Maxiful in Ihrer Organisation verteilen

Wie es sich installiert

Auf beiden Plattformen ist Maxiful eine Desktop-App, die jede Person für sich selbst einrichtet. Beim ersten Start richtet sie für diese Person die Laufzeitumgebung der Assistenten ein: OpenClaw, die Open-Source-Agent-Laufzeitumgebung, auf einer Kopie von Node.js, die Maxiful für diese Person installiert. Ein Hintergrundprozess dieser Laufzeitumgebung, das Gateway, führt die Assistenten aus und startet jedes Mal neu, wenn sich die Person am Computer anmeldet.

Unter Windows

Pro Person, ohne Administratorrechte. Das Installationsprogramm, Maxiful-x64-setup.exe, läuft als die bei Windows angemeldete Person und installiert in deren %LOCALAPPDATA%\Maxiful. Es erscheint unter den installierten Apps dieser Person; jede Person, die Maxiful auf einem Computer nutzt, hat also eine eigene Installation.

Windows 10 oder neuer, 64 Bit. Das Fenster von Maxiful wird von Microsoft Edge WebView2 dargestellt. Fehlt die WebView2 Runtime, lädt das Installationsprogramm Microsofts eigenes WebView2-Installationsprogramm von go.microsoft.com herunter und führt es unbeaufsichtigt aus.

Auf einem Mac

Eine App in /Applications, pro Person eingerichtet. Maxiful für Mac kommt als Disk-Image, Maxiful-arm64.dmg, mit Maxiful.app darin, signiert mit einer Apple Developer ID und von Apple notarisiert (die Details der Signatur stehen unter Mac: Intune und Jamf Pro). In /Applications kopiert, von einer Person oder von Ihrer Geräteverwaltung, ist es eine App für alle auf dem Mac. Jede Person, die sie öffnet, meldet sich an und erhält eine eigene Installation, mit ihren Assistenten und Daten im eigenen Benutzerordner.

macOS 13 oder neuer, auf Apple Silicon oder Intel. Die App ist ein einziger Build für beide.

Windows: unbeaufsichtigte Installation

Maxiful-x64-setup.exe /S

Exit-Codes. 0 bedeutet, dass die Installation abgeschlossen wurde; jeder andere Code bedeutet, dass sie nicht abgeschlossen wurde. Eine 2 kann mehrere Ursachen haben. Eine davon: Ein anderes Programm hält eine Datei von Maxiful 30 Sekunden lang geöffnet. In diesem Fall wurde nichts geändert. Das Installationsprogramm beendet das laufende Maxiful der jeweiligen Person, bevor es Dateien schreibt.

Über eine bestehende Installation. Ein neueres Installationsprogramm, auf dieselbe Weise ausgeführt, aktualisiert sie an Ort und Stelle; die Assistenten und Daten der Person bleiben erhalten. Gemessen haben wir das am 26. Oktober 2026 auf unserem Windows-Test-PC, von 0.9.54 auf die signierte 0.9.58.

Die Ordner für Microsoft Defender

Die Arbeitsordner von Maxiful ändern bei jedem Start des Teams Tausende von Dateien, daher bittet Maxiful Windows, Microsoft Defender vier davon überspringen zu lassen. Ohne /DEFENDER-Schalter fragt die Installation danach, nachdem sie ihre Dateien geschrieben hat: Windows zeigt dafür seine eigene Berechtigungsabfrage, und bei einer Person ohne Administratorrechte verlangt es die Anmeldung eines Administrators. Antwortet niemand, schließt Windows die Abfrage nach etwa zwei Minuten von selbst, und die Installation wird trotzdem abgeschlossen. Maxiful fragt beim nächsten Start noch einmal; eine zweite unbeantwortete Abfrage gilt als Nein und wird nicht wiederholt.

Mit /DEFENDER=managed oder /DEFENDER=off (genau so geschrieben) fragt keine Installation, kein Update und kein Start Windows, und die Einstellungen von Maxiful zeigen an, dass Ihre IT-Abteilung Microsoft Defender auf dem Computer verwaltet. Werden die Ordner gescannt, funktioniert alles, nur startet das Team langsamer. Die Person kann die Ausschlüsse später dennoch selbst in den Einstellungen von Maxiful aktivieren, unter Defender soll die Arbeitsordner von Maxiful überspringen; das fragt Windows wie oben beschrieben.

Windows: Microsoft Intune (Win32-App)

Die unbeaufsichtigte Installation und das Update über eine bestehende Installation haben wir auf unserem eigenen Windows-Test-PC gemessen. Diese Anleitung folgt Microsofts Dokumentation zu Win32-Apps und wurde nicht in einem Intune-Mandanten ausgeführt. Verhält sich Ihr Mandant anders, schreiben Sie uns an [email protected].

