Skip to main content
Claude Code は、ローカル開発者設定よりも優先されるマネージド設定を通じて組織ポリシーを実行します。これらの設定は Claude 管理コンソール、モバイルデバイス管理（MDM）システム、またはディスク上のファイルから配信します。設定は Claude が到達できるツール、コマンド、サーバー、ネットワーク宛先を制御します。 このページでは、展開の決定を順番に説明します。各行は以下のセクションと、その領域の参照ページにリンクしています。
SSO、SCIM プロビジョニング、シート割り当ては Claude アカウントレベルで設定されます。これらの手順については、Claude Enterprise Administrator Guide と シート割り当て を参照してください。

​
API プロバイダーを選択する

Claude Code は複数の API プロバイダーのいずれかを通じて Claude に接続します。選択は課金、認証、継承するコンプライアンス体制、および開発者が使用できる Claude Code 機能に影響します。 一部の Claude Code 機能には claude.ai アカウントが必要です。web 上の Claude Code、Routines、Code Review、Remote Control、および Chrome 拡張機能 は、Console API キーまたはクラウドプロバイダーの認証情報だけでは利用できません。Amazon Bedrock、Google Cloud の Agent Platform、または Microsoft Foundry を通じてデプロイする場合は、開発者が Claude for Teams または Enterprise シートも必要かどうかを検討してください。各機能ページにはプラン要件が記載されています。 認証、リージョン、機能パリティをカバーする完全なプロバイダー比較については、エンタープライズ展開概要 を参照してください。各プロバイダーの認証セットアップは Authentication にあります。 ネットワーク設定 のプロキシとファイアウォール要件は、プロバイダーに関係なく適用されます。複数のプロバイダーの前に単一のエンドポイントを配置したい場合、または集中化されたリクエストログを記録したい場合は、LLM gateway を参照してください。

​
設定がデバイスに到達する方法を決定する

管理設定は、組織ポリシーを定義します。Claude Code は以下の表に示す 4 つのソースを優先順位順にチェックします。Claude Code がマネージドソースを組み合わせる方法は、どのソースが適用されるか、ポリシーヘルパーが何を変更するか、およびすべてのソースを構成する方法を説明しています。この表は決定マップです。 Claude Code はスタートアップ時に server-managed 設定をフェッチし、セッション中は 1 時間ごとに更新します。デプロイするエンドポイントインフラストラクチャはありません。claude.ai 管理コンソール経由の配信には Claude for Teams または Enterprise プランが必要です。Amazon Bedrock、Google Cloud の Agent Platform、または Microsoft Foundry でのデプロイは、Claude apps gateway を実行することで同じリモート配信を取得できます。または、ファイルベースまたは OS レベルのメカニズムのいずれかを代わりに使用してください。 組織が複数のプロバイダーを混在させている場合、claude.ai ユーザー向けに server-managed settings を設定し、他のユーザーがマネージドポリシーを受け取るように ファイルベースまたは plist/registry フォールバックを設定してください。 plist と HKLM レジストリの場所は任意のプロバイダーで機能し、書き込みに管理者権限が必要なため、改ざんに強いです。HKCU の Windows ユーザーレジストリは昇格なしで書き込み可能なため、実行チャネルではなく便利なデフォルトとして扱ってください。 デフォルトでは WSL は /etc/claude-code の Linux ファイルパスのみを読み取ります。同じマシン上の WSL に Windows レジストリと C:\Program Files\ClaudeCode ポリシーを拡張するには、これらの管理者のみが使用できる Windows ソースのいずれかで wslInheritsWindowsSettings: true を設定してください。 どのメカニズムを選択しても、マネージド値はユーザーおよびプロジェクト設定よりも優先されます。ただし、セキュリティに関する 例外がいくつかあります。permissions.allow や permissions.deny などの配列設定は、すべてのソースからのエントリをマージするため、開発者はマネージドリストを拡張できますが、削除することはできません。fallbackModel、availableModels、および modelPicker の場合、マネージド値は下位レイヤーとマージするのではなく、置き換えます。

