Triển khai Maxiful cho cả tổ chức

Cách cài đặt

Trên cả hai nền tảng, Maxiful là ứng dụng máy tính mà mỗi người tự thiết lập cho mình. Ở lần khởi động đầu tiên, ứng dụng thiết lập môi trường chạy của trợ lý cho người đó: OpenClaw, môi trường chạy tác tử mã nguồn mở, trên một bản Node.js mà Maxiful cài cho người đó. Một tiến trình nền của môi trường chạy này, gọi là gateway, vận hành các trợ lý và tự khởi động lại mỗi lần người đó đăng nhập vào máy.

Trên Windows

Cài theo từng người, không cần quyền quản trị. Trình cài đặt Maxiful-x64-setup.exe chạy dưới tài khoản người đang đăng nhập Windows và cài vào %LOCALAPPDATA%\Maxiful của người đó. Ứng dụng xuất hiện trong danh sách ứng dụng đã cài của người đó, nên mỗi người dùng Maxiful trên một máy có bản cài riêng.

Windows 10 trở lên, 64-bit. Cửa sổ của Maxiful được hiển thị bằng Microsoft Edge WebView2. Nếu thiếu WebView2 Runtime, trình cài đặt tải trình cài WebView2 chính thức của Microsoft từ go.microsoft.com và chạy nó ở chế độ im lặng.

Trên Mac

Một ứng dụng trong /Applications, thiết lập theo từng người. Maxiful cho Mac được phân phối dưới dạng ảnh đĩa Maxiful-arm64.dmg, bên trong có Maxiful.app, được ký bằng Apple Developer ID và được Apple công chứng (chi tiết chữ ký nằm ở mục Mac: Intune và Jamf Pro). Khi được sao chép vào /Applications, do người dùng hoặc hệ thống quản lý thiết bị của bạn thực hiện, đây là một ứng dụng dùng chung cho mọi người trên máy Mac; mỗi người mở ứng dụng sẽ đăng nhập và có bản cài riêng, với trợ lý và dữ liệu nằm trong thư mục người dùng của chính họ.

macOS 13 trở lên, trên Apple silicon hoặc Intel. Ứng dụng là một bản dựng duy nhất cho cả hai.

Windows: cài đặt im lặng

Maxiful-x64-setup.exe /S

Mã thoát. 0 nghĩa là cài đặt đã hoàn tất, mọi mã khác nghĩa là chưa. Mã 2 có thể do nhiều nguyên nhân; một trong số đó là một chương trình khác giữ một tệp của Maxiful suốt 30 giây, khi đó không có gì bị thay đổi. Trình cài đặt sẽ đóng Maxiful đang chạy của người dùng trước khi ghi.

Cài đè lên bản đã cài. Chạy trình cài đặt mới hơn theo cùng cách sẽ cập nhật tại chỗ, trợ lý và dữ liệu của người dùng được giữ nguyên. Chúng tôi đã kiểm tra việc này trên PC thử nghiệm Windows ngày 26 tháng 10 năm 2026, từ 0.9.54 lên bản đã ký 0.9.58.

Thư mục của Microsoft Defender

Các thư mục làm việc của Maxiful thay đổi hàng nghìn tệp mỗi lần nhóm khởi động, nên Maxiful yêu cầu Windows cho Microsoft Defender bỏ qua bốn thư mục trong số đó. Khi không có tham số /DEFENDER, quá trình cài đặt sẽ hỏi sau khi ghi tệp: Windows hiện hộp thoại cấp quyền của chính nó, và với người không có quyền quản trị thì sẽ yêu cầu thông tin đăng nhập của quản trị viên. Nếu không ai trả lời, Windows tự đóng hộp thoại sau khoảng hai phút và quá trình cài đặt vẫn hoàn tất. Maxiful hỏi thêm một lần ở lần khởi động tiếp theo; nếu lần thứ hai vẫn không được trả lời thì coi như từ chối và không hỏi lại nữa.

Với /DEFENDER=managed hoặc /DEFENDER=off (đúng nguyên văn), không lần cài đặt, cập nhật hay khởi động nào hỏi Windows, và phần thiết lập của Maxiful ghi rằng bộ phận IT của bạn quản lý Microsoft Defender trên máy. Khi các thư mục được quét, mọi thứ vẫn hoạt động, chỉ là nhóm khởi động chậm hơn. Sau này người dùng vẫn có thể tự bật loại trừ trong thiết lập của Maxiful, tại Cho Defender bỏ qua thư mục làm việc của Maxiful, khi đó Windows sẽ được hỏi như trên.

Windows: Microsoft Intune (ứng dụng Win32)

Chúng tôi đã kiểm tra cài đặt im lặng và cập nhật đè lên bản đã cài trên PC thử nghiệm Windows của mình. Quy trình này dựa theo tài liệu ứng dụng Win32 của Microsoft và chưa được chạy trong một tenant Intune; nếu tenant của bạn hoạt động khác, hãy báo cho chúng tôi qua [email protected].