1. Legen Sie einen Paketordner an mit Maxiful-x64-setup.exe, heruntergeladen aus Ihrem Maxiful-Konto und mit seiner SHA-256-Prüfsumme abgeglichen, und einer Datei uninstall.cmd, denn Intune löst in einem Deinstallationsbefehl keine Umgebungsvariablen auf:

   @echo off
   "%LOCALAPPDATA%\Maxiful\uninstall.exe" /S _?=%LOCALAPPDATA%\Maxiful
   set rc=%ERRORLEVEL%
   del /q "%LOCALAPPDATA%\Maxiful\uninstall.exe"
   rmdir "%LOCALAPPDATA%\Maxiful"
   exit /b %rc%

   _?= lässt das Deinstallationsprogramm an Ort und Stelle laufen und abschließen, bevor das Skript weitergeht; die beiden Zeilen danach entfernen das Deinstallationsprogramm selbst und den leeren Ordner. Um auch die Assistenten und Daten der Person zu entfernen, schreiben Sie stattdessen /S /REMOVEALL _?=%LOCALAPPDATA%\Maxiful in die erste Zeile (siehe Entfernung).
2. Erstellen Sie die .intunewin-Datei mit Microsofts Win32 Content Prep Tool:

   IntuneWinAppUtil.exe -c C:\maxiful-package -s Maxiful-x64-setup.exe -o C:\maxiful-intunewin -q

3. Program: Installationsbefehl Maxiful-x64-setup.exe /S /DEFENDER=managed, wenn Ihre Defender-Richtlinie die vier Ordner oben als Ausschlüsse hinzufügt, oder Maxiful-x64-setup.exe /S /DEFENDER=off, wenn sie gescannt werden sollen; Deinstallationsbefehl uninstall.cmd; Installationsverhalten User; Verhalten beim Geräteneustart No specific action; die Standard-Rückgabecodes.
4. Requirements: 64 Bit, Windows 10 oder neuer.
5. Detection rule: File, Pfad %LOCALAPPDATA%\Maxiful, Datei Maxiful.exe, Methode File or folder exists.
6. Zuweisung: Required oder Available, an Benutzergruppen.

Intune erwartet eine Installation ohne Rückfragen. Mit einem /DEFENDER-Schalter fragt die Installation von Maxiful nichts; ohne ihn ist die Defender-Abfrage von Windows die einzige Frage, die auftreten kann. Lesen Sie Erster Start, bevor Sie die App breit zuweisen.

Mac: Microsoft Intune und Jamf Pro

Ihre Geräteverwaltung installiert die notarisierte Maxiful.app in /Applications, aus demselben Disk-Image, das auch Einzelpersonen herunterladen. Dies sind die Werte, die sie abfragt.

Microsoft Intune (macOS app (DMG))

1. Apps, All Apps, Create; Plattform macOS, Typ macOS app (DMG); wählen Sie Maxiful-arm64.dmg, heruntergeladen aus Ihrem Maxiful-Konto und mit seiner SHA-256-Prüfsumme abgeglichen. Die Macs benötigen den Intune-Verwaltungsagenten für macOS.
2. App information: Fügen Sie ein Logo hinzu, damit die App in Company Portal mit ihrem Symbol erscheint. Requirements: Minimum Operating System macOS 13.
3. Detection rules: Included apps ai.maxiful.desktop und ihre Version. Ignore app version Nein, damit jede hochgeladene Version installiert wird. Setzen Sie außerdem AutoUpdate auf 0 (siehe Verwaltete Einstellungen): Sie installieren jede Version über Intune, und Maxiful sucht selbst nach keiner.
4. Assignments: Required (wird in /Applications installiert), Available in Company Portal oder Uninstall.

Intune benötigt Festplattenvollzugriff, um eine DMG-App zu aktualisieren oder zu entfernen, und fordert ihn unter macOS 13 und neuer an, wenn die App zugewiesen wird. Für eine neue Version laden Sie deren Disk-Image in dieselbe App hoch: Zuweisungen mit Required aktualisieren sich von selbst, bei Available wählt jede Person in Company Portal Reinstall.

Jamf Pro

Jamf Pro verteilt Pakete von seinen Verteilungspunkten. Erstellen Sie mit Jamf Composer eines, das /Applications/Maxiful.app enthält:

1. Kopieren Sie auf einem Mac Maxiful.app aus dem Disk-Image nach /Applications. Ziehen Sie in Composer /Applications/Maxiful.app aus dem Finder in die Liste Sources, damit es seinen Platz in /Applications behält, und erstellen Sie aus dieser Quelle ein Paket.
2. Fügen Sie das Paket einem Verteilungspunkt und Jamf Pro hinzu.
3. Legen Sie unter Computers, Policies eine neue Richtlinie an. Legen Sie unter General Auslöser und Ausführungshäufigkeit fest; fügen Sie in der Payload Packages das Paket mit der Aktion Install hinzu und wählen Sie den Verteilungspunkt.
4. Wählen Sie auf dem Tab Scope die Computer aus, oder stellen Sie die Richtlinie in Self Service bereit.
5. Erstellen Sie für jede neue Version ihr Paket auf dieselbe Weise, verteilen Sie es mit einer Richtlinie und setzen Sie AutoUpdate auf 0 (siehe Verwaltete Einstellungen), damit Maxiful selbst nach keiner sucht.

