部署 Windows 應用和 Codex CLI

將 Windows 桌面應用、Codex CLI 或兩者部署到受管理的 Windows 裝置上。需要桌面存取時選擇應用，需要終端存取時選擇 CLI。

桌面應用和獨立 CLI 使用不同的安裝上下文。部署 CLI 之前，請選擇並驗證用於執行其安裝程式的帳戶。

部署 Windows 應用

根據你的管理工具以及裝置是否能夠存取 Microsoft 的分發服務，選擇部署方式。

部署前，請按照託管設定設定適用的控制措施。要為桌面應用中的 Codex 命令執行做好準備，請按照 Windows 沙箱設定操作。檢查裝置相容性，並完成所需的舊版設定。

下方的 MSIX 連結下載的是各架構的最新版本，而非歷史版本。請審查下載的安裝包，並將已核准的製品保留在部署系統中。按照管理應用更新中的說明，協調應用內建更新程式與 Microsoft Store、Intune 及其他部署工具。

   #Requires -RunAsAdministrator
   $ErrorActionPreference = 'Stop'

   Add-AppxProvisionedPackage -Online `
     -PackagePath "$PSScriptRoot\ChatGPT.msix" `
     -LicensePath "$PSScriptRoot\ChatGPT-License.xml" `
     -Regions all

   #Requires -RunAsAdministrator
   $ErrorActionPreference = 'Stop'

   Get-AppxProvisionedPackage -Online |
     Where-Object DisplayName -eq 'OpenAI.Codex' |
     Remove-AppxProvisionedPackage -Online -AllUsers

   Get-AppxPackage -AllUsers -Name 'OpenAI.Codex' |
     Remove-AppxPackage -AllUsers

%SystemRoot%\Sysnative\WindowsPowerShell\v1.0\powershell.exe -NoProfile -File .\Install-ChatGPT.ps1

C:\Windows\Sysnative\WindowsPowerShell\v1.0\powershell.exe -NoProfile -File .\Uninstall-ChatGPT.ps1

$package = Get-AppxProvisionedPackage -Online -ErrorAction Stop |
  Where-Object DisplayName -eq 'OpenAI.Codex'

if ($package) {
  Write-Output $package.PackageName
  exit 0
}
exit 1

#Requires -RunAsAdministrator
$ErrorActionPreference = 'Stop'

Add-AppxProvisionedPackage -Online `
  -PackagePath "$PSScriptRoot\ChatGPT.msix" `
  -LicensePath "$PSScriptRoot\ChatGPT-License.xml" `
  -Regions all

winget install --id 9PLM9XGG6VKS -s msstore

   Add-AppxProvisionedPackage -Online `
     -PackagePath .\ChatGPT.msix `
     -LicensePath .\ChatGPT-License.xml `
     -Regions all

在 Windows 上部署 Codex CLI

準備 CLI 程式包，應用裝置策略，並驗證員工帳戶能否從終端存取 CLI。

開始之前

• 確定目標 Windows 裝置、使用者及裝置的處理器架構，然後選擇安裝方式。確認使用者擁有 Codex 存取權限，並且能夠完成組織的登入流程。

• 對於 Intune，請準備好應用管理權限、符合 Microsoft Win32 打包先決條件的已註冊裝置，以及無人值守安裝程式包。

• 明確 CLI 更新和移除的負責人。如果使用 npm，請考慮受管理的 Node.js/npm 安裝及其全域程式包位置。

選擇安裝方式

選擇安裝方式並明確 CLI 版本。檢視 GitHub 上的 CLI 版本，然後將範例中的 <approved-version> 替換為已核准的版本號，格式為 x.y.z。程式包和檢測規則應使用相同的版本。

未指定版本時，獨立安裝程式預設使用 latest。顯式設定 -Release 可將部署固定到某個版本；請參閱安裝程式的版本參數。有關常規安裝指南，請參閱 CLI 安裝。