1. Tạo thư mục gói chứa Maxiful-x64-setup.exe, tải từ tài khoản Maxiful và đã đối chiếu SHA-256, cùng tệp uninstall.cmd, vì Intune không mở rộng biến môi trường trong lệnh gỡ cài đặt:

   @echo off
   "%LOCALAPPDATA%\Maxiful\uninstall.exe" /S _?=%LOCALAPPDATA%\Maxiful
   set rc=%ERRORLEVEL%
   del /q "%LOCALAPPDATA%\Maxiful\uninstall.exe"
   rmdir "%LOCALAPPDATA%\Maxiful"
   exit /b %rc%

   _?= khiến trình gỡ cài đặt chạy tại chỗ và hoàn tất trước khi script tiếp tục; hai dòng sau đó xóa chính trình gỡ cài đặt và thư mục trống. Để xóa cả trợ lý và dữ liệu của người dùng, hãy viết /S /REMOVEALL _?=%LOCALAPPDATA%\Maxiful ở dòng đầu tiên (xem Gỡ cài đặt).
2. Tạo tệp .intunewin bằng Win32 Content Prep Tool của Microsoft:

   IntuneWinAppUtil.exe -c C:\maxiful-package -s Maxiful-x64-setup.exe -o C:\maxiful-intunewin -q

3. Program: lệnh cài đặt Maxiful-x64-setup.exe /S /DEFENDER=managed nếu chính sách Defender của bạn đã thêm bốn thư mục ở trên, hoặc Maxiful-x64-setup.exe /S /DEFENDER=off để chúng được quét; lệnh gỡ cài đặt uninstall.cmd; hành vi cài đặt User; hành vi khởi động lại thiết bị No specific action; mã trả về mặc định.
4. Requirements: 64-bit, Windows 10 trở lên.
5. Detection rule: File, đường dẫn %LOCALAPPDATA%\Maxiful, tệp Maxiful.exe, phương thức File or folder exists.
6. Gán: Required hoặc Available, cho nhóm người dùng.

Intune mong đợi một quá trình cài đặt không hỏi gì. Có tham số /DEFENDER, quá trình cài đặt Maxiful không hỏi gì; không có tham số này, hộp thoại Defender của Windows là câu hỏi duy nhất có thể xuất hiện. Hãy đọc Lần khởi động đầu tiên trước khi gán rộng rãi.

Mac: Microsoft Intune và Jamf Pro

Hệ thống quản lý thiết bị của bạn cài Maxiful.app đã được công chứng vào /Applications, từ cùng ảnh đĩa mà mọi người tải về. Dưới đây là các giá trị nó yêu cầu.

Microsoft Intune (macOS app (DMG))

1. Apps, All Apps, Create; nền tảng macOS, loại macOS app (DMG); chọn Maxiful-arm64.dmg, tải từ tài khoản Maxiful và đã đối chiếu SHA-256. Các máy Mac cần có tác tử quản lý Intune cho macOS.
2. App information: thêm logo để ứng dụng hiện trong Company Portal kèm biểu tượng. Requirements: Minimum Operating System macOS 13.
3. Detection rules: Included apps ai.maxiful.desktop và phiên bản của nó. Ignore app version đặt No, để mỗi phiên bản bạn tải lên đều được cài. Đồng thời đặt AutoUpdate thành 0 (xem Thiết lập được quản lý): bạn cài mọi phiên bản qua Intune và Maxiful không tự tìm bản cập nhật.
4. Assignments: Required (cài vào /Applications), Available trong Company Portal, hoặc Uninstall.

Intune cần quyền truy cập toàn bộ ổ đĩa để cập nhật hoặc gỡ ứng dụng DMG, và sẽ yêu cầu quyền này trên macOS 13 trở lên khi ứng dụng được gán. Để triển khai phiên bản mới, tải ảnh đĩa của phiên bản đó lên cùng ứng dụng: các phép gán Required tự cập nhật, còn với Available thì mỗi người chọn Reinstall trong Company Portal.

Jamf Pro

Jamf Pro triển khai gói từ các điểm phân phối của nó. Hãy tạo một gói chứa /Applications/Maxiful.app bằng Jamf Composer:

1. Trên một máy Mac, sao chép Maxiful.app từ ảnh đĩa vào /Applications. Trong Composer, kéo /Applications/Maxiful.app từ Finder vào danh sách Sources để giữ nguyên vị trí trong /Applications, rồi tạo gói từ nguồn đó.
2. Thêm gói vào một điểm phân phối và vào Jamf Pro.
3. Trong Computers, Policies, tạo một chính sách mới. Ở General, đặt trigger và tần suất thực thi; trong payload Packages, thêm gói với hành động Install và chọn điểm phân phối.
4. Ở thẻ Scope, chọn các máy tính; hoặc cung cấp chính sách trong Self Service.
5. Với mỗi phiên bản mới, tạo gói theo cùng cách và triển khai bằng một chính sách, đồng thời đặt AutoUpdate thành 0 (xem Thiết lập được quản lý) để Maxiful không tự tìm bản cập nhật.