Diese Schritte folgen der Dokumentation von Microsoft und Jamf und wurden nicht in einem Intune- oder Jamf-Mandanten ausgeführt. Verhält sich Ihr Mandant anders, schreiben Sie uns an [email protected].

Das Anmeldeobjekt des Gateways

Das Gateway der Assistenten läuft als eigener LaunchAgent jeder Person, mit dem Label ai.openclaw.<name>. Unter macOS 13 oder neuer genehmigt eine Service-Management-Payload (verwaltete Anmeldeobjekte) mit dem Regeltyp Label prefix und dem Wert ai.openclaw. es automatisch.

Erster Start: was jede Person tut

Nach einer unbeaufsichtigten Installation oder der Kopie Ihres MDM in /Applications ist Maxiful bereit zum Öffnen. Beim ersten Start bittet es jede Person um diese Schritte, unter Windows wie auf dem Mac; die IT kann sie nicht für eine Person erledigen.

• Jede Person meldet sich mit ihrer eigenen E-Mail-Adresse an: Maxiful schickt einen Anmeldelink per E-Mail, und der Link öffnet die App. Hat der Inhaber des Arbeitsbereichs Single Sign-on für die E-Mail-Domain Ihrer Organisation eingerichtet, kann die Person stattdessen Mit Ihrem Arbeitskonto fortfahren wählen; das öffnet die Anmeldung Ihres Identitätsanbieters (Microsoft Entra ID, Google Workspace, Okta, ein anderer OpenID-Connect-Anbieter oder ein SAML-2.0-Anbieter) im Browser. Ist Enforce single sign-on aktiviert, übergibt auch ein per E-Mail geschickter Link an Ihren Anbieter.
• Wer einen neuen Arbeitsbereich einrichtet, gibt den Einrichtungscode aus seinem Maxiful-Konto ein. Ein Code funktioniert auf dem ersten Computer, der ihn verwendet.
• Eine eingeladene Kollegin oder ein eingeladener Kollege tritt stattdessen dem Arbeitsbereich bei, ebenso eine Person aus Ihren verifizierten Domains, die sich über Ihren Anbieter anmeldet, solange beim Inhaber Add people to my workspace when they sign in aktiviert ist. Jedes neue Gerät einer Kollegin oder eines Kollegen wartet, bis der Inhaber des Arbeitsbereichs es auf der Seite Team unter Personen zulässt.

Danach installiert die Einrichtung Node.js und die Laufzeitumgebung für diese Person und startet das Team. Dafür braucht sie die unten aufgeführten Netzwerk-Hosts.

Auf einem Mac: die Berechtigungen, die macOS abfragt

Maxiful fragt macOS erst dann nach einer Berechtigung, wenn eine Funktion sie zum ersten Mal braucht, und macOS zeigt seine eigene Abfrage:

• Mitteilungen, wenn Maxiful zum ersten Mal eine anzeigen will, etwa eine Antwort, die eintrifft, während sein Fenster im Hintergrund ist.
• Mikrofon und Spracherkennung, wenn eine Person zum ersten Mal eine Nachricht diktiert oder mit einem Assistenten spricht.
• Bedienungshilfen, Bildschirmaufnahme und Eingabeüberwachung, wenn der Inhaber den Assistenten zum ersten Mal erlaubt, den Computer zu bedienen.

Wo das Team läuft, und ein dauerhaft eingeschalteter Computer

Das Team läuft auf dem Computer des Inhabers: Die Assistenten, ihr Gedächtnis und ihre Unterhaltungen liegen in dessen Installation, und Kolleginnen und Kollegen verbinden sich von ihren eigenen Geräten damit. Soll das Team rund um die Uhr antworten, läuft die Installation des Inhabers auf einem Computer, der eingeschaltet bleibt:

• Ein Mac, an dem das macOS-Konto des Inhabers angemeldet ist. Das Gateway ist der eigene LaunchAgent dieses Kontos und startet, wenn sich das Konto anmeldet. Melden Sie das Konto also nach jedem Neustart wieder an, oder aktivieren Sie die automatische Anmeldung, die macOS bei aktiviertem FileVault nicht anbietet.
• Ein Windows-PC, der sich selbst am Windows-Konto des Inhabers anmeldet (die automatische Anmeldung von Windows). Maxiful startet das Gateway, wenn sich das Konto anmeldet; ein Start beim Hochfahren bräuchte eine Installation mit erhöhten Rechten, die Maxiful nie ausführt.

Die KI-Modelle des Kontos antworten immer nur auf einem Computer. Nutzt der Inhaber Maxiful auch auf einem Laptop und wählt dort Maxiful hier nutzen, antworten die Assistenten auf dem dauerhaft eingeschalteten Computer nicht mehr, bis der Inhaber es dort wieder wählt.

Um jedes Update auf diesem Computer selbst zu installieren, setzen Sie AutoUpdate auf 0 (siehe Verwaltete Einstellungen). Die Sicherungen von Maxiful sind Archive, die es auf demselben Computer ablegt, im Benutzerordner des Inhabers unter <name>-shared/backups; kopieren Sie sie mit Ihren eigenen Sicherungswerkzeugen vom Computer.

