SpyBara
Go Premium

admin-setup.md 2026-10-21 23:02 UTC to 2026-10-22 22:58 UTC

This page contains 59 additions and 59 deletions.

2026
Thu 1 23:59 Fri 2 22:59 Sun 4 23:58 Mon 5 23:58 Tue 6 23:59 Wed 7 23:59 Tue 20 23:00 Wed 21 23:02 Thu 22 22:58 Fri 23 22:59 Mon 26 22:57 Tue 27 22:59

Configurar Claude Code para su organización

Un mapa de decisiones para administradores que implementan Claude Code, cubriendo proveedores de API, configuración administrada, aplicación de políticas, monitoreo de uso y manejo de datos.

Claude Code aplica la política de la organización a través de configuraciones administradas que tienen prioridad sobre la configuración local del desarrollador. Usted entrega esa configuración desde la consola de administración de Claude, su sistema de gestión de dispositivos móviles (MDM), o un archivo en disco. La configuración controla qué herramientas, comandos, servidores y destinos de red puede alcanzar Claude.

Esta página lo guía a través de las decisiones de implementación en orden. Cada fila se vincula a la sección a continuación y a la página de referencia para esa área.

[!NOTE]

SSO, aprovisionamiento SCIM y asignación de asientos se configuran a nivel de cuenta de Claude. Consulte la Guía del administrador empresarial de Claude y asignación de asientos para esos pasos.

Decisión Lo que está eligiendo Referencia
Elegir su proveedor de API Dónde Claude Code se autentica y cómo se factura Authentication, Amazon Bedrock, Google Cloud's Agent Platform, Microsoft Foundry
Decidir cómo llega la configuración a los dispositivos Cómo la política administrada llega a las máquinas de los desarrolladores Server-managed settings, Delivery mechanisms
Decidir qué aplicar Qué herramientas, comandos e integraciones están permitidas Permissions, Sandboxing
Configurar visibilidad de uso Cómo rastrear el gasto y la adopción Analytics, Monitoring, Costs
Revisar el manejo de datos Retención de datos y postura de cumplimiento Data usage, Security

Elegir su proveedor de API

Claude Code se conecta a Claude a través de uno de varios proveedores de API. Su elección afecta la facturación, la autenticación, qué postura de cumplimiento hereda y qué características de Claude Code pueden usar sus desarrolladores.

Proveedor Elija esto cuando
Claude for Teams / Enterprise Desea Claude Code y claude.ai bajo una suscripción por asiento con ninguna infraestructura para ejecutar. Esta es la recomendación predeterminada.
Claude Console Es API-first o desea facturación de pago por uso
Amazon Bedrock Desea heredar controles de cumplimiento y facturación de AWS existentes
Google Cloud's Agent Platform Desea heredar controles de cumplimiento y facturación de GCP existentes
Microsoft Foundry Desea heredar controles de cumplimiento y facturación de Azure existentes

Algunas características de Claude Code requieren una cuenta de claude.ai. Las sesiones en la nube, las tareas programadas en la nube, Code Review, Remote Control y la extensión de Chrome no están disponibles solo con claves de API de Console o credenciales de proveedores en la nube. Si despliegas a través de Amazon Bedrock, Google Cloud's Agent Platform o Microsoft Foundry, planifica si los desarrolladores también necesitan asientos de Claude for Teams o Enterprise. Cada página de características indica sus requisitos de plan.

Para la comparación completa del proveedor que cubre autenticación, regiones y paridad de características, consulte la descripción general de implementación empresarial. La configuración de autenticación de cada proveedor está en Authentication.

Los requisitos de proxy y firewall en Network configuration se aplican independientemente del proveedor. Si desea un único punto final frente a múltiples proveedores o registro de solicitudes centralizado, consulte LLM gateway.

Decidir cómo llega la configuración a los dispositivos

La configuración administrada define la política de la organización. Claude Code comprueba las cuatro fuentes en la tabla siguiente en orden de prioridad. Cómo Claude Code combina fuentes administradas indica cuáles de ellas se aplican, qué cambia un asistente de política y cómo componer cada fuente. La tabla es el mapa de decisión.