Các bước này dựa theo tài liệu của Microsoft và Jamf và chưa được chạy trong một tenant Intune hay Jamf; nếu hệ thống của bạn hoạt động khác, hãy báo cho chúng tôi qua [email protected].

Mục đăng nhập của gateway

Gateway của trợ lý chạy dưới dạng LaunchAgent riêng của mỗi người, với nhãn ai.openclaw.<name>. Trên macOS 13 trở lên, một payload Service Management (mục đăng nhập được quản lý) với loại quy tắc Label prefix và giá trị ai.openclaw. sẽ tự động phê duyệt nó.

Lần khởi động đầu tiên: mỗi người cần làm gì

Sau khi cài đặt im lặng, hoặc khi MDM đã sao chép ứng dụng vào /Applications, Maxiful sẵn sàng để mở. Lần khởi động đầu tiên yêu cầu mỗi người thực hiện các bước sau, trên Windows cũng như trên Mac; IT không thể làm thay.

• Mỗi người đăng nhập bằng địa chỉ email của mình: Maxiful gửi một liên kết đăng nhập qua email, và liên kết đó mở ứng dụng. Nếu chủ không gian làm việc đã thiết lập đăng nhập một lần cho tên miền email của tổ chức, người dùng có thể chọn Tiếp tục bằng tài khoản công việc, thao tác này mở trang đăng nhập của nhà cung cấp danh tính (Microsoft Entra ID, Google Workspace, Okta, một nhà cung cấp OpenID Connect khác hoặc một nhà cung cấp SAML 2.0) trong trình duyệt; khi bật Enforce single sign-on, liên kết gửi qua email cũng chuyển sang nhà cung cấp của bạn.
• Người tạo không gian làm việc mới nhập mã thiết lập từ tài khoản Maxiful của họ. Mỗi mã dùng được trên máy tính đầu tiên sử dụng nó.
• Đồng nghiệp được mời vào một không gian làm việc sẽ tham gia không gian đó, và người thuộc tên miền đã xác minh của bạn đăng nhập qua nhà cung cấp danh tính cũng vậy khi chủ không gian bật Add people to my workspace when they sign in. Mỗi thiết bị mới của đồng nghiệp phải chờ đến khi chủ không gian làm việc cho phép trên trang Nhóm, mục Mọi người.

Sau đó quá trình thiết lập cài Node.js và môi trường chạy cho người đó rồi khởi động nhóm. Bước này cần các máy chủ mạng liệt kê bên dưới.

Trên Mac: các quyền macOS yêu cầu

Maxiful chỉ xin macOS cấp quyền khi một tính năng cần đến lần đầu, và macOS sẽ hiện câu hỏi của chính nó:

• Thông báo, lần đầu Maxiful có thông báo cần hiện, chẳng hạn một câu trả lời đến khi cửa sổ đang ở chế độ nền.
• Micrô và Nhận dạng giọng nói, lần đầu một người đọc chính tả tin nhắn hoặc nói chuyện với trợ lý.
• Trợ năng, Ghi màn hình và Giám sát đầu vào, khi chủ sở hữu lần đầu cho phép trợ lý sử dụng máy tính.

Nhóm chạy ở đâu, và máy tính luôn bật

Nhóm chạy trên máy tính của chủ sở hữu: trợ lý, bộ nhớ và cuộc trò chuyện của chúng nằm trong bản cài của chủ sở hữu trên máy đó, và đồng nghiệp kết nối tới từ thiết bị của họ. Văn phòng muốn nhóm trả lời suốt ngày đêm cần chạy bản cài của chủ sở hữu trên một máy tính luôn bật:

• Máy Mac có tài khoản macOS của chủ sở hữu đang đăng nhập. Gateway là LaunchAgent riêng của tài khoản đó và khởi động khi tài khoản đăng nhập, nên hãy đăng nhập lại sau mỗi lần khởi động lại máy, hoặc bật đăng nhập tự động, tùy chọn mà macOS không cung cấp khi FileVault đang bật.
• PC Windows tự đăng nhập vào tài khoản Windows của chủ sở hữu (tính năng đăng nhập tự động của Windows). Maxiful khởi động gateway khi tài khoản đăng nhập; để khởi động ngay lúc bật máy cần cài đặt với quyền nâng cao, điều Maxiful không bao giờ làm.

Mô hình AI của tài khoản chỉ trả lời trên một máy tính tại một thời điểm. Nếu chủ sở hữu cũng dùng Maxiful trên laptop và chọn Dùng Maxiful ở đây trên đó, trợ lý trên máy luôn bật sẽ ngừng trả lời cho đến khi chủ sở hữu chọn lại trên máy ấy.

Để tự cài từng bản cập nhật trên máy đó, đặt AutoUpdate thành 0 (xem Thiết lập được quản lý). Bản sao lưu của Maxiful là các tệp lưu trữ ghi trên chính máy đó, trong thư mục người dùng của chủ sở hữu tại <name>-shared/backups; hãy sao chép chúng ra ngoài bằng công cụ sao lưu của bạn.

Những gì được đặt lên máy

<name> bên dưới là tên ngắn của bản cài.