​
Claude Code Desktop の WSL セッション

Windows では、Claude Code Desktop は WSL 2 ディストリビューション内で Code セッションを実行できます。セッションの Claude Code プロセスはディストリビューション内で実行されるため、上記の WSL 検出パスを通じて管理設定を解決します。wslInheritsWindowsSettings: true がデプロイされていない限り、Windows のみのソースはそれに到達しません。 Claude Desktop は、C:\Program Files\ClaudeCode\managed-settings.json が存在する場合など、組織が管理しているデバイスとして検出されるデバイスでは、デフォルトで WSL セッションをオフにします。それらをオンにするには、Windows レジストリポリシーをデプロイします。これには Claude Desktop v1.19367.0 以降が必要です。
  • HKLM\SOFTWARE\Policies\Claude の下に disableWslSessions という名前の値を作成し、REG_SZ 文字列 false または REG_DWORD 0 に設定します。この値は Claude Desktop ポリシーキーの下にあり、管理設定を含む ClaudeCode キーとは別です。HKLM の下に値をデプロイします。これには管理者権限が必要です。HKCU の下の値は WSL セッションを有効にしません。
  • C:\Program Files\ClaudeCode\managed-settings.json をデプロイする場合は、そのままにしておいてください。disableWslSessions が HKLM の下で false になると、そのファイルが存在していても Desktop は WSL セッションを許可します。
Desktop は WSL セッションが開始されるたびにポリシーを読み取るため、デプロイ後にアプリを再起動する必要はありません。 デバイスが依然として WSL セッションを拒否する場合は、そのデバイスの Claude Desktop で Help > Troubleshooting > Show Logs in File Explorer を開きます。これにより、ログフォルダのコピーが Downloads に保存されます。そのコピーの main.log で [wslPolicyGate] denying WSL session を検索してください。拒否の理由は括弧内に続きます。例えば (cli-file-present) のようにです。 WSL セッションが有効になった後、管理設定をそれらに拡張します。
  • HKLM レジストリまたは C:\Program Files\ClaudeCode ファイルを通じて wslInheritsWindowsSettings: true をデプロイして、WSL セッションがホストセッションと同じポリシーを継承するようにしてください。
  • WSL セッション内で /status を実行して検証し、Setting sources 行を読んでください。それを解釈する方法については、/status で出力を読むを参照してください。
WSL 2 ユーティリティ VM 内のプロセスは、Windows 側のエンドポイント検出センサーに表示されません。ディストリビューション内のプロセスとファイルアクティビティを観察するには、エンドポイント検出ベンダーの WSL ガイダンスで、ディストリビューション内で実行できる Linux センサーと、それが必要とする除外を確認してください。Claude Code の OpenTelemetry ツール実行テレメトリは WSL とネイティブセッションで同じように出力されます。

​
実装する内容を決定する

マネージド設定は、ツール、サンドボックス実行、MCP サーバーとプラグインソース、および実行するフック を制限できます。各行は、それを駆動する設定キーを持つ制御サーフェスです。 メンバーが claude.ai または Anthropic API を通じてサインインし、Claude Enterprise プランを使用している場合、何もデプロイせずに組織の管理者設定からモデルを管理することもできます。
  • 組織モデル制限：個別のモデルを無効にします。サーバー側で強制されます。
  • 組織デフォルトモデル：新しいセッションが開始するモデルを設定します。メンバーは引き続きモデルを切り替えることができます。起動時にメンバーを組織のデフォルトに戻すには、そのセクションで説明されている上書きをオンにします。メンバーが選択できるモデルを制限するには、組織モデル制限を使用します。
  • 組織エフォート制限：ロールごとのエフォートレベルをキャップします。サーバー側で強制されます。
これらの制御は、Amazon Bedrock、Google Cloud の Agent Platform、Microsoft Foundry、またはAWS 上の Claude Platformのセッションには到達しません。これらのプロバイダーでは、代わりにマネージド設定を使用してください。制限には availableModels、デフォルトには model、エフォートキャップには maxEffortLevel を使用します。 クラウドセッションには、claude.ai 上に独自の管理サーフェスがあります。 権限ルールとサンドボックスは異なるレイヤーをカバーします。WebFetch を拒否すると Claude のフェッチツールがブロックされますが、Bash が許可されている場合、curl と wget は依然として任意の URL に到達できます。サンドボックスは、OS レベルで強制されるネットワークドメイン許可リストでそのギャップを閉じます。 これらの制御が防御する脅威モデルについては、セキュリティを参照してください。