Mecanismo Entrega Prioridad Plataformas
Server-managed Consola de administración de claude.ai, o un Claude apps gateway autohospedado para inicios de sesión mediante gateway Más alta Todas
plist / registry policy macOS: com.anthropic.claudecode plist Windows: HKLM\SOFTWARE\Policies\ClaudeCode Alta macOS, Windows
File-based managed macOS: /Library/Application Support/ClaudeCode/managed-settings.json Linux y WSL: /etc/claude-code/managed-settings.json Windows: C:\Program Files\ClaudeCode\managed-settings.json Media Todas
Windows user registry HKCU\SOFTWARE\Policies\ClaudeCode Más baja Solo Windows

Claude Code obtiene la configuración administrada por servidor al inicio y la actualiza cada hora durante la sesión, sin infraestructura de endpoints que desplegar. La entrega a través de la consola de administración de claude.ai requiere un plan Claude for Teams o Enterprise. Los despliegues en Amazon Bedrock, Google Cloud's Agent Platform o Microsoft Foundry pueden obtener la misma entrega remota ejecutando un Claude apps gateway, o usar en su lugar uno de los mecanismos basados en archivos o a nivel del SO.

Si tu organización mezcla proveedores, configura server-managed settings para usuarios de claude.ai más un respaldo basado en archivos o plist/registry para que otros usuarios aún reciban política administrada.

Las ubicaciones de plist y registro HKLM funcionan con cualquier proveedor y resisten la manipulación porque requieren privilegios de administrador para escribir. El registro de usuario de Windows en HKCU se puede escribir sin elevación, así que trátalo como un valor predeterminado de conveniencia en lugar de un canal de aplicación.

Por defecto, WSL lee solo la ruta de archivo de Linux en /etc/claude-code. Para extender tu política de registro de Windows y C:\Program Files\ClaudeCode a WSL en la misma máquina, establece wslInheritsWindowsSettings: true en cualquiera de esas fuentes de Windows de solo administrador.

Cualquiera que sea el mecanismo que elijas, los valores administrados tienen prioridad sobre la configuración de usuario y proyecto, aparte de algunas excepciones sensibles a la seguridad. Los ajustes de matriz como permissions.allow y permissions.deny combinan entradas de todas las fuentes, por lo que los desarrolladores pueden extender listas administradas pero no eliminar elementos de ellas. Para fallbackModel, availableModels y modelPicker, el valor administrado reemplaza las capas inferiores en lugar de combinarse.

Sesiones de WSL en Claude Code Desktop

En Windows, Claude Code Desktop puede ejecutar sesiones de Code dentro de una distribución de WSL 2. El proceso de Claude Code de la sesión se ejecuta dentro de la distribución, por lo que resuelve la configuración administrada a través de la ruta de descubrimiento de WSL anterior: las fuentes solo de Windows no la alcanzan a menos que wslInheritsWindowsSettings: true esté desplegado.

Claude Desktop desactiva las sesiones de WSL de forma predeterminada en dispositivos que detecta como administrados por la organización, por ejemplo cuando existe C:\Program Files\ClaudeCode\managed-settings.json. Para activarlas, despliega una política de registro de Windows, que requiere Claude Desktop v1.19367.0 o posterior:

  • Crea un valor denominado disableWslSessions bajo HKLM\SOFTWARE\Policies\Claude y establécelo en la cadena REG_SZ false o en REG_DWORD 0. Este valor se encuentra bajo la clave de política de Claude Desktop, separado de la clave ClaudeCode que lleva la configuración administrada. Despliega el valor bajo HKLM, que requiere privilegios de administrador para escribir. Un valor bajo HKCU no habilita las sesiones de WSL.
  • Deja C:\Program Files\ClaudeCode\managed-settings.json en su lugar si lo despliegas. Una vez que disableWslSessions es false bajo HKLM, Desktop permite sesiones de WSL aunque ese archivo esté presente.

Desktop lee la política cada vez que se inicia una sesión de WSL, por lo que no necesitas reiniciar la aplicación después de desplegarla.

Si un dispositivo aún rechaza las sesiones de WSL, abre Help > Troubleshooting > Show Logs in File Explorer en Claude Desktop en ese dispositivo, lo que guarda una copia de su carpeta de registros en Descargas. Busca [wslPolicyGate] denying WSL session en el main.log de esa copia. La razón de la denegación aparece a continuación entre paréntesis, como (cli-file-present).

