团队开通与组策略

自助 Teams 默认提供 Grok Bot，但 Legacy Privacy Mode 和旧 request-based 套餐会阻止使用；Enterprise 由管理员在 Dashboard 的 Grok Bot 页面开通，并可用 Manage Group Access 限制访问组。关闭 Enterprise 总开关阻止成员使用，不删除电脑。

控制项与默认值

控制	范围与行为
Cloud Agents	Teams/Enterprise，默认允许委派；委派电脑仍服从 Cloud Agent 自身控制
Public template sharing	Enterprise 默认关闭，其他团队默认允许；关闭也约束已经公开的模板
Team Rules	可选作用于 Cursor、Grok Bot 或两者；用于 Bot 的规则不可由成员关闭
Execution on Local Computer	团队默认 Always allow，表示交给成员选择；成员自身默认逐次询问，较严设置继续有效
Allow Local Egress	Enterprise，默认开启；关闭后活动桌面路由在五分钟内停止
Enforce Auto-review	Enterprise，默认关闭；团队审查规则需它开启才生效
Network Controls、Team Setup、Team Secrets	Enterprise
Action Recording、Audit Logs、OTel	Enterprise，操作记录默认关闭
Grok Bot Computers	Enterprise 且需要 organization admin，team admin 不够

插件使用团队既有连接器策略，MCP allowlist 仅 Enterprise 提供。策略可以允许或阻止，不能把连接器强制配置或默认推送给成员。供应商自身也可能限制其 MCP 使用者角色。

组设置如何组合

在团队自有组的 Grok Bot 标签中设置例外，适用于手动或 SCIM 同步的目录组，和 Organization Groups 不是同一概念。能力设置用于放宽团队基线，不能作为收紧路径；多组成员获得最宽松结果。

可放宽 Cloud Agents、本地执行、本地出站和 Auto-review 强制锁。团队与组的 Auto-review 规则组合后 Ask first 仍优先。Group Rules 与 Team Rules 共同应用，成员不能关闭；组 Setup Scripts 与团队脚本共同运行，读取同一份 Team Secrets，没有独立组 Secret。

网络策略有自己的替代及锁定机制，不能仅用其他能力的“组放宽”规则推导具体目的地权限。控制是否能进入产品用 Manage Group Access，而非上述能力例外。

分发 Team Bots

Manage Team Bots > Manage 可为每个 Bot 指定 All team、若干组或 None。强制加入的 Bot 自动出现在成员侧边栏，成员不能隐藏。邀请成员时，现有 Cursor 用户收到下载链接，新用户收到团队邀请；SCIM 管理团队仅提供现有用户邀请选项。

API 与费用

Team Admin API 可管理开通、能力、Auto-review、组访问、网络、规则及安装脚本；Team Secrets 仅 Dashboard 管理。批量电脑操作属于 Organization API，使用 admin:* 的组织 key。

没有单独 Grok Bot 支出上限，使用账号级 on-demand 控制，在 Dashboard 查看按产品拆分的用量。团队规则指导 Bot 行为，不能替代连接器、网络或账号权限限制。