Trên Windows

Tiến trình trên Windows

Các lệnh mà trợ lý chạy (shell, PowerShell, script) chạy dưới dạng tiến trình con của gateway, mặc định trong sandbox riêng của từng trợ lý. Gateway lắng nghe trên 127.0.0.1 tại một cổng từ 18800 trở lên (18800 cho bản cài đầu tiên), còn Maxiful.exe dùng thêm các cổng loopback khác; trên máy thử nghiệm của chúng tôi, không thành phần nào của Maxiful lắng nghe trên địa chỉ nào khác.

Trên máy Mac

Tiến trình trên máy Mac

Các lệnh mà trợ lý chạy là tiến trình con của gateway, mặc định trong sandbox riêng của từng trợ lý. Gateway lắng nghe trên 127.0.0.1 tại một cổng từ 18800 trở lên, giống trên Windows.

Các máy chủ mạng cần cho phép

Mọi kết nối đều được mở từ máy tính ra ngoài, qua HTTPS (relay còn dùng WSS). Không thành phần nào phía chúng tôi có thể mở kết nối vào máy tính.

Cho việc thiết lập và sử dụng hằng ngày

Chỉ khi dùng một tính năng

Công cụ bảo mật nhìn thấy Maxiful thế nào

Trên Windows

Bên ký. Mọi trình cài đặt chúng tôi phát hành đều được ký bằng chứng chỉ cấp cho PolyTrader Ltd (chủ thể của chứng chỉ ghi CN=Polytrader LTD), công ty phát hành Maxiful trước Maxiful AB, và Maxiful.exe mà trình cài đặt cài vào máy cũng vậy. Đọc chữ ký của một tệp bằng Get-AuthenticodeSignature, và so sánh tệp tải về với checksum trên trang thiết lập của bạn (trang Trợ giúp hướng dẫn cách làm).

Thành phần không được ký. node.exe của môi trường chạy và chrome.exe của các trợ lý không có chữ ký Authenticode; Maxiful đối chiếu từng tệp với một mã SHA-256 cố định trước khi dùng. Danh sách cho phép cho các tệp này dựa theo đường dẫn.

Cần đưa vào danh sách cho phép: các tiến trình %LOCALAPPDATA%\Maxiful\Maxiful.exe (đã ký) và gateway-launcher.exe, %LOCALAPPDATA%\Lanoko\node-v24.21.0\node.exe, và %USERPROFILE%\.openclaw-*\browser\chromium\chrome-win64\chrome.exe; bốn thư mục Defender ở trên; các máy chủ mạng ở trên.

Trên máy Mac

Bên ký. Maxiful.app được ký bằng Developer ID của nhóm 467H9AXX55 và được Apple công chứng, nên Gatekeeper mở ứng dụng mà không cần bỏ qua cảnh báo; danh sách cho phép có thể chỉ định ứng dụng bằng code requirement của nó (trong Mac: Intune và Jamf Pro). Đọc chữ ký bằng codesign -dvv /Applications/Maxiful.app.

Thành phần của môi trường chạy. node của gateway là bản Node.js chính thức cho macOS, còn trình duyệt của các trợ lý là Chrome for Testing của Google; mỗi thành phần do Maxiful tải về và đối chiếu với một mã SHA-256 cố định trước khi dùng. Danh sách cho phép cho các thành phần này dựa theo đường dẫn.

Cần đưa vào danh sách cho phép: /Applications/Maxiful.app (nhóm 467H9AXX55), ~/Library/Application Support/Lanoko/node-v24.21.0/bin/node và trình duyệt trong ~/.openclaw-*/browser/chromium; các máy chủ mạng ở trên.

Trên cả hai

Hành vi. Một tiến trình Node.js theo từng người dùng khởi động khi đăng nhập, gọi HTTPS ra ngoài, chạy lệnh cho các trợ lý và sao chép tệp plugin mỗi lần khởi động, nên ghi nhiều tệp trong thư mục của bản cài.

CrowdStrike. CrowdStrike phát hành gói nội dung "Search & Removal" cho OpenClaw trong Falcon for IT. Gói này tìm các tiến trình OpenClaw đang chạy, các bản cài npm toàn cục, tệp nhị phân OpenClaw ở các đường dẫn thông dụng, các dịch vụ, và các thư mục trạng thái và cấu hình trong thư mục người dùng. Quy trình gỡ bỏ của gói dừng dịch vụ và tiến trình, gỡ các gói npm, xóa thư mục cài đặt và cấu hình, đồng thời xóa đăng ký dịch vụ, Scheduled Task và plist của launchd. Gateway của Maxiful là một tiến trình OpenClaw đang chạy, với trạng thái nằm trong %USERPROFILE%\.openclaw-<name> trên Windows và ~/.openclaw-<name> trên máy Mac, nên gói này có thể tìm thấy nó. Nếu chạy trên máy dùng Maxiful, quy trình gỡ bỏ có thể dừng cả nhóm và xóa cấu hình cùng bộ nhớ của các trợ lý. Hãy dùng chức năng tìm kiếm của gói để xem Maxiful chạy ở đâu, và đừng áp dụng quy trình gỡ bỏ cho các máy mà tổ chức của bạn dùng Maxiful.

