> ## Documentation Index
> Fetch the complete documentation index at: https://docs.devin.ai/llms.txt
> Use this file to discover all available pages before exploring further.

# Devin Desktop 管理控制参考

> Admin 可为其组织强制执行的所有 Devin Desktop 设置：团队设置、组织覆盖、MDM 设备策略以及系统级文件。

本页完整列出了管理员可为其成员配置的所有 Devin Desktop 设置。每项控制只列出一次，归入负责强制执行它的界面下；如有详细指南，会附上相应链接。

Devin Desktop 提供三种强制执行界面，建议结合使用：需要跟随用户账户的设置，使用团队设置；必须在登录前或在每台机器上都生效的设置，使用设备策略。

| 界面 | 管理位置 | 适用范围 | 用户能否覆盖？ |
| - | - | - | - |
| [团队设置](#team-settings) | Devin 应用：**Settings → Enterprise → Devin Desktop** (`app.devin.ai/org/{orgName}/settings/desktop`) ，或位于 [windsurf.com/team/settings](https://windsurf.com/team/settings) 的旧版 Windsurf 仪表板 | 团队中所有已登录的成员，任何设备均适用，保存后几分钟内生效 | 否 |
| [设备策略 (MDM) ](#device-policies-mdm) | Windows Group Policy、macOS 配置描述文件，或 Linux 上的 `/etc/vscode/policy.json` | 作用于整台机器，登录前即生效，且不受登录状态影响 | 否 |
| [系统级文件](#system-level-files) | 通过 MDM 或配置管理工具部署到系统目录中的文件 | 机器上的所有 workspace | 否 |

<Note>
  “Windsurf”和“Devin Desktop”指的是同一款产品。旧版 Windsurf Enterprise 客户在 [windsurf.com/team/settings](https://windsurf.com/team/settings) 管理团队设置；Devin Enterprise 客户则在 Devin 应用中管理相同的设置。两者写入的是同一份团队配置，因此在任一处更改的设置都会同步显示在另一处。
</Note>

<h2 id="team-settings">
  团队设置
</h2>

团队设置存储在服务器上，并随用户的账户状态一起下发到 Devin Desktop，因此无论成员在哪台设备上登录，这些设置都会随之同步。更改团队设置需要 Devin Desktop admin 权限 (在 Devin 中为 `account.windsurf.admin`，在 Windsurf 仪表板中为 `TEAM_SETTINGS_UPDATE`) 。如需授予该权限，请参阅 [RBAC 角色管理](/zh/desktop/accounts/rbac-role-management)。

除非另有说明，团队设置会在 Devin Desktop 下次刷新用户账户状态时生效 (登录时会刷新，运行期间也会定期刷新) 。标有 **restart** 的设置需要重启 Devin Desktop 后才能完全生效。

<h3 id="organization-overrides">
  组织覆盖
</h3>

拥有多个组织的企业只需在企业级别统一设置一次默认值。如果启用了组织级覆盖，Admin 在查看某个子组织的 **Devin Desktop** 设置页面时，可以单独为该组织覆盖个别设置；未被覆盖的设置均继承企业默认值。在企业页面上，凡是至少存在一个覆盖的设置，都会显示 **Overridden in N orgs** 徽标；此外，也可以在组织页面上将覆盖重置为企业值。

<h3 id="features">
  功能
</h3>

| 设置 | 控制内容 | 套餐 | 了解更多 |
| - | - | - | - |
| **Devin for Cloud** | 允许成员通过 ACP 将任务从 Devin Desktop 交给 Devin 的 cloud Agent。 | Devin Enterprise | [Devin Desktop 中的 Devin](/zh/desktop/devin#admin-controls) |
| **Devin Local Agent** | 允许成员在 Devin Desktop 中使用 Devin Local agent，并通过 ACP 将任务交给 Devin 的终端 Agent。Enterprise 套餐中默认关闭。 | Enterprise | [Devin Local](/zh/desktop/devin-local#enterprise-admins) |
| **在 Devin Desktop 中安装 Devin CLI** | 在 command palette 中显示 **Install Devin CLI** 命令，方便成员将内置的 `devin` 二进制程序添加到 `PATH`。默认关闭。 | Enterprise | [Devin CLI 团队设置](/zh/cli/enterprise/team-settings#show-install-devin-cli-in-the-devin-desktop-command-palette) |
| **Devin CLI plugins** | 允许成员安装并使用 Devin CLI plugin。 | Teams & Enterprise | [Plugins](/zh/cli/reference/commands#devin-plugins) |
| **Quick review** | 允许成员使用 Quick Review 模型。默认启用，可随时禁用或重新启用。 | Teams & Enterprise | [Quick Review](/zh/desktop/quick-review#enterprise-controls) |

