管理员初始化
创建首位管理员
在让 Engine 可以被远程访问之前，先在 Engine 主机上完成首位管理员初始化。这个账号同时是管理员和初始组织的所有者；账号创建成功后，首账号初始化入口不能再次使用。
macOS 或 Windows 主机
- 登录主机电脑，打开已经安装的 Clawuno App，等待本机 Engine 启动。
- 全新安装 0.8.1 时，必须在主机 App 的首次设置界面填写管理员姓名、真实邮箱，并设置至少八位的密码。管理员账号会在这个必经步骤中创建；0.8.1 不存在另行“设置远程登录”的步骤。
- 将账号密码保存到组织的密码管理器。
- 邀请其他用户之前，从另一台可信电脑的浏览器或 Desktop Client 使用同一邮箱和密码验证登录。
如果这个 Engine 已经存在具有邮箱和密码的管理员，应直接使用原账号登录，不要尝试再次创建管理员。Desktop 主机对外提供 Engine 时，主机用户需要保持登录，Clawuno App 也需要保持运行。
Linux 主机
只使用安装器生成的一次性设置网址。在可信设备上打开该网址，然后填写管理员姓名、真实邮箱和至少八位的密码。初始化凭据位于 URL fragment 中，不会进入常规 HTTP 访问日志。只完成一次设置，将管理员账号保存到组织的密码管理器，并且不要转发或重复使用这个网址。
配置组织
- 使用首位管理员登录这个 Engine，打开 系统设置 → 用户。
- 确认首次设置时创建的管理员邮箱和密码可以从计划使用的受保护地址登录。
- 选择 输入开通码，粘贴 Clawuno 提供的完整代码并提交。开通码属于凭据，不要放进工单、截图或 Chat。
- 核对显示的版本类型、License ID、有效期（如有）以及“已用账户 / 授权上限”。开通作用于当前连接的 Engine，不需要重启。
- 在系统真正依赖某一个账号之前，准备不止一位管理员。
- 按照最小权限为成员添加用户角色。
- 明确哪些 Workspace 对应部门、项目或独立的数据范围。
- 确定允许链接哪些本地目录，以及谁负责这些目录的宿主权限。
同一个 Agent 可以进入多个 Workspace。Agent 身份是全局的，但每次 Chat 和 Work 仍然具有明确的 Active Workspace 和文件边界。
明确运维责任人
分别记录以下职责的负责人：
- 宿主机、App 或容器生命周期；
- 反向代理、DNS 与 TLS；
- 用户生命周期和团队/企业授权；
- 模型凭据和费用预算；
- 备份验证与恢复演练；
- 安全事件响应。
Uno 可以引导管理员使用产品设置，但无法代替宿主机权限、恢复已经停止的 Engine，或自行获得外部基础设施授权。
恢复管理员账号
执行者必须已经拥有 Clawuno 宿主机的操作系统权限。下面的命令会生成一个 15 分钟有效、只能使用一次的重置网址，不会显示旧密码。
- macOS：
~/clawuno/bin/clawuno admin reset-token --new --email 管理员邮箱 - Windows Desktop： 退出 Clawuno，以安装 Clawuno 的 Windows 用户打开 PowerShell，设置
$engine = "$env:LOCALAPPDATA\ClawunoDesktop\current\engine"和$env:DATA_ROOT = "$env:USERPROFILE\clawuno\data"，然后运行& "$engine\runtime\node.exe" "$engine\bin\admin-cli.js" reset-token --new --email "管理员邮箱"。完成后运行Remove-Item Env:DATA_ROOT。 - Linux Docker： 进入目标实例目录，运行
sudo docker compose exec -u 10001 engine node /opt/clawuno/bin/admin-cli.js reset-token --new --email 管理员邮箱 --port 9700。如果用户通过反向代理网址或非默认宿主端口访问，请替换输出网址的 origin，同时完整保留/sign-in/reset?token=...路径和 token。
在可信设备上打开网址，设置新密码，并存入组织的密码管理器。网址过期后重新生成；不要通过公开渠道传递 token。