Có đưa vào danh sách cho phép hay không là quyết định của nhóm bảo mật của bạn. Các tiến trình này chạy lệnh cho các trợ lý, mặc định bên trong sandbox của từng trợ lý, với các bước phê duyệt được mô tả trên trang Bảo mật của chúng tôi.

Thiết lập được quản lý

Maxiful đọc thiết lập được quản lý từ phiên bản 0.9.60, trên Windows và trên máy Mac; các phiên bản cũ hơn không đọc.

Bộ phận IT có thể đặt tập trung một vài thiết lập của Maxiful: bằng Group Policy hoặc Intune trên Windows, và bằng hồ sơ cấu hình từ Jamf, Intune hoặc công cụ quản lý thiết bị khác trên máy Mac. Maxiful đọc các thiết lập này mỗi lần dùng đến; thay đổi ở một công tắc của chủ sở hữu sẽ áp dụng cho các trợ lý vào lần khởi động Maxiful tiếp theo, và phần thiết lập sẽ ghi rõ điều đó cho đến lúc ấy. Thiết lập do tổ chức của bạn đặt hiển thị là Do tổ chức của bạn đặt trong phần thiết lập của Maxiful và không thể thay đổi ở đó, và phần thiết lập liệt kê mọi thứ bạn đã đặt ở đầu mục Quyền truy cập. Khi không có chính sách, Maxiful hoạt động như trên một máy tính không do bộ phận IT nào quản lý.

Các công tắc của chủ sở hữu

Ngoài giá trị số, Maxiful đọc các văn bản 0, 1, true và false là 0 hoặc 1. Giá trị không đọc được, chẳng hạn văn bản khác ở chỗ cần 0 hoặc 1, một kiểu registry khác (REG_QWORD, REG_EXPAND_SZ, REG_BINARY), hoặc một tên trong OwnerSwitches mà Maxiful không nhận ra, sẽ không được áp dụng, và phần thiết lập của Maxiful nêu tên giá trị đó dưới Do tổ chức của bạn đặt. Trên Windows, điều này áp dụng cho mọi giá trị trong khóa chính sách và khóa con của nó, ở cả HKLM lẫn HKCU.

Trên Windows

Maxiful đọc HKLM\SOFTWARE\Policies\Maxiful, rồi đến HKCU\SOFTWARE\Policies\Maxiful; giá trị trong HKLM được ưu tiên hơn cùng giá trị đó trong HKCU. Workspace là REG_SZ và AutoUpdate là REG_DWORD; mỗi công tắc của chủ sở hữu là một REG_DWORD trong khóa con OwnerSwitches, đặt tên như trong bảng. Cặp ADMX và ADML này ghi đúng các giá trị đó: lưu chúng thành maxiful.admx và en-US\maxiful.adml trong kho định nghĩa chính sách của bạn, hoặc nhập vào Intune dưới dạng mẫu quản trị được nhập.