<h3 id="permissions-security">
  权限与安全
</h3>

| 设置 | 控制内容 | 套餐 | 了解更多 |
| - | - | - | - |
| **最高自主级别** | 成员可在 Cascade 中启用的终端命令自动执行最高级别 (No auto-approvals、Allowlist only、Smart、Bypass) 。成员可在该上限内任选级别。仅适用于 Cascade；Devin Local 和 Devin CLI 由下方的 **Devin CLI 权限** 管控。 | Teams 和 Enterprise | [终端](/zh/desktop/terminal#admin-controlled-maximum-level-teams-enterprise) |
| **Devin Sandbox** | 为 Devin CLI 和 Devin Local 会话强制开启沙箱模式，将文件系统和网络访问限制在已授权的范围内。每次提示开始时都会重新读取该设置。 | Enterprise | [沙盒](/zh/cli/sandbox#sandbox-enforcement-mode) |
| **沙盒域名** | 沙盒可访问域名的组织级允许列表和拒绝列表。 | Enterprise | [沙盒](/zh/cli/sandbox) |
| **沙盒命令例外** | 指定哪些命令可在沙盒外运行 (**allow**) 、须先经确认 (**ask**) ，或绝不能在沙盒外运行 (**deny**) 。 | Enterprise | [沙盒](/zh/cli/sandbox) |
| **网页搜索** | 允许 Agent 搜索公开网络。企业团队默认禁用。禁用后不会阻止读取特定 URL：在 Cascade 中，每次读取页面都需要手动批准；Devin CLI 的 URL 读取则不受影响。 | Enterprise | [网页搜索](/zh/desktop/cascade/web-search) |
| **Devin CLI 权限** | 由团队强制执行的 Devin CLI 和 Devin Local `allow` / `ask` / `deny` 权限规则。这些规则优先级最高，无法被用户或项目配置覆盖。 | Teams 和 Enterprise | [Devin CLI 团队设置](/zh/cli/enterprise/team-settings#terminal-permissions) |
| **Devin CLI 版本约束** | semver 版本约束 (例如 `>=1.2.0 <2.0.0`) ，用于限制成员可使用的 Devin CLI 版本。留空则允许所有版本。 | Enterprise | [Devin CLI 团队设置](/zh/cli/enterprise/team-settings) |
| **扩展策略** | 以 JSON 格式定义的允许列表，指定成员可安装的 VS Code 扩展：键为扩展 ID、发布者或 `*`，值为 `true`、`false` 或 `"stable"`。格式与 `extensions.allowed` 设置相同。设置后，将覆盖成员机器上本地配置或通过 MDM 下发的 `AllowedExtensions` 策略。 | Enterprise | [设备策略](#device-policies-mdm) |
| **扩展市场 URL** | 强制 Devin Desktop 从此 gallery 服务 URL (例如内部 Open VSX 或市场镜像) 搜索和安装扩展。成员无法覆盖此设置；一旦设置了团队 URL，成员自己的两项市场设置 (gallery 服务 URL 和 gallery 条目 URL) 都会被忽略并隐藏，扩展视图中也会将该市场标注为由你的组织设置。留空则由成员自行选择市场。更改后建议**重启**。 | Enterprise | [扩展市场设置](/zh/desktop/advanced#extension-marketplace) |
| **Agent 钩子** | 团队级 Cascade 钩子配置 (JSON，采用 Cascade 钩子格式) ，用于在 Cascade 工作流程的关键节点运行自定义命令。该配置最先加载，随后与系统级、用户级和 workspace 级钩子合并。Devin Local 和 Devin CLI 使用各自的[生命周期钩子](/zh/cli/extensibility/hooks/lifecycle-hooks)格式。 | Enterprise | [钩子](/zh/desktop/cascade/hooks#enterprise-distribution) |

