企业安全配置手册

选择起点与准备试点

先选一个目标，例如保护生产环境、减少代码外发或防止防护措施被改写。盘点设备、CLI、桌面、远程主机、模型和工具，再在测试环境验证。

• 每项控制记录 Owner、配置来源、适用版本与恢复方式。
• 配置合并到当前文件，避免重复键和不受支持字段。
• 每次更改至少测试一个允许工作流和一个拒绝工作流。
• 示例只使用已证实的 Lime Schema，组织身份和外部权限由其 Owner 管理。

限制执行范围与审批

allowed_approval_policies = ["on-request"]
allowed_sandbox_modes = ["read-only", "workspace-write"]

在系统 requirements.toml 中限定实际允许的值，再用非管理员身份验证完全访问和显式越权设置被拒绝。on-request 允许请求审批，不表示每条命令都暂停。

• 将秘密和无关目录放在隔离范围外，命名权限档案按当前 YAML Schema 设置。
• 敏感动作要求具体授权，并在源系统设置最终权限。
• 恢复配置后重跑拒绝测试，不为排查临时开放全部权限。

审查 MCP 与外部工具

• 列出服务器名称、传输、可执行文件或 URL、启动环境、身份和工具。
• 只启用已批准连接，核对真实启动参数与资源范围。
• stdio 进程、插件工具和远程服务可能有独立执行边界。
• 身份匹配或安装摘要不能证明工具行为和上游内容安全。
• 当前系统要求未提供的强制允许列表，不用其他产品 TOML 冒充。

控制网络和秘密

命令、应用、搜索、MCP、浏览器与原生应用分别检查。批准域名可能同时托管公开和私有内容，域名允许列表不能替代内容防泄漏。

• 不需要的网络保持关闭，需要时只开放明确目标。
• 凭据放在秘密管理中，使用独立低权限身份。
• 环境过滤不能阻止从文件、shell 初始化或凭据助手取得秘密。
• 用无害测试文件和模拟变量分别验证直接读取、shell、浏览器与工具路径。

要求敏感操作经过审查

先区分需要审批与必须禁止的操作，覆盖提交、推送、部署、迁移和发送等实际入口。客户端规则只是其中一层，配合代码保护、部署审批、数据库权限与云 IAM。

• 测试拒绝后操作没有发生。
• 检查绝对路径、包装命令、API 客户端和其他工具途径。
• 不把前缀匹配当作完整操作系统策略。
• 权限缩小后重新验证旧任务。

组合方案：保护生产环境

• 使用专用低权限用户、容器或开发主机。
• 不挂载生产凭据、管理套接字和签名密钥。
• 限制任务到批准项目与开发资源。
• 在独立发布流程中保留最终审批与生产身份。
• 在无真实副作用的环境验证任务身份无法取得生产写权限。

组合方案：减少代码公开发布

• 隔离无关仓库和凭据。
• 限制网络与外部连接，单独审查上传和发送。
• 在代码托管平台保护分支、公共仓库创建与可见性变更。
• 按 DLP 实际覆盖路径使用无害标记测试，确认在发布前阻止。
• 允许访问同一域名不能区分内部仓库、公开代码片段与个人账号。

组合方案：保护防护措施

让执行身份不能修改系统策略、其父目录、分发入口与依赖程序。macOS 强制偏好和系统文件使用正式支持方式，普通用户配置不能放宽强制要求。

• 以非管理员身份尝试编辑策略，确认失败。
• 更改用户或项目配置并重开任务，验证限制仍有效。
• 重新测试每种客户端和执行环境。
• 钩子或遥测不能代替外层权限；管理员身份本身仍可能改写外围防护。

监控、恢复与记录

把运行证据、设备日志、网络和目标系统结果关联。逐项核验记录覆盖，不承诺捕获每个参数和操作。失败时保留脱敏证据并恢复上一份已验收配置，再重跑关键拒绝测试。