獨立 PowerShell 安裝程式。 在新的 PowerShell 視窗中下載安裝程式，並傳入已核准的版本：

$CodexRelease = '<approved-version>'
Invoke-WebRequest -UseBasicParsing -Uri 'https://chatgpt.com/codex/install.ps1' -OutFile '.\codex-install.ps1'
powershell -ExecutionPolicy Bypass -File .\codex-install.ps1 -Release $CodexRelease

npm。 如果裝置上的 Node.js 和 npm 已納入管理，請顯式選擇已核准的程式包版本：

$CodexRelease = '<approved-version>'
npm install -g "@openai/codex@$CodexRelease"

對於受管理的分發，請將經過稽核的安裝程式或程式包製品以及選定版本保留在 IT 部門維護的程式包中。明確定義安裝上下文、檢測、移除和更新行為。選擇版本不會改變安裝程式預設使用使用者設定檔的行為，也不會提供完整的無人值守部署封裝。

設定安裝上下文

獨立安裝程式預設將執行時檔案放在當前使用者的設定檔中，將命令目錄設為 %LOCALAPPDATA%\Programs\OpenAI\Codex\bin，並使用使用者 PATH。

以 SYSTEM 身份執行未經修改的安裝程式時，安裝目標是 SYSTEM 設定檔和環境。在 Intune 中選擇 System 並不會使其成為面向所有使用者的安裝。

將使用者安裝、裝置策略下發和經管理員核准的沙箱設定分開處理。當某個步驟需要使用員工的使用者設定檔時，請使用該員工的身份，而非 SYSTEM。

將獨立執行所需的執行時檔案儲存在一起；僅複製 codex.exe 無法構成完整的獨立安裝包。

通過 Intune 打包和分配 CLI

準備並驗證由 IT 管理的 Win32 安裝包，為所選安裝上下文配備無人值守安裝程式、解除安裝程式和檢測邏輯。

1. 準備一個原始檔夾，其中包含經核准的安裝檔案和無人值守安裝指令碼。在該指令碼中指定經核准的 CLI 版本，不要讓指令碼自動解析 latest。將 Microsoft 打包工具和輸出資料夾放在該原始檔夾之外。

2. 使用 Microsoft Win32 Content Prep Tool 生成 .intunewin 檔案。本範例假設已稽核的安裝指令碼名為 Install-Codex.ps1：

   IntuneWinAppUtil.exe -c C:\Packages\Codex\Source -s Install-Codex.ps1 -o C:\Packages\Codex\Output -q

該工具會打包原始檔夾中的內容。請參閱建立 Win32 應用包。

3. 在 Intune 中，建立一個 Windows 應用 (Win32) 並上傳安裝包。

4. 設定與安裝包匹配的安裝和解除安裝命令、使用者 或系統 行為、要求及檢測規則。

5. 將其分配為必需 或可用於已註冊裝置。

Intune 要求使用無人值守安裝。自定義檢測指令碼必須以退出碼 0 退出，並向 stdout 寫入內容；向 stderr 輸出內容會導致檢測失敗。請參閱新增和分配 Win32 應用。

即使管理代理報告了表示成功的退出碼，也要使用員工帳戶驗證 CLI。

對於 Configuration Manager (SCCM)，請在應用部署工作流程中採用已稽核的 CLI 安裝方案，並使用 CLI 專用的安裝程式和檢測規則。桌面應用的 MSIX 設定僅適用於桌面應用。

設定託管要求

將管理員強制執行的 Windows 要求部署到以下位置：

%ProgramData%\OpenAI\Codex\requirements.toml

通過終結點管理工具下發該檔案。向目標使用者授予讀取權限，並防止普通使用者更改由管理員管理的策略。

要求用於約束設定；設定預設值用於提供初始值。請同時檢查本機檔案和適用的雲端策略，以確定實際生效的設定。

為權限、審批、網路存取和沙箱行為選擇相應要求。有關支援的欄位和優先順序，請參閱託管設定。

部署後，以員工身份啟動 Codex，並使用 /status 和 /debug-config 確認實際生效的策略。安裝 CLI 或下發要求並不會授予工作區存取權限。