<h3 id="mcp-acp">
  MCP & ACP
</h3>

| 设置 | 控制内容 | 套餐 | 了解更多 |
| - | - | - | - |
| **Allow MCP** | 允许成员在 Devin Desktop 中添加和配置 MCP 服务器。 | Teams 和 Enterprise | [MCP 管理控制](/zh/desktop/cascade/mcp#admin-controls-teams-enterprises) |
| **MCP 允许列表** | 明确指定成员可使用的 MCP 服务器。只要有一个服务器加入允许列表，其他所有服务器都会被阻止。服务器条目可包含使用正则表达式的配置模板。 | Teams 和 Enterprise | [MCP 允许列表](/zh/desktop/cascade/mcp#mcp-allowlist) |
| **MCP 注册表** | 强制执行已配置的注册表：开启后，成员只能连接注册表中列出的服务器 (同时仍受允许列表约束) ；关闭后，注册表仅用于填充 MCP Marketplace。 | Teams 和 Enterprise | [MCP 注册表](/zh/desktop/cascade/mcp#mcp-registry) |
| **MCP 注册表 URLs** | 提供已批准 MCP 服务器列表的一个或多个注册表 URL。配置多个注册表时，取其并集。 | Teams 和 Enterprise | [MCP 注册表](/zh/desktop/cascade/mcp#mcp-registry) |
| **ACP registry configuration** | 由已批准 ACP Agent 组成的静态注册表，会推送给每位成员，成员无需再逐一配置 Agent。 | Teams 和 Enterprise | [ACP 团队注册表](/zh/desktop/acp#team-registry-configuration) |

<h3 id="codebase-intelligence">
  代码库智能
</h3>

| 设置 | 控制内容 | 套餐 | 了解更多 |
| - | - | - | - |
| **Fast context** | 允许成员使用 Fast Context，以更好地理解代码。 | Teams 和 Enterprise | [Fast Context](/zh/desktop/context-awareness/fast-context) |
| **Codemaps** | 允许成员生成和查看交互式 Codemaps。 | Teams 和 Enterprise | [Codemaps](/zh/desktop/codemaps) |
| **DeepWiki** | 允许成员使用 DeepWiki 生成文档。 | Teams 和 Enterprise | [DeepWiki](/zh/desktop/deepwiki) |

<h3 id="models">
  模型
</h3>

这些设置位于 Devin Desktop 设置页面的 **模型** 选项卡中。

| 设置 | 控制内容 | 套餐 | 了解更多 |
| - | - | - | - |
| **Allowlisted models** | 成员可在 Cascade、Devin Local、Command 和 Devin CLI 中使用的模型。可按具体模型或按提供商过滤 (每次仅限一种过滤器类型) 。 | Teams 和 Enterprise | [模型](/zh/desktop/models) |
| **Default model** | Devin Desktop 和 Devin CLI 中新用户的默认模型。在成员自行选择模型之前生效；成员选择后将沿用其选择。该模型必须在允许列表中才会生效。 | Enterprise | [Devin CLI 团队设置](/zh/cli/enterprise/team-settings#default-model) |
| **Default subagent model** | Agent 启动的子 Agent 会话所用的模型：可选择子 Agent 路由器、指定模型，或选择 None 以禁用子 Agent。 | Enterprise | — |
| **Fusion** | 允许使用 Fusion 路由模式，该模式将前沿模型的智能与高性价比的执行相结合。 | Teams 和 Enterprise | [Fusion](/zh/desktop/fusion) |
| **Adaptive** | 允许使用 Adaptive 模型路由器，它会为每个任务选择合适的模型，并动态调整定价。 | Enterprise | [Adaptive](/zh/desktop/adaptive) |

<h3 id="data-retention">
  数据保留
</h3>

| 设置 | 控制内容 | 套餐 | 了解更多 |
| - | - | - | - |
| **Enable access to Anthropic models with data retention** | 解锁更多需要保留数据以进行信任与安全验证的 Anthropic 模型。Anthropic 最多将这些数据保存 30 天，且不会将其用于模型训练。仅在可用时显示。 | Teams 和 Enterprise | — |
| **Enable access to OpenAI models with data retention** | 解锁更多需要保留数据以进行信任与安全验证的 OpenAI 模型。OpenAI 最多将这些数据保存 30 天，且不会将其用于模型训练。仅在可用时显示。 | Teams 和 Enterprise | — |

