集中配置分发

选择受支持的分发方式

Lime 当前管理员要求通过系统 requirements.toml 和受支持的 macOS 强制偏好读取。可以用组织已有设备管理工具分发这些文件或偏好，但这不等同于客户端实现了远程配置服务器协议。

划分默认值与强制要求

默认值用于设置初始选择，强制要求限定允许范围。先在测试设备验证实际 Schema、优先级和拒绝行为，再建立一份可版本管理的非敏感配置。

allowed_approval_policies = ["on-request", "never"]
allowed_sandbox_modes = ["read-only", "workspace-write"]
allowed_web_search_modes = ["disabled"]

不要添加其他产品的 [config_server]、OAuth、配置包 JSON 或缓存刷新约定。未知字段和非法值应先在测试阶段发现。

分发和读回

• 指定配置负责人、适用设备、配置 revision 和回退方案。
• 通过可信管理通道写入系统路径，并保护文件不被普通用户修改。
• 在目标员工身份下验证允许值和拒绝值。
• 重开任务并检查已有 Thread；旧任务不能豁免当前系统要求。

验证故障与恢复

• 分别测试文件缺失、格式错误、越权显式设置和后端不可用。
• 确认错误能被定位到策略来源，不静默扩大权限。
• 恢复上一份已验收配置后，重新执行关键拒绝测试。
• 将客户端版本和配置 revision 关联记录，避免仅凭设备平台“已分发”宣称策略生效。