Was es auf dem Computer ablegt

<name> steht unten für den eigenen Kurznamen der Installation.

Unter Windows

Prozesse unter Windows

Befehle, die die Assistenten ausführen (eine Shell, PowerShell, Skripte), laufen als untergeordnete Prozesse des Gateways, standardmäßig in der eigenen Sandbox jedes Assistenten. Das Gateway lauscht auf 127.0.0.1 an einem Port ab 18800 (18800 für die erste Installation), Maxiful.exe an weiteren Loopback-Ports; auf unserem Test-PC lauschte nichts von Maxiful an einer anderen Adresse.

Auf einem Mac

Prozesse auf einem Mac

Die Befehle, die die Assistenten ausführen, sind untergeordnete Prozesse des Gateways, standardmäßig in der eigenen Sandbox jedes Assistenten. Das Gateway lauscht auf 127.0.0.1 an einem Port ab 18800, wie unter Windows.

Freizugebende Netzwerk-Hosts

Jede Verbindung wird vom Computer nach außen aufgebaut, über HTTPS (das Relay nutzt zusätzlich WSS). Von unserer Seite aus kann keine Verbindung zum Computer geöffnet werden.

Für die Einrichtung und die tägliche Nutzung

Nur wenn eine Funktion genutzt wird

Wie Sicherheitstools es sehen

Unter Windows

Signatur. Jedes Installationsprogramm, das wir veröffentlichen, ist mit einem Zertifikat signiert, das auf PolyTrader Ltd ausgestellt ist (der Antragsteller des Zertifikats lautet CN=Polytrader LTD), das Unternehmen, das Maxiful vor der Maxiful AB veröffentlicht hat; dasselbe gilt für die installierte Maxiful.exe. Die Signatur einer Datei lesen Sie mit Get-AuthenticodeSignature aus; einen Download vergleichen Sie mit der Prüfsumme auf Ihrer Einrichtungsseite (wie das geht, zeigt die Hilfe).

Unsignierte Teile. Die node.exe der Laufzeitumgebung und die chrome.exe der Assistenten tragen keine Authenticode-Signatur; Maxiful prüft jede vor der Verwendung gegen einen hinterlegten SHA-256-Hash. Eine Positivliste für sie richtet sich nach dem Pfad.

Was auf die Positivliste gehört: die Prozesse %LOCALAPPDATA%\Maxiful\Maxiful.exe (signiert) und gateway-launcher.exe, %LOCALAPPDATA%\Lanoko\node-v24.21.0\node.exe und %USERPROFILE%\.openclaw-*\browser\chromium\chrome-win64\chrome.exe; die vier oben genannten Defender-Ordner; die oben genannten Netzwerk-Hosts.

Auf einem Mac

Signatur. Maxiful.app ist mit der Developer ID des Teams 467H9AXX55 signiert und von Apple notarisiert, sodass Gatekeeper die App ohne manuelle Freigabe öffnet; eine Positivliste kann sie über ihre Code Requirement angeben (unter Mac: Intune und Jamf Pro). Ihre Signatur lesen Sie mit codesign -dvv /Applications/Maxiful.app aus.

Die Teile der Laufzeitumgebung. Das node des Gateways ist das offizielle Node.js für macOS, der Browser der Assistenten ist Chrome for Testing von Google; beide lädt Maxiful herunter und prüft sie vor der Verwendung gegen einen hinterlegten SHA-256-Hash. Eine Positivliste für sie richtet sich nach dem Pfad.

Was auf die Positivliste gehört: /Applications/Maxiful.app (Team 467H9AXX55), ~/Library/Application Support/Lanoko/node-v24.21.0/bin/node und der Browser unter ~/.openclaw-*/browser/chromium; die oben genannten Netzwerk-Hosts.

Auf beiden Systemen

Verhalten. Ein Node.js-Prozess pro Benutzer startet bei der Anmeldung, baut ausgehende HTTPS-Verbindungen auf, führt Befehle für die Assistenten aus und kopiert bei jedem Start die Dateien seiner Plugins, schreibt also viele Dateien im Ordner der Installation.

CrowdStrike. CrowdStrike veröffentlicht für Falcon for IT ein Content Pack „Search & Removal“ für OpenClaw. Es sucht nach laufenden OpenClaw-Prozessen, globalen npm-Installationen, OpenClaw-Binärdateien in gängigen Pfaden, Diensten sowie Status- und Konfigurationsordnern in Benutzerordnern. Sein Entfernungs-Workflow stoppt Dienste und Prozesse, deinstalliert npm-Pakete, löscht Installations- und Konfigurationsordner und entfernt Dienstregistrierungen, darunter geplante Aufgaben und launchd-Plists. Das Gateway von Maxiful ist ein laufender OpenClaw-Prozess mit seinem Status in %USERPROFILE%\.openclaw-<name> unter Windows und ~/.openclaw-<name> auf einem Mac, daher kann das Pack es finden. Auf einem Computer mit Maxiful ausgeführt, könnte die Entfernung das Team stoppen und die Konfiguration und das Gedächtnis der Assistenten löschen. Nutzen Sie die Suche, um zu sehen, wo Maxiful läuft, und halten Sie die Entfernung von den Computern fern, auf denen Ihre Organisation Maxiful nutzt.