<?xml version="1.0" encoding="utf-8"?>
<policyDefinitions xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" revision="1.0" schemaVersion="1.0" xmlns="http://schemas.microsoft.com/GroupPolicy/2006/07/PolicyDefinitions">
  <policyNamespaces>
    <target prefix="maxiful" namespace="Maxiful.Policies" />
  </policyNamespaces>
  <resources minRequiredRevision="1.0" />
  <supportedOn>
    <definitions>
      <definition name="SUPPORTED_Maxiful" displayName="$(string.SUPPORTED_Maxiful)" />
    </definitions>
  </supportedOn>
  <categories>
    <category name="Maxiful" displayName="$(string.Maxiful)" />
    <category name="OwnerSwitches" displayName="$(string.OwnerSwitches)">
      <parentCategory ref="Maxiful" />
    </category>
  </categories>
  <policies>
    <policy name="Workspace" class="Both" displayName="$(string.Workspace)" explainText="$(string.Workspace_Explain)" presentation="$(presentation.Workspace)" key="SOFTWARE\Policies\Maxiful">
      <parentCategory ref="Maxiful" />
      <supportedOn ref="SUPPORTED_Maxiful" />
      <elements>
        <text id="Workspace" valueName="Workspace" maxLength="128" required="true" />
      </elements>
    </policy>
    <policy name="AutoUpdate" class="Both" displayName="$(string.AutoUpdate)" explainText="$(string.AutoUpdate_Explain)" key="SOFTWARE\Policies\Maxiful" valueName="AutoUpdate">
      <parentCategory ref="Maxiful" />
      <supportedOn ref="SUPPORTED_Maxiful" />
      <enabledValue><decimal value="1" /></enabledValue>
      <disabledValue><decimal value="0" /></disabledValue>
    </policy>
    <policy name="OwnerSwitch_PrivateNetwork" class="Both" displayName="$(string.OwnerSwitch_PrivateNetwork)" explainText="$(string.OwnerSwitch_PrivateNetwork_Explain)" key="SOFTWARE\Policies\Maxiful\OwnerSwitches" valueName="private-network">
      <parentCategory ref="OwnerSwitches" />
      <supportedOn ref="SUPPORTED_Maxiful" />
      <enabledValue><decimal value="1" /></enabledValue>
      <disabledValue><decimal value="0" /></disabledValue>
    </policy>
    <policy name="OwnerSwitch_PaneReach" class="Both" displayName="$(string.OwnerSwitch_PaneReach)" explainText="$(string.OwnerSwitch_PaneReach_Explain)" key="SOFTWARE\Policies\Maxiful\OwnerSwitches" valueName="pane-reach">
      <parentCategory ref="OwnerSwitches" />
      <supportedOn ref="SUPPORTED_Maxiful" />
      <enabledValue><decimal value="1" /></enabledValue>
      <disabledValue><decimal value="0" /></disabledValue>
    </policy>
    <policy name="OwnerSwitch_ClaudeCodeBackground" class="Both" displayName="$(string.OwnerSwitch_ClaudeCodeBackground)" explainText="$(string.OwnerSwitch_ClaudeCodeBackground_Explain)" key="SOFTWARE\Policies\Maxiful\OwnerSwitches" valueName="claude-code-background">
      <parentCategory ref="OwnerSwitches" />
      <supportedOn ref="SUPPORTED_Maxiful" />
      <enabledValue><decimal value="1" /></enabledValue>
      <disabledValue><decimal value="0" /></disabledValue>
    </policy>
    <policy name="OwnerSwitch_SessionReach" class="Both" displayName="$(string.OwnerSwitch_SessionReach)" explainText="$(string.OwnerSwitch_SessionReach_Explain)" key="SOFTWARE\Policies\Maxiful\OwnerSwitches" valueName="session-reach">
      <parentCategory ref="OwnerSwitches" />
      <supportedOn ref="SUPPORTED_Maxiful" />
      <enabledValue><decimal value="1" /></enabledValue>
      <disabledValue><decimal value="0" /></disabledValue>
    </policy>
    <policy name="OwnerSwitch_ModelCosts" class="Both" displayName="$(string.OwnerSwitch_ModelCosts)" explainText="$(string.OwnerSwitch_ModelCosts_Explain)" key="SOFTWARE\Policies\Maxiful\OwnerSwitches" valueName="model-costs">
      <parentCategory ref="OwnerSwitches" />
      <supportedOn ref="SUPPORTED_Maxiful" />
      <enabledValue><decimal value="1" /></enabledValue>
      <disabledValue><decimal value="0" /></disabledValue>
    </policy>
    <policy name="OwnerSwitch_NextPrompt" class="Both" displayName="$(string.OwnerSwitch_NextPrompt)" explainText="$(string.OwnerSwitch_NextPrompt_Explain)" key="SOFTWARE\Policies\Maxiful\OwnerSwitches" valueName="next-prompt">
      <parentCategory ref="OwnerSwitches" />
      <supportedOn ref="SUPPORTED_Maxiful" />
      <enabledValue><decimal value="1" /></enabledValue>
      <disabledValue><decimal value="0" /></disabledValue>
    </policy>
    <policy name="OwnerSwitch_CheckinWholeConversation" class="Both" displayName="$(string.OwnerSwitch_CheckinWholeConversation)" explainText="$(string.OwnerSwitch_CheckinWholeConversation_Explain)" key="SOFTWARE\Policies\Maxiful\OwnerSwitches" valueName="checkin-whole-conversation">
      <parentCategory ref="OwnerSwitches" />
      <supportedOn ref="SUPPORTED_Maxiful" />
      <enabledValue><decimal value="1" /></enabledValue>
      <disabledValue><decimal value="0" /></disabledValue>
    </policy>
    <policy name="OwnerSwitch_VoiceNotes" class="Both" displayName="$(string.OwnerSwitch_VoiceNotes)" explainText="$(string.OwnerSwitch_VoiceNotes_Explain)" key="SOFTWARE\Policies\Maxiful\OwnerSwitches" valueName="voice-notes">
      <parentCategory ref="OwnerSwitches" />
      <supportedOn ref="SUPPORTED_Maxiful" />
      <enabledValue><decimal value="1" /></enabledValue>
      <disabledValue><decimal value="0" /></disabledValue>
    </policy>
  </policies>
</policyDefinitions>