設定 Windows 沙箱

選擇 Windows 沙箱之前，請檢查裝置相容性。Windows 沙箱指南介紹了 Microsoft Execution Containers (MXC) 和舊版實現。

在相容裝置上優先使用 MXC

單獨使用 CLI 時，請在 config.toml 中啟用優先使用 MXC 的設定：

[features]
prefer_mxc = true

你也可以通過 requirements.toml 強制執行此功能設定值。此偏好設定允許在 MXC 不可用時回退到舊版實現。啟用前，請檢查 Windows 沙箱指南中的裝置要求。

在 CLI 0.162.0 或更高版本中，從專案目錄執行以下相容性探測命令：

codex -c windows.sandbox=mxc sandbox --include-managed-config --permission-profile :workspace -- cmd.exe /d /c echo MXC_OK
$LASTEXITCODE

預期輸出為 MXC_OK，退出碼為 0。此操作檢查的是顯式指定 MXC 的命令；還應檢查員工正常會話中的設定。

推廣部署前，請對照沙箱指南中的網路限制檢查你的託管網路策略。

準備舊版回退方案

當 MXC 不可用或被停用時，優先使用 elevated 舊版回退方案。其設定過程需要管理員核准，但沙箱內的命令無需管理員權限即可執行。

針對員工帳戶和 Codex 主目錄，按照由 IT 主導的設定流程操作。在具有適當提升權限的程序中執行以下範例：

codex sandbox setup --elevated --user 'DOMAIN\alice' --codex-home 'C:\Users\alice\.codex'

將範例身份和路徑替換為目標使用者的實際值。執行提權設定時，請使用管理員信任的 CLI 安裝。

若要僅允許提權的舊版實現，請將以下內容新增到 %ProgramData%\OpenAI\Codex\requirements.toml，而非 config.toml。請參閱設定舊版回退方案：

[windows]
allowed_sandbox_implementations = ["elevated"]

這會限制舊版回退方案，但不會阻止使用 MXC。在允許 unelevated 之前，請評估其較弱的網路隔離能力，以及不支援禁止讀取路徑的限制。

驗證 CLI 部署

以目標員工身份開啟一個不具有管理員權限的新 PowerShell 視窗：

Get-Command codex
codex --version
codex

確認找到的執行檔來自預期的安裝位置，然後完成經核准的登入流程。在指定的測試專案中執行一個小任務，並檢查當前生效的設定。

管理更新

桌面應用

應用預設會檢查更新，即使是離線 安裝後也會如此。若要啟用自動更新，請允許裝置存取 persistent.oaistatic.com。如果停用自動更新，請通過管理工具部署更新的 安裝包。

按照管理應用更新中的說明協調所有更新來源。停用內建更新程式並不會阻止 Microsoft Store、Intune 或其他管理工具更新應用，也不會提供由 OpenAI 管理的版本固定功能或單獨的發布渠道。請通過部署系統確認已安裝的版本。

Codex CLI

每次更新 CLI 時，選擇一個新獲批的版本，更新部署包中明確指定的 -Release 值或 npm 包版本，並更新其檢測規則。通過既定的打包部署流程進行部署，然後驗證已安裝的版本、帳戶上下文和檢測行為。不要將受管理的包改回使用未明確指定版本的安裝命令。請參閱 CLI 版本、CLI 安裝與更新和 npm 版本選擇。

故障排查

Codex CLI 安裝與設定

相關資源

• CLI 安裝

• 託管設定

• Windows 沙箱設定

• 適用於 Windows 的 ChatGPT 桌面應用

• 請參閱 Microsoft Win32 打包指南

• 請參閱 Microsoft Win32 部署設定