コンテンツにスキップ
mild worksai-tools-kb

Desktop の組織管理

facts ／Claude Code ／desktop-enterprise

stable1 か月前 · 2026-08-23

概要

Team / Enterprise プランの組織は、管理コンソールの設定・managed settings ファイル・デバイス管理ポリシーの 3 経路でデスクトップアプリの挙動を管理する。

仕様

管理コンソールの設定

  • Code in the desktop: 組織のユーザーがデスクトップアプリで Claude Code を使えるか
  • Code in the web: web セッションの有効・無効
  • Remote Control: Remote Control の有効・無効
  • Disable Bypass permissions mode: Bypass permissions モードの有効化を禁じる

managed settings

managed settings はプロジェクト設定・ユーザー設定を上書きし、Desktop の Claude Code セッションに適用される。

キー内容
permissions.disableBypassPermissionsMode"disable" で Bypass permissions モードの有効化を禁じる
disableAutoMode"disable" でモードセレクタから Auto を外す。permissions の下でも受け付ける
autoModeauto mode の classifier が何を信頼し何を止めるかを組織全体で調整する
browserExternalPageTools"disabled" で、Browser ペインの外部ページに対する Claude のツール（読み取り・操作）を禁じる。ユーザー自身の閲覧とローカル dev サーバーのプレビューは影響を受けない
disableMobileSimulatorToolstrue で iOS Simulator ペインにおける Claude のツールを止める。ペイン自体はユーザーの操作用に残り、Claude のアクセスだけが外れる
disableBrowserExternalNavigationtrue で Browser ペインの外部閲覧を全面的に止める。値は JSON の boolean true でなければならず、文字列の "true" は無視される
sshConfigs環境ドロップダウンに出す SSH 接続を事前設定する。ユーザーは編集・削除できない
sshHostAllowlistSSH セッションの接続先を、解決後のホスト名がパターンに一致するものへ制限する。空配列で SSH セッションを無効化する。managed settings からのみ読まれる
managedMcpServersMCP サーバー構成を全ユーザーへ配布する。サードパーティ（3P）の Desktop 配備でのみ利用できる。 各エントリで "http" / "sse" / "stdio" の transport と接続情報を設定し、任意で toolPolicy によりユーザーが呼べるツールを制限する

どの managed settings がセッションに届くかは、そのセッションがどこで動くかで決まる。

  • このマシンのローカルセッション: ディスクへ配備した managed settings ファイルが適用される。管理コンソールからリモートで push した managed settings も、対象となるログインまたはキーで認証している場合に届く（設定の優先順位はターミナル CLI と同じ）
  • cloud セッション: server-managed settings を受け取る。デバイスに配備したファイルは届かない（Anthropic 管理の VM 上で動くため）
  • SSH セッション: リモートホスト側の managed settings ファイルを読む。ただし接続作成時の sshConfigs と sshHostAllowlist はローカルマシンの managed settings から読む

permissions.disableBypassPermissionsMode と disableAutoMode はユーザー設定・プロジェクト設定でも効くが、managed settings に置けばユーザーによる上書きを防げる。

デバイス管理ポリシー

  • macOS: com.anthropic.claudefordesktop の preference domain（Jamf、Kandji など）
  • Windows: レジストリの SOFTWARE\Policies\Claude
  • 設定できるもの: Claude Code 機能の有効・無効、自動更新の制御、カスタムの配布 URL

ネットワーク要件

アプリのコードとユーザーコンテンツを Anthropic の CDN ホストから読み込む。HTTPS のポート 443（OTLP・LLM gateway・MCP サーバーでカスタムポートを設定した場合を除く）。

anthropic.com
*.anthropic.com
claude.ai
*.claude.ai
claude.com
*.claude.com
claude.app
*.claude.app
*.claudeusercontent.com
*.claudemcpcontent.com

ワイルドカードを減らす場合は個別ホストを許可する。動的に生成されるサブドメインがあるため、一部はワイルドカードのまま残す必要がある。

anthropic.com
api.anthropic.com
a-api.anthropic.com
a-cdn.anthropic.com
s-cdn.anthropic.com
assets-proxy.anthropic.com
claude.ai
a.claude.ai
a-cdn.claude.ai
assets.claude.ai
downloads.claude.ai
*.livepreview.claude.ai
claude.com
platform.claude.com
*.livepreview.claude.app
*.claudeusercontent.com
*.claudemcpcontent.com
  • Google Fonts から書体を読む artifact は fonts.googleapis.com と fonts.gstatic.com も要求する。どちらも任意で、塞ぐと代替書体で描画される。黙って落とすのではなく即座に拒否する形で塞ぐ（そうしないと初回描画が遅れる）

データの扱い

  • ローカルセッションでは手元で、cloud セッションでは Anthropic 管理のインフラでコードを処理する（組織が self-hosted environment へ回す場合を除く）
  • cloud セッション（self-hosted environment を含む）は会話とコードのコンテキストを Anthropic の API へ送る。 ローカルと SSH のセッションは、配備が設定したモデルプロバイダ（既定では Anthropic の API）へ送る

配布

  • macOS: .dmg インストーラを MDM（Jamf、Kandji など）で配布する
  • Windows: MSIX パッケージで配備する（サイレントインストールなどの選択肢がある）

制約・注意点

  • disableBrowserExternalNavigation は boolean の true のみ有効。 文字列だと無視されるため、設定したつもりで外部閲覧が開いたままになる
  • managedMcpServers は 3P 配備専用。 3P 配備は管理コンソールの設定を受け取らないため、managed settings ファイル・MDM・gateway ポリシー経由で配る
  • cloud セッションにはデバイス配備の managed settings が届かない

関連

  • facts/claude-code/desktop.md
  • facts/claude-code/desktop-environments.md
  • facts/claude-code/settings.md
  • facts/claude-code/security.md
  • facts/claude-code/permission-modes.md