<h3 id="sharing">
  共享
</h3>

这些设置位于 **Sharing** 选项卡中，该选项卡还会列出成员已共享的对话和 Codemaps。

| 设置 | 控制内容 | 套餐 | 了解更多 |
| - | - | - | - |
| **Share conversations** | 成员是否可以通过链接共享 Cascade 对话。共享的对话会上传到 Devin Desktop 服务器，且链接仅限已登录的团队成员访问。 | Teams & Enterprise | [共享对话](/zh/desktop/cascade/cascade#sharing-your-conversation) |
| **Share codemaps** | 谁可以查看成员共享的 Codemaps：团队或公开、仅限团队，或禁止共享。由于共享的 Codemaps 会存储在 Devin Desktop 服务器上，因此需要主动选择启用共享。 | Teams & Enterprise | [Codemaps](/zh/desktop/codemaps) |

<h3 id="analytics-compliance">
  数据分析与合规
</h3>

| 设置 | 控制内容 | 套餐 | 了解更多 |
| - | - | - | - |
| **个人数据分析** | 允许在团队仪表板中查看个人级别 (按成员) 的数据分析。 | Teams 和 Enterprise | [Admin 指南](/zh/desktop/guide-for-admins#6-analytics-api-access) |
| **署名** | 代码建议的署名追踪：将生成的代码与公共代码进行比对，匹配的内容会被撤销或标记。不支持自助开启；如需启用，请联系你的账户团队。 | Enterprise | [署名过滤](/zh/enterprise/features/attribution-filtering) |

<h3 id="legacy-cascade">
  旧版 Cascade
</h3>

以下控制项仅对旧版 Cascade agent 生效。

| 设置 | 控制内容 | 套餐 | 了解更多 |
| - | - | - | - |
| **命令列表** | 旧版团队级终端命令允许列表和拒绝列表，会与每位成员自己的列表合并。未配置 Devin CLI 权限时作为回退方案使用。拒绝列表始终优先。 | Teams 和 Enterprise | [终端](/zh/desktop/terminal#team-wide-command-lists-teams-enterprise) |
| **启用 Cascade** | 成员可在哪些位置使用旧版 Cascade agent。 | Enterprise | [Cascade](/zh/desktop/cascade/cascade) |
| **将 Cascade 限制在 workspace 内** | 仅允许读写当前打开的 workspace 中的文件。 | Teams 和 Enterprise | [Cascade](/zh/desktop/cascade/cascade) |
| **Arena 模式** | 允许成员并排比较多个模型的响应。 | Teams 和 Enterprise | [Arena](/zh/desktop/cascade/arena) |
| **应用部署** | 允许成员连接 Netlify 并通过 Cascade 进行部署。仅限 Windsurf 仪表板。 | Teams 和 Enterprise | [应用部署](/zh/desktop/cascade/app-deploys#team-deploys) |

<h3 id="account-administration">
  账户管理
</h3>

Windsurf 仪表板还提供账户级别的管控选项。这些选项不属于 Devin Desktop 设置，但会决定哪些用户可以登录以及他们可以执行哪些操作：[SSO (单点登录) 与 SCIM](/zh/desktop/accounts/sso-scim)、[域名验证](/zh/desktop/accounts/domain-verification)、[角色和权限](/zh/desktop/accounts/rbac-role-management)，以及[分析 API](/zh/desktop/accounts/api-reference/api-introduction) 的服务密钥。在 Devin 应用中，这些选项位于 **Settings → Administration** 下。

<h2 id="device-policies-mdm">
  设备策略 (MDM)
</h2>

设备策略由操作系统在 Devin Desktop 启动前强制执行，因此无论用户是否登录都会生效，且无法在编辑器内修改。可通过 Windows Group Policy (注册表路径 `Software\Policies\Windsurf\Devin`) 、macOS 配置描述文件或 Linux 上的 `/etc/vscode/policy.json` 进行部署；各平台的分步设置说明请参阅 [Enterprise Policies](/zh/desktop/enterprise-policies)。

