defaultMode "deny" ist, ist der Zugriff gesperrt. Wenn "allow" (die Standardeinstellung), ist der Zugriff erlaubt.

Wichtige Garantien:

• Ein Profil kann keinen Zugriff gewähren, den verwaltete Einstellungen explizit verweigert haben.

• Ein Profil kann die Zulassungsliste der verwalteten Einstellungen nicht erweitern.

• Profile können nur weiter einschränken: Sie arbeiten innerhalb der Grenze, die von verwalteten Einstellungen definiert wird.

Allgemeine Beispiele für Richtlinien¶

{
  "version": "1.0",
  "permissions": {
    "dangerouslyAllowAll": false,
    "defaultMode": "allow"
  },
  "required": {
    "minimumVersion": "0.26.0"
  },
  "ui": {
    "showManagedBanner": true,
    "bannerText": "Managed by Corporate IT - helpdesk@example.com"
  }
}

{
  "version": "1.0",
  "permissions": {
    "onlyAllow": [
      "account(mycompany-prod)",
      "account(mycompany-staging)"
    ],
    "defaultMode": "allow"
  }
}

{
  "version": "1.0",
  "permissions": {
    "onlyAllow": [
      "read",
      "write",
      "edit",
      "snowflake_sql_execute",
      "skill(bundled:*)",
      "skill(profile:*)"
    ],
    "defaultMode": "deny"
  }
}

{
  "version": "1.0",
  "permissions": {
    "deny": [
      "bash(rm:*)",
      "bash(curl:*)",
      "bash(wget:*)"
    ],
    "dangerouslyAllowAll": false,
    "defaultMode": "allow"
  }
}

{
  "version": "1.0",
  "permissions": {
    "onlyAllow": [
      "read", "write", "edit", "bash", "snowflake_sql_execute",
      "skill(bundled:*)", "skill(profile:*)",
      "mcp(https://*.mycompany.com/*)",
      "account(mycompany-*)"
    ],
    "deny": [
      "bash(rm:*)",
      "bash(curl:*)",
      "skill(remote:*)"
    ],
    "defaultMode": "allow",
    "dangerouslyAllowAll": false
  },
  "settings": {
    "forceNoHistoryMode": true,
    "forceSandboxEnabled": true,
    "forceSandboxMode": "regular"
  },
  "required": {
    "minimumVersion": "0.26.0"
  },
  "files": {
    "connectionsFile": "/etc/cortex/connections.toml",
    "mcpFile": "/etc/cortex/mcp.json"
  },
  "ui": {
    "showManagedBanner": true,
    "bannerText": "Managed by IT Security - policy questions: security@mycompany.com",
    "hideDangerousOptions": true
  }
}

Überprüfung¶

Um zu prüfen, ob die verwalteten Einstellungen aktiv sind und welche Einschränkungen gelten, prüfen Sie beim Start das Begrüßungsbanner. Wenn verwaltete Einstellungen vorhanden sind und showManagedBanner true ist, wird oben in der Sitzungsausgabe ein Banner angezeigt.

Um den Durchsetzungskonfigurationspfad für Ihre Plattform zu überprüfen, prüfen Sie, ob die Datei unter dem OS-spezifischen Pfad existiert, der in Dateispeicherorte aufgeführt ist.