Uitrollen op beheerde laptops

Je beheert de laptops van je organisatie en wilt dat elke medewerker het brein in zijn AI-tool heeft. Hieronder staat per tool wat je centraal zet, wat nog niet kan, en welk bestand waar komt.

Van Idmen draait niets op de laptop. Het brein staat op console.idmen.ai, en elke AI-tool praat er via MCP mee. Je rolt dus alleen instellingen uit: de plugin, het adres en welke servers mogen.

Het knelpunt: een sleutel per persoon

Elke koppeling hoort bij één persoon. Een medewerker maakt zijn link op Agents & keys, en in die link zit zijn eigen sleutel. Aan die sleutel ziet het brein wie vraagt, en het geeft alleen wat die persoon mag zien.

Een centrale uitrol zet op elke laptop hetzelfde bestand, of in de beheerconsole één connector voor iedereen. Een sleutel daarin geeft iedereen de rechten van één persoon. Zet daarom nooit een sleutel in iets dat je uitrolt.

Daaruit volgt:

Nu zet je centraal klaar wat voor iedereen gelijk is: de plugin, het adres op je allowlist, je beleid. Daarna koppelt elke medewerker één keer zijn eigen link, in een paar minuten. Zie Je AI koppelen.
Met OAuth voor MCP zet je één adres klaar voor iedereen. De medewerker logt de eerste keer in met zijn account van Idmen, en zijn AI-tool bewaart die toegang. Niemand plakt dan nog een link. Idmen bouwt OAuth na de launch.

Tool	Nu centraal	Pas met OAuth
Claude Code	De plugin, de allowlist	Het brein voor iedereen klaarzetten
Codex	De allowlist, het adres als startwaarde	Het brein voor iedereen klaarzetten
Cursor	De allowlist (Enterprise)	Het brein met het team delen
Claude, Team of Enterprise	Niets per persoon	Een connector voor de organisatie
ChatGPT, Business of Enterprise	In Enterprise een recht per lid	Een app voor de workspace
Copilot	Niets per persoon	Een agent in Copilot Studio

Claude Code

Claude Code leest het beleid van je organisatie uit managed settings. Die bereiken een laptop langs vier wegen (Anthropic, Deploy managed settings, 3-11-2026):

Weg	Waar	Claude Code leest het
Beheerconsole van claude.ai (Team of Enterprise)	Organization settings › Claude Code › Managed settings	bij de start en elk uur
MDM op de Mac (Intune, Jamf)	Configuratieprofiel met het domein `com.anthropic.claudecode`	bij de start en elke 30 minuten
MDM op Windows (Intune, Group Policy)	Registerwaarde `Settings` (REG_SZ, met de JSON) onder `HKLM\SOFTWARE\Policies\ClaudeCode`	bij de start en elke 30 minuten
Bestand	Mac: `/Library/Application Support/ClaudeCode/managed-settings.json` Windows: `C:\Program Files\ClaudeCode\managed-settings.json`	bij de start en na elke wijziging

Heeft je organisatie Claude Team of Enterprise, kies dan de beheerconsole: er komt geen bestand op de laptop. Anders kies je MDM. Anthropic heeft voorbeelden voor Jamf, Intune en Group Policy. Zet het beleid op één weg: levert de beheerconsole ook maar één sleutel, dan negeert Claude Code de plugin-instellingen uit MDM en het bestand (Anthropic, Manage plugins for your organization, 3-11-2026).

Nu: de plugin en de allowlist

Deze managed settings zetten de plugin van Idmen op elke laptop en laten het brein toe:

{
  "extraKnownMarketplaces": {
    "idmen": {
      "source": { "source": "github", "repo": "olegreeven/Idmen_Admin_Portal" }
    }
  },
  "enabledPlugins": { "idmen@idmen": true },
  "allowedMcpServers": [
    { "serverUrl": "https://console.idmen.ai/*" }
  ]
}

extraKnownMarketplaces en enabledPlugins installeren de plugin bij de volgende sessie, en de medewerker kan hem niet uitzetten (Anthropic, Manage plugins for your organization, 3-11-2026). De plugin geeft de commando’s die met /idmen- beginnen. Er staat geen adres en geen sleutel in.
allowedMcpServers heb je alleen nodig als je organisatie al een allowlist voor MCP-servers heeft. Zet de regel dan in je bestaande lijst: Claude Code neemt de lijst uit één bron en voegt lijsten niet samen. Zonder allowlist mag elke server (Anthropic, Control MCP server access, 3-11-2026).