<?xml version="1.0" encoding="utf-8"?>
<policyDefinitionResources xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" revision="1.0" schemaVersion="1.0" xmlns="http://schemas.microsoft.com/GroupPolicy/2006/07/PolicyDefinitions">
  <displayName>Maxiful</displayName>
  <description>The settings an IT department sets for Maxiful.</description>
  <resources>
    <stringTable>
      <string id="Maxiful">Maxiful</string>
      <string id="OwnerSwitches">The owner's switches</string>
      <string id="SUPPORTED_Maxiful">Maxiful for Windows</string>
      <string id="Workspace">Open only this workspace</string>
      <string id="Workspace_Explain">Maxiful on this computer opens only the workspace with this ID. The workspace's owner finds the ID in Maxiful's settings, under Access. A person who is not a member of the workspace is asked to join it by invitation, and no other workspace opens on this computer.</string>
      <string id="AutoUpdate">Let Maxiful update itself</string>
      <string id="AutoUpdate_Explain">Disabled: Maxiful does not look for, download or install updates, and you install each new version yourself. Enabled or not configured: Maxiful updates itself.</string>
      <string id="OwnerSwitch_PrivateNetwork">Let assistants open pages on this computer and my network</string>
      <string id="OwnerSwitch_PrivateNetwork_Explain">Enabled: on. Disabled: off. Not configured: the owner decides, in Maxiful's settings under Access.</string>
      <string id="OwnerSwitch_PaneReach">Let assistants' panes run code and reach outside Maxiful</string>
      <string id="OwnerSwitch_PaneReach_Explain">Enabled: on. Disabled: off. Not configured: the owner decides, in Maxiful's settings under Access.</string>
      <string id="OwnerSwitch_ClaudeCodeBackground">Let Claude Code keep long commands running in the background</string>
      <string id="OwnerSwitch_ClaudeCodeBackground_Explain">Enabled: on. Disabled: off. Not configured: the owner decides, in Maxiful's settings under Access.</string>
      <string id="OwnerSwitch_SessionReach">Assistants can look through all conversations on this computer (so they learn from past work)</string>
      <string id="OwnerSwitch_SessionReach_Explain">Enabled: on. Disabled: off. Not configured: the owner decides, in Maxiful's settings under Access.</string>
      <string id="OwnerSwitch_ModelCosts">Show model costs in dollars</string>
      <string id="OwnerSwitch_ModelCosts_Explain">Enabled: on. Disabled: off. Not configured: the owner decides, in Maxiful's settings under Advanced.</string>
      <string id="OwnerSwitch_NextPrompt">Suggest my next message</string>
      <string id="OwnerSwitch_NextPrompt_Explain">Enabled: on. Disabled: off. Not configured: the owner decides, in Maxiful's settings under Advanced.</string>
      <string id="OwnerSwitch_CheckinWholeConversation">Check-ins read the whole conversation</string>
      <string id="OwnerSwitch_CheckinWholeConversation_Explain">Enabled: on. Disabled: off. Not configured: the owner decides, in Maxiful's settings under Advanced.</string>
      <string id="OwnerSwitch_VoiceNotes">Transcribe voice notes</string>
      <string id="OwnerSwitch_VoiceNotes_Explain">Enabled: on. Disabled: off. Not configured: the owner decides, in Maxiful's settings under Voice and audio.</string>
    </stringTable>
    <presentationTable>
      <presentation id="Workspace">
        <textBox refId="Workspace">
          <label>Workspace ID</label>
        </textBox>
      </presentation>
    </presentationTable>
  </resources>
</policyDefinitionResources>

Trên máy Mac

Maxiful đọc các tùy chọn được quản lý trong miền riêng của nó, ai.maxiful.desktop, được hồ sơ cấu hình đưa vào máy dưới dạng thiết lập bắt buộc (payload tùy chọn được quản lý của Apple, com.apple.ManagedClient.preferences). Chỉ giá trị do hồ sơ đặt mới có hiệu lực: giá trị ghi bằng cách khác, chẳng hạn bằng defaults write, sẽ không được đọc. Workspace là chuỗi, AutoUpdate là số nguyên (hoặc boolean), và OwnerSwitches là một từ điển gồm các tên trong bảng. Hồ sơ mẫu này giới hạn máy ở một không gian làm việc, để bạn lo việc cập nhật, tắt công tắc terminal và công tắc mạng riêng, và hiển thị chi phí mô hình; hãy thay ID không gian làm việc, cùng các định danh và UUID bằng giá trị của bạn.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
  <key>PayloadType</key><string>Configuration</string>
  <key>PayloadVersion</key><integer>1</integer>
  <key>PayloadIdentifier</key><string>com.example.maxiful</string>
  <key>PayloadUUID</key><string>00000000-0000-0000-0000-000000000001</string>
  <key>PayloadDisplayName</key><string>Maxiful</string>
  <key>PayloadScope</key><string>System</string>
  <key>PayloadContent</key>
  <array>
    <dict>
      <key>PayloadType</key><string>com.apple.ManagedClient.preferences</string>
      <key>PayloadVersion</key><integer>1</integer>
      <key>PayloadIdentifier</key><string>com.example.maxiful.settings</string>
      <key>PayloadUUID</key><string>00000000-0000-0000-0000-000000000002</string>
      <key>PayloadDisplayName</key><string>Maxiful settings</string>
      <key>PayloadContent</key>
      <dict>
        <key>ai.maxiful.desktop</key>
        <dict>
          <key>Forced</key>
          <array>
            <dict>
              <key>mcx_preference_settings</key>
              <dict>
                <key>Workspace</key><string>YOUR-WORKSPACE-ID</string>
                <key>AutoUpdate</key><integer>0</integer>
                <key>OwnerSwitches</key>
                <dict>
                  <key>terminal</key><false/>
                  <key>private-network</key><false/>
                  <key>model-costs</key><true/>
                </dict>
              </dict>
            </dict>
          </array>
        </dict>
      </dict>
    </dict>
  </array>
</dict>
</plist>

Cập nhật

Maxiful tìm phiên bản mới trên maxiful.ai khi khởi động và cứ sáu giờ một lần. Người dùng chọn Cập nhật và khởi động lại hoặc Để sau. Một phiên bản Maxiful mới có thể đi kèm môi trường chạy OpenClaw mới hơn; khi đó Maxiful cập nhật môi trường chạy cho người dùng đó bằng npm, từ registry.npmjs.org.