策略将在 Devin Desktop 下次启动时生效。与 Devin Desktop 管理最相关的策略如下：

| 策略 | 锁定的设置 | 类型 | 控制内容 |
| - | - | - | - |
| `AllowedExtensions` | `extensions.allowed` | JSON 字符串 | 允许安装哪些扩展，可按扩展 ID、发布者或 `*` 指定。格式与团队设置中的 **Extension policy** 相同。 |
| `ExtensionGalleryServiceUrl` | `extensions.gallery.serviceUrl` | 字符串 | Devin Desktop 查询扩展时所用的扩展市场库服务 URL。 |
| `ExtensionsAutoUpdate` | `extensions.autoUpdate` | 字符串 | 扩展是否自动更新。 |
| `ExtensionsAutoUpdateDelay` | `extensions.autoUpdateDelay` | 数字 | 扩展更新发布后，需等待多少小时才自动安装。 |
| `UpdateMode` | `update.mode` | `none` / `manual` / `start` / `default` | Devin Desktop 是否检查并安装自身更新。 |
| `TelemetryLevel` | `telemetry.telemetryLevel` | `all` / `error` / `crash` / `off` | Devin Desktop 发送遥测数据的详细程度。 |
| `EnableFeedback` | `telemetry.feedback.enabled` | 布尔值 | 是否显示问题报告器、调查问卷及其他反馈入口。 |

每个版本的 `policies` 文件夹中均附带示例 `policy.json`、`.mobileconfig` 和 ADMX 文件，其中列出了所安装版本支持的全部策略，包括上文未提及的上游 VS Code 策略。

<h3 id="how-device-policies-and-team-settings-combine">
  设备策略与团队设置如何共同生效
</h3>

当同一控制项同时存在于两个界面时：

* **扩展允许列表** — 如果两者均已设置，**Extension policy** 团队设置将取代成员机器上的 `AllowedExtensions` 策略。如果希望允许列表随账户生效，请使用团队设置；对于可能从不登录的机器，请使用 MDM 策略。
* **扩展市场 URL** — 如果两者均已设置，`ExtensionGalleryServiceUrl` 策略优先于 **扩展市场 URL** 团队设置，而团队设置又优先于成员自行配置的 `devin.marketplaceExtensionGalleryServiceURL` 设置。扩展视图始终会显示当前实际使用的扩展市场。
* 其余所有设置都只能在其中一个界面上配置。

<h2 id="system-level-files">
  系统级文件
</h2>

管理员还可以将内容文件部署到成员没有写入权限的系统目录中。对于规则、工作流程、技能和 `hooks.json`，Devin Desktop 会优先读取 `Devin` 位置，仅当 `Devin` 位置不存在时，才回退到旧版 `Windsurf` 位置 (`/Library/Application Support/Windsurf/`、`C:\ProgramData\Windsurf\`、`/etc/windsurf/`) 。回退按子目录或文件逐一判断，两个位置的内容不会合并，因此每迁移一类内容，都应完整迁移。`system.json` 仅从 `Devin` 位置读取。

| 操作系统 | 目录 |
| - | - |
| macOS | `/Library/Application Support/Devin/` |
| Windows | `C:\ProgramData\Devin\` |
| Linux / WSL | `/etc/devin/` |

| 子目录或文件 | 提供的内容 | 了解更多 |
| - | - | - |
| `rules/*.md` | 应用于所有 workspace 的组织级规则。 | [系统级规则](/zh/desktop/cascade/memories#system-level-rules-enterprise) |
| `workflows/*.md` | 在所有 workspace 中可用的工作流程。 | [系统级工作流程](/zh/desktop/cascade/workflows#system-level-workflows-enterprise) |
| `skills/<name>/SKILL.md` | 在所有 workspace 中可用的技能。 | [系统级技能](/zh/desktop/cascade/skills#system-level-skills-enterprise) |
| `hooks.json` | 与团队钩子和 workspace 钩子一同运行的钩子。 | [钩子的企业分发](/zh/desktop/cascade/hooks#enterprise-distribution) |
| `system.json` | 将 Devin CLI 登录固定到你的企业主机或账户，并强制使用出站代理。 | [Devin CLI 系统配置](/zh/cli/enterprise/system-config) |

如果你的端点安全或 DLP 工具限制了文件访问，请确保这些路径已被放行；详见[常见问题中的目录参考](/zh/desktop/devin-desktop-faq#system-level-configuration-admin-managed-per-machine)。

<h2 id="what-members-see">
  成员看到的内容
</h2>

当某项控制被强制执行时，Devin Desktop 会明确告知成员，而不是静默失败：

* 被设备策略锁定的设置会在 Settings 编辑器中标注为由你的组织管理，且无法编辑。
* 如果团队设置移除了某个选项 (例如已禁用的功能，或不在允许列表中的模型) ，该选项将不会出现在相应的选择器或设置页面中。
* 扩展视图会显示一条横幅，注明当前使用的扩展市场以及它是否由你的组织设置；如果强制执行了扩展允许列表，横幅还会注明该设置由你的组织管理。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.