②-b補足：ロール別（エンジニア/非エンジニア）で配布を分ける
server-managed settings は組織の全ユーザーに一律適用（グループ別設定は未サポート）。同一組織内でロール別に設定を分けたい場合は、MDM のグループ機能で配布を分離します。
エンジニア向けプロファイル
- ◎ 安全性を確保しつつカスタマイズ可能
- ◎ 必須 deny・必須 hook は managed で固定
- ◎ user/project 層での追加・調整を許容
- △ コマンド知識がある前提の設定
非エンジニア向けプロファイル
- ◎ 実現できうる最も安全な固定設定
- ◎ bypass 封印・sandbox・MCP 原則禁止
- ◎ カスタマイズ不要でそのまま安全
- △ 制約が強く上級者には不向き
server-managed はグループ別配信不可（全員一律）＝ロール別の分離は MDM のグループ機能（Smart Group 等）で配布を分ける。
エンジニアの生産性と非エンジニアの安全性を両立。