Team Setup 与 Team Secrets

Enterprise 管理员在 Dashboard 的 Grok Bot > Team Setup 管理 manifests，为团队电脑安装工具和配置环境。电脑使用 Debian 系 Linux，脚本以电脑用户执行，需要系统权限时可用 sudo。

脚本生命周期

每个 manifest 有 ID，包含按顺序运行的 entries，每项有 ID、Setup Script 和可选 Check Script。电脑启动及运行中的周期刷新会执行，刷新大约每天一次。

Check Script 返回 0 时跳过安装；执行 Setup 后会再运行检查。每个脚本最多 30 分钟，失败不阻止电脑启动，在以后刷新重试。让脚本可重入，检查既要确认已安装，也应满足实际所需状态。

官方的结构示例为：

{
  "manifestId": "private-network",
  "entries": [
    {
      "id": "install-network-client",
      "setup": "#!/usr/bin/env bash\nset -euo pipefail\n# 1) Install your networking client per your provider's Linux install docs\n# 2) Start the client and connect it to your network per your configuration",
      "check": "command -v <your-client>"
    }
  ]
}

这是待填入供应商安装步骤的结构，<your-client> 不是可直接执行的真实客户端名。表单也可切换 JSON 编辑。

Secret 的可见范围

在 Team Secrets 保存环境变量名和值。值加密保存，之后 Dashboard 不回显；包括 unpaid admin 在内的团队管理员可新增、替换、删除。它不同于某个 Bot 的 Secrets，也不会直接把值交给 Bot。

团队及组 manifest 的 Setup/Check Script 进程会收到环境变量，脚本结束后消失，除非脚本自行写入文件。输出保存前会匹配并隐藏秘密值。一个电脑的 Team Setup 若来自两个或更多团队，不接收任何团队的秘密，因为这些脚本共享同一电脑用户。

名称需符合环境变量规则，PATH、HOME、SAND_ 或 LD_ 前缀等运行时保留名称会被拒绝。引用如 "$MY_AUTH_KEY"，不要把真实值写入明文 manifest。

应用更新

旋转 Secret 或更新 manifest 后，下次脚本运行才生效。需要提前应用时，可由组织管理员重建电脑；镜像更新也会重新运行 Team Setup。重建会移除手动安装的软件包，脚本管理的工具可重新装回，登录可能需要重新建立。

当前没有全体电脑脚本结果的集中视图。先验证少量电脑的安装、认证和真实访问，再扩大范围。网络目的地策略约一分钟传播，不需要为了它重建电脑，和脚本刷新机制不同。