Ob Sie Einträge auf die Positivliste setzen, entscheidet Ihr Sicherheitsteam. Diese Prozesse führen Befehle für die Assistenten aus, standardmäßig in der Sandbox jedes Assistenten, mit den Freigaben, die auf unserer Seite Sicherheit beschrieben sind.

Verwaltete Einstellungen

Maxiful liest verwaltete Einstellungen ab Version 0.9.60, unter Windows und auf einem Mac; frühere Versionen lesen sie nicht.

Eine IT-Abteilung kann einige Einstellungen von Maxiful zentral festlegen: unter Windows mit Gruppenrichtlinien oder Intune, auf einem Mac mit einem Konfigurationsprofil aus Jamf, Intune oder einem anderen Geräteverwaltungstool. Maxiful liest sie jedes Mal, wenn es sie verwendet; eine Änderung an einem der Schalter des Inhabers erreicht die Assistenten beim nächsten Start von Maxiful, und bis dahin weisen die Einstellungen darauf hin. Eine von Ihrer Organisation festgelegte Einstellung erscheint in den Einstellungen von Maxiful als Von Ihrer Organisation festgelegt und kann dort nicht geändert werden; alles, was Sie festlegen, listen die Einstellungen oben unter Zugriff auf. Ohne Richtlinie arbeitet Maxiful wie auf einem Computer, den keine IT-Abteilung verwaltet.

Die Schalter des Inhabers

Neben einer Zahl liest Maxiful die Texte 0, 1, true und false als 0 oder 1. Ein Wert, den es nicht lesen kann (etwa anderer Text, wo 0 oder 1 hingehört, ein anderer Registrierungstyp wie REG_QWORD, REG_EXPAND_SZ oder REG_BINARY, oder ein unbekannter Name unter OwnerSwitches), wird nicht angewendet, und die Einstellungen von Maxiful nennen ihn unter Von Ihrer Organisation festgelegt. Unter Windows gilt das für jeden Wert unter dem Richtlinienschlüssel und seinem Unterschlüssel, unter HKLM wie unter HKCU.

Unter Windows

Maxiful liest HKLM\SOFTWARE\Policies\Maxiful, dann HKCU\SOFTWARE\Policies\Maxiful; ein Wert unter HKLM hat Vorrang vor demselben Wert unter HKCU. Workspace ist ein REG_SZ und AutoUpdate ein REG_DWORD; jeder Schalter des Inhabers ist ein REG_DWORD unter dem Unterschlüssel OwnerSwitches, benannt wie in der Tabelle. Dieses ADMX- und ADML-Paar schreibt genau diese Werte: Speichern Sie die Dateien als maxiful.admx und en-US\maxiful.adml in Ihrem Speicher für Richtliniendefinitionen, oder importieren Sie sie in Intune als importierte administrative Vorlagen.