Daarna koppelt de medewerker één keer zijn eigen link, in een terminal:

claude mcp add --scope user --transport http idmen <je link van Agents & keys>

Waarom het adres nog niet centraal kan

Claude Code kent twee manieren om een server voor iedereen klaar te zetten. Geen van beide past nu bij een sleutel per persoon:

managedMcpServers in managed settings accepteert geen omgevingsvariabelen en geen script dat een kop maakt. Een sleutel zou er letterlijk in staan, en elke gebruiker van de laptop kan hem lezen.
managed-mcp.json accepteert wel ${IDMEN_SLEUTEL} in de kop, maar neemt alle MCP-servers over. Medewerkers kunnen er dan geen eigen servers naast zetten, ook geen servers uit plugins. En de medewerker moet IDMEN_SLEUTEL nog steeds zelf zetten.

Kies managed-mcp.json dus alleen als je organisatie de MCP-servers al zo vastzet (Anthropic, Control MCP server access, 3-11-2026).

Met OAuth

Zodra het brein OAuth kent, zet je het adres in dezelfde managed settings, naast de plugin:

{
  "managedMcpServers": {
    "idmen": { "type": "http", "url": "https://console.idmen.ai/api/mcp" }
  }
}

Elke medewerker heeft het brein dan in Claude Code en logt de eerste keer in via de browser. Zijn eigen servers blijven ernaast staan. managedMcpServers vraagt Claude Code v2.1.259 of later.

Codex

Codex kent twee soorten beheer (OpenAI, Managed configuration, 3-11-2026):

requirements: regels die de medewerker niet wijzigt, zoals welke MCP-servers mogen;
managed defaults (managed_config.toml): startwaarden in het formaat van config.toml. Codex zet ze terug bij elke start.

Weg	Mac	Windows
Beheerconsole van ChatGPT (Business, Enterprise)	Admin Console › Agent security, alleen requirements	idem
MDM	Domein `com.openai.codex`, met de sleutels `requirements_toml_base64` en `config_toml_base64` (TOML in base64)	geen MDM-sleutel; Intune zet het bestand met een script
Bestand	`/etc/codex/requirements.toml` `/etc/codex/managed_config.toml`	`%ProgramData%\OpenAI\Codex\requirements.toml` `%USERPROFILE%\.codex\managed_config.toml`

Op Windows staat managed_config.toml in de map van de gebruiker. Rol hem daar per gebruiker uit.

Nu

Zet het brein als startwaarde in managed_config.toml, met de sleutel uit de omgeving van de medewerker. Er staat geen sleutel in het bestand:

[mcp_servers.idmen]
url = "https://console.idmen.ai/api/mcp"
bearer_token_env_var = "IDMEN_SLEUTEL"

Heeft je organisatie een allowlist voor MCP-servers in de requirements, voeg het brein daar toe. Codex zet een server alleen aan als naam en adres kloppen:

[mcp_servers.idmen]
identity = { url = "https://console.idmen.ai/api/mcp" }

De medewerker zet daarna één keer zijn sleutel: het laatste deel van zijn link op Agents & keys, na /api/mcp/. Op Windows met setx IDMEN_SLEUTEL <sleutel>, op de Mac met export IDMEN_SLEUTEL=<sleutel> in ~/.zshrc. Volgens OpenAI hebben managed defaults het formaat van config.toml; een server in managed_config.toml testte Idmen nog niet.

Met OAuth

Je laat bearer_token_env_var weg. De medewerker logt één keer in met codex mcp login idmen (OpenAI, MCP in Codex, 3-11-2026).

Cursor

Cursor leest servers uit ~/.cursor/mcp.json. Een Enterprise-beheerder kan in het dashboard van Cursor een MCP Allowlist zetten. Die keurt een server goed, maar installeert hem niet (Cursor, MCP, 3-11-2026).

Nu: zet https://console.idmen.ai op de MCP Allowlist, als je die gebruikt. De medewerker voegt zijn eigen link toe, zoals op Je AI koppelen.
Met OAuth: zet het brein als gedeelde server in het dashboard, bij Plugins & MCPs, en koppel hem aan de marketplace van je team. Elke medewerker installeert hem daar en logt in.

Claude, in een Team- of Enterprise-account

In Claude Team of Enterprise voegt alleen de eigenaar een eigen connector toe, voor de hele organisatie. Medewerkers zien hem bij Customize › Connectors en klikken op Connect om in te loggen. Ze voegen zelf geen connector toe (Anthropic, Add a connector that isn’t in the directory, 3-11-2026).

Die connector heeft één adres voor iedereen. Een sleutel in het adres of in de kop deelt iedereen dus. Anthropic zegt het zelf: een vaste kop is voor een sleutel die de hele organisatie deelt, en wie met een eigen account moet inloggen, gebruikt OAuth.

Nu: een koppeling per persoon kan in een Team- of Enterprise-account nog niet.
Met OAuth: de eigenaar gaat naar Organization settings › Connectors, kiest Add, dan Custom en Web, en vult https://console.idmen.ai/api/mcp in. Elke medewerker klikt daarna op Connect en logt in.