Después de que las sesiones de WSL estén habilitadas, extiende tu configuración administrada a ellas:

  • Despliega wslInheritsWindowsSettings: true a través del registro HKLM o del archivo C:\Program Files\ClaudeCode para que las sesiones de WSL hereden la misma política que las sesiones del host.
  • Verifica ejecutando /status dentro de una sesión de WSL y leyendo la línea Setting sources. Para interpretar lo que enumera, consulta Leer la fuente en /status.

Los procesos dentro de la máquina virtual de utilidad de WSL 2 no son visibles para los sensores de detección de endpoints del lado de Windows. Para observar la actividad de procesos y archivos dentro de la distribución, consulta la guía de WSL de tu proveedor de detección de endpoints para encontrar un sensor de Linux que puedas ejecutar dentro de la distribución y las exclusiones que necesita. La telemetría de ejecución de herramientas de OpenTelemetry de Claude Code se emite de forma idéntica para sesiones de WSL y nativas.

Decidir qué aplicar

La configuración administrada puede bloquear herramientas, ejecución de sandbox, restringir servidores MCP y fuentes de plugins, y controlar qué hooks se ejecutan. Cada fila es una superficie de control con las claves de configuración que la impulsan.

Control Lo que hace Configuraciones clave
Permission rules Permitir, preguntar o denegar herramientas y comandos específicos permissions.allow, permissions.deny
Permission lockdown Hacer que la configuración administrada sea la única fuente de configuración de reglas de permisos. Deshabilitar --dangerously-skip-permissions allowManagedPermissionRulesOnly, permissions.disableBypassPermissionsMode
Starting permission mode Elegir el modo de permisos en el que comienzan las sesiones de terminal de los desarrolladores en lugar del modo de permisos inicial integrado, o eliminar el modo automático. Switch permission modes enumera cuándo la extensión de VS Code lee un defaultMode que establece permissions.defaultMode, permissions.disableAutoMode
Sandboxing Aislamiento de sistema de archivos y red a nivel del SO con listas de permitidos de dominio sandbox.enabled, sandbox.network.allowedDomains
Managed policy CLAUDE.md Orientación de comportamiento para Claude en toda la organización, en lugar de una regla aplicada por el cliente Archivo en la ruta de política administrada
MCP server control Restringir qué servidores MCP pueden agregar o conectar los usuarios, implementar un conjunto fijo, o proporcionar servidores remotos a cada usuario junto con los suyos propios allowedMcpServers, deniedMcpServers, allowManagedMcpServersOnly, managedMcpServers, o un archivo managed-mcp.json implementado
Plugin marketplace control Restringir qué fuentes de marketplace pueden agregar e instalar los usuarios, rechazar las banderas CLI que cargan plugins, agents y servidores MCP para una única ejecución, bloquear fuentes de plugin command, y crear una lista de permitidos de qué plugins de marketplaces pueden ser sugeridos strictKnownMarketplaces, blockedMarketplaces, disableSideloadFlags, disableCommandPluginSources, pluginSuggestionMarketplaces
Customization lockdown Bloquear skills, agents, hooks y servidores MCP de fuentes de usuario y proyecto, para que solo provengan de plugins o configuración administrada. Bloquear skills también detiene los skills que los desarrolladores habilitan en claude.ai de sincronizarse strictPluginOnlyCustomization
Disable claude.ai sync Evitar que Claude Code cargue los skills y plugins que los desarrolladores habilitan en claude.ai. Si desactiva Skills para su organización en claude.ai, Claude Code deja de sincronizar ambos, y en v2.1.273 o posterior también elimina los que ya sincronizó. Para detener uno u otro sin desactivar Skills, establezca su clave en false en la configuración administrada syncClaudeAiSkills, syncClaudeAiPlugins
Hook restrictions Restringir qué hooks se ejecutan y restringir URLs de hooks HTTP; consulte lo que se ejecuta bajo allowManagedHooksOnly para la lista completa de efectos allowManagedHooksOnly, allowedHttpHookUrls
Login enforcement Restringir el inicio de sesión a un método específico u organización de Anthropic. La restricción de método se aplica en la extensión de VS Code, Agent SDK, claude setup-token e /install-github-app, y la pantalla de inicio de sesión interactivo del terminal, a la que se accede mediante /login u onboarding de primera ejecución, preselecciona el método sin aplicarlo; Claude Code verifica la organización para inicios de sesión de cuenta claude.ai en el terminal, extensión de VS Code y Agent SDK, y no la verifica para inicios de sesión de Claude Console o para inicio de sesión de gateway. Antes de v2.1.212, solo los inicios de sesión del terminal aplicaban cualquiera de las claves. Cuando se establece, las sesiones autenticadas por ANTHROPIC_API_KEY, ANTHROPIC_AUTH_TOKEN o apiKeyHelper se bloquean al inicio; las sesiones del proveedor de nube no se ven afectadas a menos que una de esas credenciales, o una clave API guardada por un inicio de sesión anterior de Claude Console, también esté presente forceLoginMethod, forceLoginOrgUUID
Provider restrictions Limitar qué proveedores de API puede usar una máquina. Una sesión en un proveedor que no está en la lista se rechaza al inicio, al iniciar sesión y cuando contacta a continuación con la API. Requiere Claude Code v2.1.285 o posterior allowedProviders
Disable agent view Desactivar claude agents, --bg, /background y el supervisor bajo demanda disableAgentView
Configure the corporate launcher Prefijo del supervisor de agente de fondo, sus workers y los otros procesos de fondo cubiertos con un lanzador corporativo requerido en lugar de desactivar la vista de agente processWrapper
Model restrictions availableModels filtra qué modelos aparecen en el selector. Agregar enforceAvailableModels también restringe el modelo predeterminado seleccionado automáticamente. Consulte surface coverage para ver cómo esta configuración llega a la CLI, web e IDE availableModels, enforceAvailableModels
Effort cap Limitar el nivel de esfuerzo para cada modelo o por modelo, en cada proveedor maxEffortLevel
Version floor Evitar que la actualización automática instale por debajo de un mínimo de toda la organización minimumVersion
Required version range Rechazar iniciar completamente cuando la versión en ejecución está fuera de un rango aprobado por la organización. Más fuerte que minimumVersion, que solo bloquea degradaciones requiredMinimumVersion, requiredMaximumVersion
Telemetry opt-out Desactivar métricas de uso vinculadas a Anthropic, informes de errores y encuestas en cada dispositivo env con CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC establecido en 1; la sección vinculada enumera las variables por categoría

