企业 IT 部署：MDM、网络放行与身份集成

一句话目标

Grok Bot 企业部署就是把客户端按你现有的 MDM、防火墙和身份体系推给成员，IT 不用为它另起一套流程。

准备

• 已完成上一课「团队开用：共享 Bot、模板与管理员控制」，手里有 dashboard 管理员权限。
• 有现成工具：MDM（Jamf、Kandji、Intune、ConfigMgr、Ansible 任选其一）、出口防火墙或代理、Okta 或 Entra ID 管理台。
• 确定目标版本：企业部署固定版本，何时升级由你决定。

跟我做

第 1 步：用 MDM 推送 Grok Bot 固定版本安装包

从 dashboard 的 Download Grok Bot 入口或 release feed 拿到带版本号的安装包，再用你现有的 Jamf、Kandji、Intune、ConfigMgr 或 Ansible 推送到成员设备。

要脚本化打包：读 https://api2.cursor.sh/updates/api/download/stable/{platform}/sand，把 {platform} 换成目标平台（darwin-arm64、darwin-x64、win32-x64-user、win32-arm64-user、linux-x64、linux-arm64），下载它指向的文件。

预期结果：macOS 装 .dmg，Windows 装 Setup .exe，Linux 用 .deb/.rpm/AppImage，全员同一版本，升级窗口由你排。

边界提醒：MDM 只管到成员设备上的 app；Bot 干活的 hosted computer 是云端 Linux，不进 MDM。要往它上面装自己的工具，Enterprise 团队用 Team Setup Scripts。

第 2 步：放行网络并关掉 TLS 检查

在出口防火墙或代理放行 *.cursor.sh、*.cursor-cdn.com、*.cursorapi.com、*.cursorvm.com（注意 *.*.cursorvm.com 两级通配也要放）以及 cursor.com、downloads.cursor.com（桌面端安装与更新走这两个）。

同时对这些域名关闭 TLS 检查、关闭响应缓冲，否则登录和长连接容易断。

预期结果：客户端登录、自动更新和 Bot 会话不再被代理拦断。

dashboard 里的 Network Controls（仅 Enterprise 团队可见，入口在 Grok Bot 页的 Network → Grok Bot Network Access）提供三种模式：Allow All Network Access（全放行，没设策略团队的默认）、Defaults + Team Allowlist（官方默认目的地加你的清单）、Team Allowlist Only（只放你的清单和计算机运行所需目的地）；Apply to MCP servers 开关只在两种 Allowlist 模式下出现，打开后 MCP 流量也按同一套清单放行。

第 3 步：接入 Okta/Entra ID 并划定范围

在 Okta 或 Entra ID 里把 Cursor 应用分配给需要 Grok Bot 的成员，再回 dashboard 划定访问范围。

预期结果：成员用公司账号登录；没被分配的人进不来。

如果 Bot 要访问内网：让成员桌面走路由，或用 Team Setup Scripts 在 hosted computer 上装 Tailscale、Cloudflare Tunnel 这类组网客户端。

安全侧另有共享静态出口段与数据驻留（目前仅美国）选项，开通都走 Cursor account team；Enterprise 档的统一开通与用量口径官方未公开，同样联系 account team。

验证

• 挑一台托管设备，客户端版本与你锁定的版本一致。
• 在放行后的网络里登录一次，会话正常、没有代理报错。
• 拿一个未分配 Cursor 应用的测试账号试登录，应被挡在外面。

常见坑

• 只放一级通配，漏了 *.*.cursorvm.com，Bot 连不上云电脑。
• 对 Cursor 域名开 TLS 检查或响应缓冲，症状是卡在登录。
• 试图用 MDM 管 hosted computer——它不进 MDM，正确入口是 Team Setup Scripts。
• 指望固定版本就能挡住更新：macOS/Windows/AppImage 客户端没有任何策略或设置能关掉桌面更新，成员端仍会收到新版本，只能靠成员自己关 Automatic Updates 把安装拖到手动重启（版本超过 14 天且已有新版时，还会整屏弹 Update required 强制更新）；真正由你排升级节奏的只有 Linux .deb/.rpm（走包管理器）。

下一课

Grok Bot 企业部署收尾后，带着成员的问题进常见问题 FAQ：模型、限制与官方口径。