Claude Desktop haalt de connectors uit het account van claude.ai. Op de laptop zet je daarvoor niets.

ChatGPT, in een Business- of Enterprise-workspace

In ChatGPT maakt en publiceert alleen een admin of owner een eigen MCP-server voor de workspace. In Enterprise kan een admin met RBAC ook gekozen leden het recht geven om zelf een MCP-server te verbinden (OpenAI, Connecting custom MCP servers in ChatGPT, 3-11-2026).

Nu, in Business: een koppeling per persoon kan nog niet.
Nu, in Enterprise: geef de leden met RBAC het recht Create plugins with MCPs. Elk lid verbindt dan zijn eigen link, zonder hem te publiceren.
Met OAuth: een admin voegt onder Plugins een eigen MCP-server toe met https://console.idmen.ai/api/mcp en publiceert hem in de Admin Console. In Enterprise kies je met RBAC welke groepen hem krijgen. Elke medewerker logt de eerste keer in.

Na het publiceren gebruikt ChatGPT een vaste momentopname van de tools. Voegt Idmen een tool toe of verandert er een, dan ververst een admin de tools in de instellingen van de workspace. ChatGPT meldt dat niet zelf. Eigen MCP-servers werken in ChatGPT op het web, niet in de app op een telefoon.

Copilot

Voor Microsoft 365 Copilot zet een beheerder het brein één keer als MCP-tool in een agent in Copilot Studio. Op de laptop komt niets. Gebruikt de tool de inlog van wie hem maakte, dan leest elke medewerker met diens rechten (Microsoft, Configure no maker authentication, 3-11-2026). Een koppeling per persoon vraagt de inlog van de medewerker zelf, en dus OAuth. Of Copilot Studio ook met een sleutel van Idmen werkt, zoekt Idmen nog uit.

Welk bestand waar komt

Alleen Claude Code en Codex hebben iets op de laptop nodig. Claude en ChatGPT regel je in hun beheerconsole, Cursor in zijn dashboard.

Tool	Mac (Intune of Jamf)	Windows (Intune)
Claude Code	Configuratieprofiel, domein `com.anthropic.claudecode`, of het bestand `/Library/Application Support/ClaudeCode/managed-settings.json`	Registerwaarde `HKLM\SOFTWARE\Policies\ClaudeCode\Settings`, of het bestand `C:\Program Files\ClaudeCode\managed-settings.json`
Codex	Configuratieprofiel, domein `com.openai.codex`, of de bestanden in `/etc/codex/`	`%ProgramData%\OpenAI\Codex\requirements.toml`, en per gebruiker `%USERPROFILE%\.codex\managed_config.toml`

Jamf: een configuratieprofiel met Application & Custom Settings voor het domein, of een policy met een script dat het bestand schrijft.
Intune op de Mac: een eigen configuratieprofiel (.mobileconfig) voor het domein, of een shellscript voor het bestand.
Intune op Windows: een PowerShell-script of een Win32-app die het bestand of de registerwaarde schrijft. Schrijf naar C:\Program Files en HKLM als beheerder, zodat een medewerker het niet wijzigt.

Rol in geen van deze bestanden een sleutel uit.

Controleren

Claude Code: open /status. Bij Setting sources staat de bron van het beleid. /plugin toont de plugin van Idmen, claude mcp list het brein.
Codex: codex mcp list toont het brein.
Alle tools: vraag “Wat weet het brein over [een klant van jullie]?”. Het antwoord noemt bronnen zoals [^m44-01].

Bronnen

Geraadpleegd op 3-11-2026. Menunamen en paden veranderen soms; controleer ze in de bron voor je uitrolt.

Anthropic, Deploy managed settings: wegen, paden en hoe vaak Claude Code ze leest.
Anthropic, Control MCP server access for your organization: managed-mcp.json, managedMcpServers, de allowlist.
Anthropic, Manage Claude Code plugins for your organization: extraKnownMarketplaces en enabledPlugins.
Anthropic, Connect Claude Code to tools via MCP: omgevingsvariabelen, headersHelper en OAuth.
Anthropic, Add a connector that isn’t in the directory: connectors in Team en Enterprise.
OpenAI, Managed configuration: requirements, managed defaults en MDM voor Codex.
OpenAI, MCP in Codex: bearer_token_env_var en codex mcp login.
OpenAI, Connecting custom MCP servers in ChatGPT: wie een MCP-server maakt en publiceert.
Cursor, Model Context Protocol: mcp.json, de allowlist en servers voor het team.
Microsoft, Configure no maker authentication: de inlog van de maker of van de medewerker in Copilot Studio.