本指南面向使用 Okta 或 Microsoft Entra ID 的管理員，介紹如何通過 Cursor 團隊讓工程組織外的人員訪問 Grok Bot，以及如何讓成員在 Bot 的計算機上登錄由 IdP 預配的應用。有關整體安全模型，請參閱 Grok Bot 安全性。
Grok Bot 使用您的 Cursor 賬戶，因此無需在 Okta 或 Entra ID 中單獨配置 Grok Bot 應用。
本指南中的所有操作均在您已有的 Cursor 應用中完成。Cursor 單點登錄採用 SAML 2.0，兼容 Okta、
Microsoft Entra、Google Workspace 和 OneLogin；本指南將詳細介紹其中最常需要關注設備信任策略的兩個平臺。
你將進行的更改¶
你將進行兩項作用不同的更改：
- 分配 Cursor 應用，讓工程組織外的用戶能夠通過你的 Cursor 團隊訪問 Grok Bot。
- 添加身份驗證規則，讓用戶能夠從 Bot 的計算機登錄由 IdP 預配的應用。該計算機運行 Linux，且未運行設備信任代理。
只有第一項更改會控制 Grok Bot 的登錄。第二項不會阻止 Grok Bot 登錄，也不適用於插件登錄，因爲插件身份驗證不經過該計算機。
開始之前¶
要訪問 Grok Bot，用戶必須是您的 Cursor 團隊成員。成員使用 Cursor 賬戶登錄，因此您現有的 Cursor SSO 同樣適用。啓用自動預配後，用戶會在首次登錄時加入團隊；否則，請先預配用戶，再讓其登錄 Cursor 以分配席位，或在 Cursor 儀表盤邀請他們。
SCIM 僅限企業版。 如果您使用 SCIM，預配遵循 SCIM 2.0，且取消預配會自動完成：在身份提供商中移除用戶後，系統也會將其從 Cursor 中移除。
分配 Cursor 應用¶
用戶必須擁有 Cursor 賬戶才能登錄。將用戶分配到現有的 Cursor SSO 應用後，他們便會獲得賬戶；如果您使用 SCIM，還需要將其分配到 SCIM 應用。如果 Cursor 僅分配給工程團隊，其他用戶都會看到 User is not assigned to this application，或者其邀請無法完成。請勿創建第二個 Grok Bot 應用；應擴大現有 Cursor 應用的分配範圍。
Okta¶
- 前往 Admin Console > Applications > Applications，然後打開現有的 Cursor 應用。
- 打開 Assignments，選擇 Assign > Assign to Groups。如需分配給個人，請選擇 Assign to People。
- 添加所有應獲得 Grok Bot 的羣組，而不只是工程團隊。
- 如果您使用 SCIM，請將相同的羣組分配到 Cursor SCIM 應用並推送。只有分配到 SCIM 應用後，用戶纔會顯示在 Cursor 中。
- 確認每個羣組也已分配到 SAML 應用。僅分配 SCIM 而未分配 SSO 仍會阻止首次登錄。
如果您在 Cursor 中使用組織級身份，請在目錄羣組同步後將其映射到 Grok Bot 團隊；請參閱 Organizations。應用分配和 Group Push 應使用不同的羣組。
Microsoft Entra ID¶
- 前往 Microsoft Entra admin center > Enterprise applications，然後打開現有的 Cursor 企業版應用。
- 打開 Users and groups，選擇 Add user/group。
- 添加所有應獲得 Grok Bot 的羣組，而不只是工程團隊。
- 如果您使用 SCIM，請將相同的羣組分配到 Cursor 預配應用。啓用預配，並將範圍限定爲已分配的用戶和羣組。
- 確認該分配授予 SSO 訪問權限，而非僅報告訪問權限。
基於羣組的分配需要 Entra ID P1 或 P2，且不支持嵌套羣組。用戶必須被明確分配；取消分配會阻止 SSO 登錄，如果使用 SCIM，還會將其從 Cursor 中移除。
滿足以下條件即表示分配成功：
- 原本未分配給工程團隊的用戶可以打開 Grok Bot 並完成 Cursor SSO，不會看到 User is not assigned to this application。
- 啓用自動預配後，該用戶首次登錄後會顯示在 Cursor 團隊中，無需手動邀請。
- 關閉自動預配後，該用戶登錄 Cursor 獲取席位後，或您從儀表盤向其發送邀請後，會加入團隊。
允許從電腦登錄 IdP 應用¶
在託管電腦中，成員通過瀏覽器使用自有身份提供商登錄應用，因此這些會話受您的會話策略管控。該電腦運行 Linux，未加入 MDM，且無法運行 Okta FastPass 等設備信任代理。任何要求 FastPass、已註冊或受管理設備、合規設備，或只能由 FastPass 滿足的抗網絡釣魚驗證因素的規則，都會在計算機瀏覽器中失效。
請勿爲整個公司關閉 FastPass 或設備合規性。請添加一條優先級更高、適用於此非受管理 Linux 會話的規則。此更改僅涵蓋 Bot 在計算機瀏覽器中打開的由 IdP 預配的應用；Grok Bot 登錄或插件登錄無需此更改。
