Cursor Deployment Patterns: MDM и политики

Cursor Deployment Patterns — это enterprise-маршрут выката Cursor editor и CLI на рабочие станции: MDM (Jamf/Intune/Kandji), Windows Group Policy, macOS configuration profiles, Linux policy JSON (2.0+) и managed permissions.json. Канон: Deployment Patterns. Не путать с деплоем Cloud Agent workers — там Self-Hosted Workers.

Уже разобранные политики по одной: MDM hub, Allowed Team ID, Allowed Extensions, Update Mode, permissions.json, Workspace Trust, NetworkDisableHttp2, Extension Gallery URL. Здесь — карта паттерна целиком.

Каркас выката

1. IT пакует Cursor для целевой ОС.
2. Пуш на машины через MDM / GPO / silent installer.
3. Политики перекрывают пользовательские settings.
4. При необходимости доставляете ~/.cursor/permissions.json тем же MDM.

Policy	Что делает	Cursor setting
AllowedExtensions	Allowlist расширений	extensions.allowed
AllowedTeamId	Разрешённые team ID; чужие logout	cursorAuth.allowedTeamId
ExtensionGalleryServiceUrl	Свой marketplace URL	extensions.gallery.serviceUrl
NetworkDisableHttp2	Форс HTTP/1.1	cursor.general.disableHttp2
UpdateMode	Автообновления (none = off)	update.mode
WorkspaceTrustEnabled	Workspace Trust on/off	security.workspace.trust.enabled

Сверка: cursor.com/docs/enterprise/deployment-patterns (2026-09-17). Значение policy = global override над default/user/workspace.

permissions.json в том же паттерне

Файл управляет allowlist терминала/MCP и (с Cursor 3.6+) autoRun классификатором. Precedence: team dashboard / admin settings → managed user+repo files (concat) → editor allowlist. Пример:

{
  "terminalAllowlist": ["npm install", "pnpm test", "python -m pytest"],
  "mcpAllowlist": ["linear:*", "github:create_pull_request", "*:search"],
  "autoRun": {
    "block_instructions": ["Block any command that drops or truncates a database table."]
  }
}

Windows: GPO + silent install

• ADMX/ADML из AppData\Local\Programs\cursor\policies → C:\Windows\PolicyDefinitions.
• Computer-level policy побеждает User-level, если заданы оба.
• С Cursor 2.1 категория в редакторе GPO называется Cursor; старые ключи ещё работают.
• Fresh silent: CursorSetup-x64-2.0.exe /SILENT /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /CLOSEAPPLICATIONS /LOG=install.log.
• Update: нужен empty flag file и /update="%TEMP%\cursor-update.flag".

macOS: Bundle ID и .mobileconfig

Канал	Bundle ID / PayloadType
Production	com.todesktop.230313mzl4w4u92
Nightly	co.anysphere.cursor.nightly

Для большинства enterprise-флотов — production Bundle ID. Профиль можно катить через Jamf/Kandji/Intune или ставить вручную. Ключи политик в payload совпадают с именами policy (AllowedExtensions как JSON-строка, AllowedTeamId как список ID, NetworkDisableHttp2 как boolean и т.д.).

Linux policy JSON

На Linux (Cursor 2.0+) политики задаются JSON policy files — удобно для fleets без ADMX. Держите один source of truth с теми же ключами, что на Windows/macOS, чтобы drift между ОС не разъезжал security baseline.

Типичные ошибки

• Собрать MDM только на AllowedTeamId и забыть UpdateMode=none на non-admin macOS флоте.
• Перепутать Nightly Bundle ID с production.
• Ждать merge editor allowlist с managed permissions.json — admin override заменяет категорию.
• Путать Deployment Patterns (editor на устройстве) с выкатом self-hosted workers.
• Копировать цены лицензий из чужих блогов.

FAQ: Cursor Deployment Patterns

Вывод

Deployment Patterns — карта enterprise-выката Cursor: пакет → MDM/GPO → 6 политик → permissions.json. Детали каждой политики уже в отдельных лонгридах; этот текст собирает decide tree. Для Cloud Agents на своём железе смотрите workers.