​
接続された GitHub アカウント

Team プランと Enterprise プランでは、Organization settings > Git providers の GitHub セクションに、Claude GitHub App を通じて Claude 組織にリンクされている GitHub 組織と個人アカウントが一覧表示されます。Claude Code、Claude Tag、Claude Security はこのリストを共有します。このページを開くには、Claude 組織での管理者ロールが必要です。 アカウントは管理者またはメンバーがリンクできます。
  • 管理者による接続：管理者がこのセクションで Connect をクリックするか、アカウントが接続済みの場合は Add organization をクリックして、GitHub 組織に Claude GitHub App をインストールします。この方法で組織をリンクするには、GitHub 組織のオーナーであり、かつ Claude 組織の管理者でもある人物が必要です。
  • メンバーによる接続：メンバーが GitHub アカウントを Claude に接続すると（たとえばクラウドセッションのセットアップ中など）、Claude は、そのメンバーが所有し、Claude GitHub App が既にインストールされている GitHub アカウントをリンクします。これには、メンバーの個人アカウントや、メンバーが所有する GitHub 組織が含まれる場合があります。
Not linked とマークされた行は、ユーザー自身の GitHub サインインに由来するものです。これは、Claude GitHub App がインストールされている、ユーザーが GitHub 上で参照できるアカウントです。 Claude 組織からアカウントのリンクを解除するには、その行のメニューを開き、Unlink from this workspace を選択します。リンクを解除しても Claude GitHub App は GitHub 上にインストールされたままとなり、そのアカウントのオーナーの誰かが次に GitHub を Claude に接続したときに、アカウントは再びリンクされます。再びリンクされないようにするには、GitHub 上でそのアカウントから Claude GitHub App をアンインストールしてください。 Enterprise プランでは、リンクおよびリンク解除に対応する Compliance API のアクティビティタイプは github_app_installation_linked と github_app_installation_unlinked です。

​
使用状況の可視性をセットアップする

必要なレポート内容に基づいて監視を選択してください。ダッシュボード、API、支出管理は Claude for Teams または Enterprise プランと Claude Console 組織で異なるため、機能に基づいてレポートを計画する前に「利用可能性」列を確認してください。 Teams および Enterprise では、ユーザーごとの使用状況と支出の数値は分析ダッシュボードではなく、組織の分析設定の 支出レポート から取得されます。クラウドプロバイダーは AWS Cost Explorer、GCP Billing、または Azure Cost Management を通じて支出を公開します。Claude チャット、Claude Code、Cowork 全体にわたるエンタープライズ予算計画については、Claude Enterprise 消費ガイド を参照してください。

​
データ処理を確認する

Team、Enterprise、Claude API、およびクラウドプロバイダープランでは、Anthropic はコードまたはプロンプトでモデルをトレーニングしません。API プロバイダーが保持とコンプライアンス体制を決定します。 リクエストレベルの監査ログが必要な場合、またはデータの機密性によってトラフィックをルーティングしたい場合は、開発者とプロバイダーの間にゲートウェイを配置することをお勧めします。セルフホスト型の Claude apps gateway は IdP の ID とともにリクエストごとの監査ログを記録します。または、別の LLM ゲートウェイを使用することもできます。ゲートウェイを経由するセッションは HIPAA 設定の対象外です。対象となるサインイン方法と接続方法については、開発者のサインイン方法と接続方法を確認するに記載されています。規制要件と認定については、Legal and compliance を参照してください。

​
検証とオンボード

マネージド設定を設定した後、開発者に Claude Code 内で /status を実行させてください。Status タブの Setting sources 行に Enterprise managed settings が表示され、その後に括弧内のソースが続きます。アクティブな設定を検証 にラベルが記載されています。 開発者が開始するのに役立つこれらのリソースを共有してください。 ログインの問題については、開発者に 認証のトラブルシューティング を指してください。最も一般的な修正は次のとおりです。
  • /logout を実行してから /login を実行してアカウントを切り替える
  • エンタープライズ認証オプションが見つからない場合は claude update を実行する
  • 更新後にターミナルを再起動する
開発者が「You haven’t been added to your organization yet」というメッセージを見た場合、そのシートには Claude Code アクセスが含まれておらず、管理コンソールで更新する必要があります。

​
次のステップ

プロバイダーと配信メカニズムを選択したら、詳細な設定に進みます。