Để tự cài mọi phiên bản mới và để Maxiful không tìm bản cập nhật nào, trên Windows hay máy Mac, hãy đặt AutoUpdate thành 0 (xem Thiết lập được quản lý): khi đó Maxiful sẽ ghi rằng tổ chức của bạn cài các bản cập nhật.

Trên Windows

Phiên bản mới là một trình cài đặt đã ký, được đối chiếu với một khóa tích hợp sẵn trong ứng dụng trước khi chạy, và bản cập nhật chạy trình cài đặt ở chế độ thụ động. Bạn cũng có thể tự triển khai từng trình cài đặt mới bằng /S, như ở trên.

Trên máy Mac

Phiên bản mới là một bản lưu trữ đã ký của ứng dụng, được đối chiếu với một khóa tích hợp sẵn trong ứng dụng trước khi dùng, và thay thế ứng dụng tại chỗ khi tài khoản của người dùng có quyền thay đổi bản đó.

Bản người dùng không thay đổi được. Khi /Applications/Maxiful.app thuộc về hệ thống (chủ sở hữu là root) và tài khoản của người dùng không thay đổi được, Maxiful không tự cập nhật: không tải gì về, không bao giờ hỏi mật khẩu quản trị viên, không hiển thị Cập nhật và khởi động lại, và ở nơi hiển thị cập nhật sẽ ghi rằng đã có phiên bản mới hơn và tổ chức của bạn cài cập nhật cho máy Mac này. Hãy triển khai từng phiên bản mới bằng MDM của bạn: trong Intune, tải ảnh đĩa của phiên bản đó lên cùng ứng dụng; trong Jamf Pro, đóng gói bằng Composer và triển khai như ở trên. Bản mà tài khoản quản trị viên thay đổi được sẽ tự cập nhật cho tài khoản đó như trên mọi máy Mac.

Gỡ Maxiful

Gỡ toàn bộ, do người dùng thực hiện: trong phần thiết lập của Maxiful, chọn Gỡ Maxiful khỏi máy tính này. Thao tác này dừng tiến trình nền và những gì khởi chạy nó khi đăng nhập (các tác vụ đã lên lịch trên Windows, LaunchAgent trên máy Mac), xóa dữ liệu và thông tin đăng nhập của bản cài đặt, đồng thời gỡ môi trường chạy Node.js mà nó đã cài, trừ khi một bản cài đặt khác trên máy vẫn còn dùng. Trên Windows, trình gỡ cài đặt sẽ chạy khi Maxiful thoát; trên máy Mac, ứng dụng được chuyển vào Thùng rác nếu tài khoản của người dùng có quyền làm việc đó. Tài liệu riêng của người dùng không bị động đến.

Trên Windows

Gỡ toàn bộ, ở chế độ im lặng: %LOCALAPPDATA%\Maxiful\uninstall.exe /S /REMOVEALL chạy Gỡ Maxiful khỏi máy tính này cho người dùng sở hữu bản cài đặt, không cần ai ngồi trước màn hình, rồi gỡ ứng dụng. Thao tác này không thể hoàn tác. Danh sách những gì đã gỡ, và những gì không gỡ được, nằm trong removal-report.json tại %LOCALAPPDATA%\ai.maxiful.desktop\logs.

Không dùng /REMOVEALL: %LOCALAPPDATA%\Maxiful\uninstall.exe /S, lệnh mà quy trình Intune ở trên chạy, gỡ ứng dụng, các lối tắt, tác vụ duy trì nhóm và các mục loại trừ Defender mà Maxiful đã thêm (Windows có thể hiện lại lời nhắc cho các mục đó). Lệnh này cũng dừng tiến trình nền của trợ lý và gỡ những gì khởi chạy nó khi đăng nhập, nhưng giữ lại môi trường chạy và dữ liệu của bản cài đặt. installer.log, nằm cạnh các nhật ký khác của ứng dụng, cho biết còn gì đang chạy hay không.

Trên máy Mac

Trước tiên, hãy chạy Gỡ Maxiful khỏi máy tính này cho từng người dùng: nếu chỉ gỡ ứng dụng, gateway nền của người đó vẫn tiếp tục chạy cùng mọi dữ liệu nó đang giữ. Sau đó gỡ /Applications/Maxiful.app bằng MDM của bạn, ví dụ gán ứng dụng với kiểu Uninstall trong Intune.