以下登錄方式可在計算機瀏覽器中使用：
- 密碼加可在遠程瀏覽器中使用的第二驗證因素，例如 Okta Verify 推送或身份驗證器應用。
- 存儲在電腦密碼管理器中的通行密鑰，可通過 Team Setup 腳本安裝。Team Setup 僅限 Enterprise 版。
對 Grok Bot 登錄本身要求使用受管理設備仍然有效。Grok Bot
使用您的 Cursor SSO，因此身份提供商中可識別設備的登錄策略
會應用於它。該策略根據成員所用設備控制登錄，
而非託管電腦。
Okta¶
在 Okta Identity Engine 中，該電腦對應 Other Desktop 設備平臺；沒有 Linux 複選框。請對 Bot 在計算機瀏覽器中打開的每個由 IdP 預配的應用重複以下步驟。
- 前往 Admin Console > Security > Authentication Policies，然後打開附加到該應用的策略。要查找該策略，請依次打開 Applications、相應應用和 Sign On。
- 在 FastPass、受管理設備和拒絕兜底規則上方添加一條規則。爲其命名，以便日後查找，例如 Grok Bot computer (Linux)。
- 在 IF 條件中，將規則限定到一個羣組。如果您不希望該規則覆蓋全公司，可以使用分配給 Cursor 的羣組。
- 將 Device platform 設置爲 Other Desktop，將 Device state 設置爲 Any。不要要求 Registered、Managed，或依賴 FastPass 的設備保障策略。
- 在 THEN 條件中，將訪問設置爲使用 Password + Another factor 的 Allowed after successful authentication。不要要求抗網絡釣魚或硬件保護驗證因素。
- 保存規則，並確認其位於非受管理設備拒絕兜底規則上方。
如果多個應用共用一個在受管理設備上啓用 FastPass 的策略，請將 Linux 規則添加到共享策略中並按羣組限定範圍，或者爲這些應用分別配置策略。在 Classic Engine 中，允許 Other Desktop，無需 Device Trust = Trusted。
Microsoft Entra ID¶
Entra ID 沒有 FastPass。會阻止計算機瀏覽器的授權條件包括合規設備、混合加入設備、只能由平臺通行密鑰或受管理通行密鑰滿足的抗網絡釣魚身份驗證強度，以及已批准的客戶端應用或應用保護策略。
- 前往 Microsoft Entra admin center > Protection > Conditional Access > Policies。
- 找出對 Bot 所需 IdP 應用應用這些授權條件的所有策略。
- 保持這些策略啓用。爲 Linux 上的 Grok Bot 用戶添加優先級更高的策略，或將他們排除在阻止策略之外。
- 在新策略中，將用戶設置爲分配給 Cursor 的羣組，並指定他們必須在電腦上打開的 IdP 應用。僅當您接受該範圍時才選擇 All resources。
- 在 Device platforms 下，包含 Linux，並排除 Windows 和 macOS。
- 將授權條件僅設置爲 Require multifactor authentication。
- 先以僅報告模式啓用策略，然後再正式開啓。
- 對現有的合規設備策略，排除該羣組或排除 Linux。
若要在沒有受管理設備的情況下實現抗網絡釣魚，請使用同步通行密鑰可滿足的身份驗證強度，並在強制執行前從電腦測試登錄。
當用戶能夠從 Bot 的計算機登錄由 IdP 預配的應用且不出現 FastPass 或設備合規性錯誤、插件登錄仍可正常使用，並且筆記本電腦登錄不受影響時，說明此更改已生效。
無論採用哪種方式，撤銷權限均由您控制：在身份提供商中撤銷用戶權限會終止其在電腦中的應用會話，組織管理員也可隨時終止成員的電腦。
限制¶
- Okta FastPass 無法在 Linux 上運行，因此 Bot 的計算機無法滿足 FastPass 或受管理設備規則。
- 計算機默認不會註冊到 MDM。
- Entra ID 中基於羣組的分配需要 P1 或 P2，且不包含嵌套羣組。
常見問題¶
是否需要在 Okta 或 Entra ID 中單獨創建 Grok Bot 應用？¶
不需要。Grok Bot 使用 Cursor 賬戶登錄，因此現有的 Cursor 應用
即可控制訪問權限。請擴大該 應用 的分配範圍，而無需創建新的
應用。
設備信任設置變更會影響插件登錄嗎？¶
不會。插件身份驗證不經過計算機，因此適用於計算機瀏覽器的
身份驗證規則不適用於插件。
這些更改會降低員工筆記本電腦的登錄安全嗎？¶
不會。將新規則或策略限定爲 Linux 平臺和
分配給 Cursor 的羣組，筆記本電腦登錄仍將沿用現有的
要求。
如果從 Cursor 應用 中取消分配某個用戶，他們會失去訪問權限嗎？¶
會，他們將無法再通過 SSO 登錄。使用 SCIM 時，取消分配還會
自動將其從 Cursor 中移除；未使用 SCIM 時，請在儀表盤中將其從
團隊移除。