<?xml version="1.0" encoding="utf-8"?>
<policyDefinitions xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" revision="1.0" schemaVersion="1.0" xmlns="http://schemas.microsoft.com/GroupPolicy/2006/07/PolicyDefinitions">
  <policyNamespaces>
    <target prefix="maxiful" namespace="Maxiful.Policies" />
  </policyNamespaces>
  <resources minRequiredRevision="1.0" />
  <supportedOn>
    <definitions>
      <definition name="SUPPORTED_Maxiful" displayName="$(string.SUPPORTED_Maxiful)" />
    </definitions>
  </supportedOn>
  <categories>
    <category name="Maxiful" displayName="$(string.Maxiful)" />
    <category name="OwnerSwitches" displayName="$(string.OwnerSwitches)">
      <parentCategory ref="Maxiful" />
    </category>
  </categories>
  <policies>
    <policy name="Workspace" class="Both" displayName="$(string.Workspace)" explainText="$(string.Workspace_Explain)" presentation="$(presentation.Workspace)" key="SOFTWARE\Policies\Maxiful">
      <parentCategory ref="Maxiful" />
      <supportedOn ref="SUPPORTED_Maxiful" />
      <elements>
        <text id="Workspace" valueName="Workspace" maxLength="128" required="true" />
      </elements>
    </policy>
    <policy name="AutoUpdate" class="Both" displayName="$(string.AutoUpdate)" explainText="$(string.AutoUpdate_Explain)" key="SOFTWARE\Policies\Maxiful" valueName="AutoUpdate">
      <parentCategory ref="Maxiful" />
      <supportedOn ref="SUPPORTED_Maxiful" />
      <enabledValue><decimal value="1" /></enabledValue>
      <disabledValue><decimal value="0" /></disabledValue>
    </policy>
    <policy name="OwnerSwitch_PrivateNetwork" class="Both" displayName="$(string.OwnerSwitch_PrivateNetwork)" explainText="$(string.OwnerSwitch_PrivateNetwork_Explain)" key="SOFTWARE\Policies\Maxiful\OwnerSwitches" valueName="private-network">
      <parentCategory ref="OwnerSwitches" />
      <supportedOn ref="SUPPORTED_Maxiful" />
      <enabledValue><decimal value="1" /></enabledValue>
      <disabledValue><decimal value="0" /></disabledValue>
    </policy>
    <policy name="OwnerSwitch_PaneReach" class="Both" displayName="$(string.OwnerSwitch_PaneReach)" explainText="$(string.OwnerSwitch_PaneReach_Explain)" key="SOFTWARE\Policies\Maxiful\OwnerSwitches" valueName="pane-reach">
      <parentCategory ref="OwnerSwitches" />
      <supportedOn ref="SUPPORTED_Maxiful" />
      <enabledValue><decimal value="1" /></enabledValue>
      <disabledValue><decimal value="0" /></disabledValue>
    </policy>
    <policy name="OwnerSwitch_ClaudeCodeBackground" class="Both" displayName="$(string.OwnerSwitch_ClaudeCodeBackground)" explainText="$(string.OwnerSwitch_ClaudeCodeBackground_Explain)" key="SOFTWARE\Policies\Maxiful\OwnerSwitches" valueName="claude-code-background">
      <parentCategory ref="OwnerSwitches" />
      <supportedOn ref="SUPPORTED_Maxiful" />
      <enabledValue><decimal value="1" /></enabledValue>
      <disabledValue><decimal value="0" /></disabledValue>
    </policy>
    <policy name="OwnerSwitch_SessionReach" class="Both" displayName="$(string.OwnerSwitch_SessionReach)" explainText="$(string.OwnerSwitch_SessionReach_Explain)" key="SOFTWARE\Policies\Maxiful\OwnerSwitches" valueName="session-reach">
      <parentCategory ref="OwnerSwitches" />
      <supportedOn ref="SUPPORTED_Maxiful" />
      <enabledValue><decimal value="1" /></enabledValue>
      <disabledValue><decimal value="0" /></disabledValue>
    </policy>
    <policy name="OwnerSwitch_ModelCosts" class="Both" displayName="$(string.OwnerSwitch_ModelCosts)" explainText="$(string.OwnerSwitch_ModelCosts_Explain)" key="SOFTWARE\Policies\Maxiful\OwnerSwitches" valueName="model-costs">
      <parentCategory ref="OwnerSwitches" />
      <supportedOn ref="SUPPORTED_Maxiful" />
      <enabledValue><decimal value="1" /></enabledValue>
      <disabledValue><decimal value="0" /></disabledValue>
    </policy>
    <policy name="OwnerSwitch_NextPrompt" class="Both" displayName="$(string.OwnerSwitch_NextPrompt)" explainText="$(string.OwnerSwitch_NextPrompt_Explain)" key="SOFTWARE\Policies\Maxiful\OwnerSwitches" valueName="next-prompt">
      <parentCategory ref="OwnerSwitches" />
      <supportedOn ref="SUPPORTED_Maxiful" />
      <enabledValue><decimal value="1" /></enabledValue>
      <disabledValue><decimal value="0" /></disabledValue>
    </policy>
    <policy name="OwnerSwitch_CheckinWholeConversation" class="Both" displayName="$(string.OwnerSwitch_CheckinWholeConversation)" explainText="$(string.OwnerSwitch_CheckinWholeConversation_Explain)" key="SOFTWARE\Policies\Maxiful\OwnerSwitches" valueName="checkin-whole-conversation">
      <parentCategory ref="OwnerSwitches" />
      <supportedOn ref="SUPPORTED_Maxiful" />
      <enabledValue><decimal value="1" /></enabledValue>
      <disabledValue><decimal value="0" /></disabledValue>
    </policy>
    <policy name="OwnerSwitch_VoiceNotes" class="Both" displayName="$(string.OwnerSwitch_VoiceNotes)" explainText="$(string.OwnerSwitch_VoiceNotes_Explain)" key="SOFTWARE\Policies\Maxiful\OwnerSwitches" valueName="voice-notes">
      <parentCategory ref="OwnerSwitches" />
      <supportedOn ref="SUPPORTED_Maxiful" />
      <enabledValue><decimal value="1" /></enabledValue>
      <disabledValue><decimal value="0" /></disabledValue>
    </policy>
  </policies>
</policyDefinitions>

