Paramètres gérés (politique de l’organisation)¶

Fonctionnement des paramètres gérés¶

Les paramètres gérés sont lus à partir d’un fichier JSON placé dans un répertoire système spécifique à la plate-forme, un emplacement dans lequel l’écriture nécessite des privilèges d’administrateur ou de racine. Les utilisateurs ne pouvant pas modifier les fichiers à ces emplacements, les paramètres gérés ne peuvent pas être remplacés par les fichiers de configuration utilisateur, les variables d’environnement ou les arguments de ligne de commande (sauf indication contraire).

Les administrateurs déploient généralement le fichier de paramètres géré à l’aide des outils MDM (Jamf, Intune,SCCM), des systèmes de gestion de configuration (Ansible, Chef, Puppet), ou du déploiement manuel pendant la mise en service de l’appareil.

Emplacements de fichier¶

Placez le fichier managed-settings.json dans le répertoire système suivant pour votre système d’exploitation :

Si le fichier n’existe pas, la CLI s’exécute en mode non géré et toutes les valeurs par défaut au niveau de l’utilisateur s’appliquent.

Schéma de configuration¶

Le fichier managed-settings.json doit contenir un champ version. Toutes les sections de niveau supérieur sont facultatives.

{
  "version": "1.0",
  "permissions": { },
  "settings":    { },
  "required":    { },
  "defaults":    { },
  "files":       { },
  "ui":          { }
}

Le champ version doit être "1.0".

{
  "permissions": {
    "onlyAllow": ["read", "write", "bash(git:*)", "skill(bundled:*)"],
    "deny": ["bash(rm:*)", "skill(remote:*)"],
    "defaultMode": "allow",
    "dangerouslyAllowAll": false
  }
}

{
  "settings": {
    "forceNoHistoryMode": true,
    "forceSandboxEnabled": true,
    "forceSandboxMode": "regular"
  }
}

{
  "required": {
    "minimumVersion": "0.26.0"
  }
}

{
  "defaults": {
    "connectionName": "prod",
    "profileName": "data-analyst",
    "theme": "dark"
  }
}

{
  "files": {
    "connectionsFile": "/etc/cortex/connections.toml",
    "mcpFile": "/etc/cortex/mcp.json"
  }
}

{
  "ui": {
    "showManagedBanner": true,
    "bannerText": "Managed by Acme IT - support: helpdesk@acme.com",
    "hideDangerousOptions": true
  }
}

Modèles d’autorisation¶

Les tableaux onlyAllow et deny dans la section permissions acceptent des modèles sous deux formes :

• Nom simple : correspond exactement à une catégorie d’outil ou de fonctionnalités nommée. Par exemple, "bash" ou "read"

• Nom filtré : type(filter). Correspond à un appel d’outil ou à une ressource spécifique dans une catégorie. Par exemple, "bash(git:*)" ou "account(myorg-prod)"

Les deux formes prennent en charge les caractères génériques glob * (n’importe quel caractère) et ? (caractère unique). La correspondance est insensible à la casse.

Évaluation des autorisations¶

Lorsque la CLI décide si un outil, une compétence, un serveur MCP ou un compte Snowflake est autorisé, elle évalue les règles suivantes dans l’ordre :

1. Correspondances ``deny`` gérées : bloc. S’il existe un modèle dans le tableau deny des paramètres gérés qui correspond, l’accès est refusé. Ceci ne peut pas être écrasé par les profils ou les paramètres des utilisateurs.

2. Correspondances ``deny`` de profil : bloc. Si un modèle de la liste de refus du profil actif correspond, l’accès est refusé.

3. ``onlyAllow`` géré est défini et aucun modèle ne correspond : bloc. Si onlyAllow est configuré dans des paramètres gérés et que l’élément ne correspond à aucun modèle de la liste, l’accès est refusé.

4. **Le profil onlyAllow est défini pour ce type et aucun modèle ne correspond : bloc.**Le profile onlyAllow est à l’échelle du type : il ne restreint que les types qui sont explicitement répertoriés. Si le profil répertorie skill(bundled:*) mais n’indique rien sur bash, l’accès à bash n’est pas affecté par le profil.

5. ``defaultMode`` détermine le résultat. Si defaultMode est "deny", l’accès est bloqué. Si "allow" (par défaut), l’accès est autorisé.

Principales garanties :

• Un profil ne peut pas accorder un accès que les paramètres gérés ont explicitement refusé.

• Un profil ne peut pas développer la liste d’autorisation des paramètres gérés.

• Les profils ne peuvent que restreindre davantage : ils opèrent dans les limites définies par les paramètres gérés.

Exemples de politiques communes¶

{
  "version": "1.0",
  "permissions": {
    "dangerouslyAllowAll": false,
    "defaultMode": "allow"
  },
  "required": {
    "minimumVersion": "0.26.0"
  },
  "ui": {
    "showManagedBanner": true,
    "bannerText": "Managed by Corporate IT - helpdesk@example.com"
  }
}

{
  "version": "1.0",
  "permissions": {
    "onlyAllow": [
      "account(mycompany-prod)",
      "account(mycompany-staging)"
    ],
    "defaultMode": "allow"
  }
}

{
  "version": "1.0",
  "permissions": {
    "onlyAllow": [
      "read",
      "write",
      "edit",
      "snowflake_sql_execute",
      "skill(bundled:*)",
      "skill(profile:*)"
    ],
    "defaultMode": "deny"
  }
}

{
  "version": "1.0",
  "permissions": {
    "deny": [
      "bash(rm:*)",
      "bash(curl:*)",
      "bash(wget:*)"
    ],
    "dangerouslyAllowAll": false,
    "defaultMode": "allow"
  }
}

{
  "version": "1.0",
  "permissions": {
    "onlyAllow": [
      "read", "write", "edit", "bash", "snowflake_sql_execute",
      "skill(bundled:*)", "skill(profile:*)",
      "mcp(https://*.mycompany.com/*)",
      "account(mycompany-*)"
    ],
    "deny": [
      "bash(rm:*)",
      "bash(curl:*)",
      "skill(remote:*)"
    ],
    "defaultMode": "allow",
    "dangerouslyAllowAll": false
  },
  "settings": {
    "forceNoHistoryMode": true,
    "forceSandboxEnabled": true,
    "forceSandboxMode": "regular"
  },
  "required": {
    "minimumVersion": "0.26.0"
  },
  "files": {
    "connectionsFile": "/etc/cortex/connections.toml",
    "mcpFile": "/etc/cortex/mcp.json"
  },
  "ui": {
    "showManagedBanner": true,
    "bannerText": "Managed by IT Security - policy questions: security@mycompany.com",
    "hideDangerousOptions": true
  }
}

Vérification¶

Pour confirmer que les paramètres gérés sont actifs et voir quelles restrictions sont appliquées, inspectez la bannière d’accueil au démarrage. Lorsque des paramètres gérés sont présents et que showManagedBanner est true, une bannière est affichée en haut de la sortie de la session.

Pour contrôler le chemin de configuration de l’application de votre plateforme, vérifiez si le fichier existe à l’adresse du chemin spécifique à OS répertorié dans Emplacements de fichier.