<?xml version="1.0" encoding="utf-8"?>
<policyDefinitionResources xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" revision="1.0" schemaVersion="1.0" xmlns="http://schemas.microsoft.com/GroupPolicy/2006/07/PolicyDefinitions">
  <displayName>Maxiful</displayName>
  <description>The settings an IT department sets for Maxiful.</description>
  <resources>
    <stringTable>
      <string id="Maxiful">Maxiful</string>
      <string id="OwnerSwitches">The owner's switches</string>
      <string id="SUPPORTED_Maxiful">Maxiful for Windows</string>
      <string id="Workspace">Open only this workspace</string>
      <string id="Workspace_Explain">Maxiful on this computer opens only the workspace with this ID. The workspace's owner finds the ID in Maxiful's settings, under Access. A person who is not a member of the workspace is asked to join it by invitation, and no other workspace opens on this computer.</string>
      <string id="AutoUpdate">Let Maxiful update itself</string>
      <string id="AutoUpdate_Explain">Disabled: Maxiful does not look for, download or install updates, and you install each new version yourself. Enabled or not configured: Maxiful updates itself.</string>
      <string id="OwnerSwitch_PrivateNetwork">Let assistants open pages on this computer and my network</string>
      <string id="OwnerSwitch_PrivateNetwork_Explain">Enabled: on. Disabled: off. Not configured: the owner decides, in Maxiful's settings under Access.</string>
      <string id="OwnerSwitch_PaneReach">Let assistants' panes run code and reach outside Maxiful</string>
      <string id="OwnerSwitch_PaneReach_Explain">Enabled: on. Disabled: off. Not configured: the owner decides, in Maxiful's settings under Access.</string>
      <string id="OwnerSwitch_ClaudeCodeBackground">Let Claude Code keep long commands running in the background</string>
      <string id="OwnerSwitch_ClaudeCodeBackground_Explain">Enabled: on. Disabled: off. Not configured: the owner decides, in Maxiful's settings under Access.</string>
      <string id="OwnerSwitch_SessionReach">Assistants can look through all conversations on this computer (so they learn from past work)</string>
      <string id="OwnerSwitch_SessionReach_Explain">Enabled: on. Disabled: off. Not configured: the owner decides, in Maxiful's settings under Access.</string>
      <string id="OwnerSwitch_ModelCosts">Show model costs in dollars</string>
      <string id="OwnerSwitch_ModelCosts_Explain">Enabled: on. Disabled: off. Not configured: the owner decides, in Maxiful's settings under Advanced.</string>
      <string id="OwnerSwitch_NextPrompt">Suggest my next message</string>
      <string id="OwnerSwitch_NextPrompt_Explain">Enabled: on. Disabled: off. Not configured: the owner decides, in Maxiful's settings under Advanced.</string>
      <string id="OwnerSwitch_CheckinWholeConversation">Check-ins read the whole conversation</string>
      <string id="OwnerSwitch_CheckinWholeConversation_Explain">Enabled: on. Disabled: off. Not configured: the owner decides, in Maxiful's settings under Advanced.</string>
      <string id="OwnerSwitch_VoiceNotes">Transcribe voice notes</string>
      <string id="OwnerSwitch_VoiceNotes_Explain">Enabled: on. Disabled: off. Not configured: the owner decides, in Maxiful's settings under Voice and audio.</string>
    </stringTable>
    <presentationTable>
      <presentation id="Workspace">
        <textBox refId="Workspace">
          <label>Workspace ID</label>
        </textBox>
      </presentation>
    </presentationTable>
  </resources>
</policyDefinitionResources>

Auf einem Mac

Maxiful liest die verwalteten Einstellungen seiner eigenen Domain ai.maxiful.desktop, die ein Konfigurationsprofil als erzwungene Einstellungen installiert (Apples Payload für verwaltete Einstellungen, com.apple.ManagedClient.preferences). Es zählt nur ein Wert, den das Profil setzt: Ein auf anderem Weg geschriebener Wert, etwa mit defaults write, wird nicht gelesen. Workspace ist ein String, AutoUpdate ein Integer (oder ein Boolean) und OwnerSwitches ein Dictionary mit den Namen aus der Tabelle. Dieses Beispielprofil beschränkt den Computer auf einen Arbeitsbereich, überlässt Ihnen die Updates, schaltet die Schalter für das Terminal und das private Netzwerk aus und zeigt die Modellkosten an; ersetzen Sie die Arbeitsbereichs-ID sowie die Identifier und UUIDs durch Ihre eigenen.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
  <key>PayloadType</key><string>Configuration</string>
  <key>PayloadVersion</key><integer>1</integer>
  <key>PayloadIdentifier</key><string>com.example.maxiful</string>
  <key>PayloadUUID</key><string>00000000-0000-0000-0000-000000000001</string>
  <key>PayloadDisplayName</key><string>Maxiful</string>
  <key>PayloadScope</key><string>System</string>
  <key>PayloadContent</key>
  <array>
    <dict>
      <key>PayloadType</key><string>com.apple.ManagedClient.preferences</string>
      <key>PayloadVersion</key><integer>1</integer>
      <key>PayloadIdentifier</key><string>com.example.maxiful.settings</string>
      <key>PayloadUUID</key><string>00000000-0000-0000-0000-000000000002</string>
      <key>PayloadDisplayName</key><string>Maxiful settings</string>
      <key>PayloadContent</key>
      <dict>
        <key>ai.maxiful.desktop</key>
        <dict>
          <key>Forced</key>
          <array>
            <dict>
              <key>mcx_preference_settings</key>
              <dict>
                <key>Workspace</key><string>YOUR-WORKSPACE-ID</string>
                <key>AutoUpdate</key><integer>0</integer>
                <key>OwnerSwitches</key>
                <dict>
                  <key>terminal</key><false/>
                  <key>private-network</key><false/>
                  <key>model-costs</key><true/>
                </dict>
              </dict>
            </dict>
          </array>
        </dict>
      </dict>
    </dict>
  </array>
</dict>
</plist>

Updates

Maxiful sucht beim Start und alle sechs Stunden auf maxiful.ai nach einer neuen Version. Die Person wählt Aktualisieren und neu starten oder Später. Eine neue Version von Maxiful kann eine neuere OpenClaw-Laufzeitumgebung mitbringen; Maxiful aktualisiert die Laufzeitumgebung dann für diese Person mit npm, von registry.npmjs.org.

Wenn Sie jede neue Version selbst installieren und Maxiful nicht danach suchen lassen möchten, setzen Sie unter Windows wie auf einem Mac AutoUpdate auf 0 (siehe Verwaltete Einstellungen): Maxiful weist dann darauf hin, dass Ihre Organisation die Updates installiert.

Unter Windows

Eine neue Version ist ein signiertes Installationsprogramm, das vor der Ausführung gegen einen in die App eingebauten Schlüssel geprüft wird; das Update führt das Installationsprogramm im passiven Modus aus. Sie können jedes neue Installationsprogramm auch selbst mit /S verteilen, wie oben beschrieben.

Auf einem Mac

Eine neue Version ist ein signiertes Archiv der App, das vor der Verwendung gegen einen in die App eingebauten Schlüssel geprüft wird, und sie ersetzt die App an Ort und Stelle, wo das Konto der Person diese Kopie ändern darf.

Eine Kopie, die die Person nicht ändern kann. Wenn /Applications/Maxiful.app dem System gehört (Eigentümer ist root) und das Konto der Person sie nicht ändern kann, aktualisiert Maxiful sie nicht selbst: Es lädt nichts herunter, fragt nie nach einem Administratorkennwort, bietet kein Aktualisieren und neu starten an und weist dort, wo es Updates anzeigt, darauf hin, dass eine neuere Version verfügbar ist und Ihre Organisation die Updates für diesen Mac installiert. Verteilen Sie jede neue Version mit Ihrem MDM: In Intune laden Sie das Disk-Image in dieselbe App hoch; in Jamf Pro erstellen Sie das Paket mit Composer und verteilen es wie oben beschrieben. Eine Kopie, die ein Administratorkonto ändern kann, aktualisiert sich für dieses Konto selbst, wie auf jedem Mac.

Maxiful entfernen

Alles, durch die Person selbst: in den Einstellungen von Maxiful Maxiful von diesem Computer entfernen. Das beendet den Hintergrundprozess und das, was ihn bei der Anmeldung startet (unter Windows seine geplanten Aufgaben, auf einem Mac seinen LaunchAgent), löscht die Daten und Anmeldeinformationen der Installation und entfernt die von ihr installierte Node.js-Laufzeitumgebung, sofern keine andere Installation auf dem Computer sie noch nutzt. Unter Windows startet danach beim Beenden von Maxiful das Deinstallationsprogramm; auf einem Mac wird die App in den Papierkorb verschoben, soweit das Benutzerkonto der Person das darf. Die eigenen Dokumente der Person bleiben unberührt.

Unter Windows

Alles, im Hintergrund: %LOCALAPPDATA%\Maxiful\uninstall.exe /S /REMOVEALL führt Maxiful von diesem Computer entfernen für die Person aus, der die Installation gehört, ohne dass jemand am Bildschirm sitzt, und entfernt anschließend die App. Das lässt sich nicht rückgängig machen. Was entfernt wurde und was nicht entfernt werden konnte, steht in removal-report.json unter %LOCALAPPDATA%\ai.maxiful.desktop\logs.

Ohne /REMOVEALL: %LOCALAPPDATA%\Maxiful\uninstall.exe /S, das auch das Intune-Rezept oben ausführt, entfernt die App, ihre Verknüpfungen, die Aufgabe, die das Team am Laufen hält, und die Defender-Ausschlüsse, die Maxiful hinzugefügt hat (Windows zeigt dafür möglicherweise wieder seine Abfrage an). Es beendet außerdem den Hintergrundprozess der Assistenten und entfernt, was ihn bei der Anmeldung startet; die Laufzeitumgebung und die Daten der Installation bleiben erhalten. installer.log (neben den anderen Protokollen der App) zeigt, ob danach noch etwas weiterlief.

Auf einem Mac

Führen Sie zuerst für jede Person Maxiful von diesem Computer entfernen aus: Wird nur die App entfernt, läuft das Hintergrund-Gateway dieser Person mit allem, was es enthält, weiter. Entfernen Sie danach /Applications/Maxiful.app mit Ihrem MDM, zum Beispiel mit einer Intune-Zuweisung vom Typ Uninstall.