Si los miembros inician sesión a través de claude.ai o la API de Anthropic y está en un plan Claude Enterprise, también puede gobernar modelos desde la configuración de administración de su organización sin implementar nada:

Ninguno de estos controles llega a sesiones en Amazon Bedrock, Google Cloud's Agent Platform, Microsoft Foundry, o Claude Platform on AWS. En esos proveedores, use configuración administrada en su lugar: availableModels para restricciones, model para un predeterminado, y maxEffortLevel para un límite de esfuerzo.

Las sesiones en la nube tienen sus propias superficies de administración en claude.ai:

Las reglas de permisos y el sandboxing cubren diferentes capas. Denegar WebFetch bloquea la herramienta de búsqueda de Claude, pero si Bash está permitido, curl y wget aún pueden alcanzar cualquier URL. El sandboxing cierra esa brecha con una lista de permitidos de dominio de red aplicada a nivel del SO.

Para el modelo de amenaza que estos controles defienden, consulte Security.

Cuentas de GitHub conectadas

En los planes Team y Enterprise, la sección de GitHub de Organization settings > Git providers enumera las organizaciones de GitHub y las cuentas personales vinculadas a tu organización de Claude a través de la Claude GitHub App. Claude Code, Claude Tag y Claude Security comparten la lista. Abrir la página requiere un rol de administrador en tu organización de Claude.

Un administrador o un miembro puede vincular una cuenta:

  • Conexión de administrador: un administrador hace clic en Connect en esa sección, o en Add organization una vez que hay una cuenta conectada, e instala la Claude GitHub App en una organización de GitHub. Vincular una organización de esta manera requiere a alguien que sea a la vez propietario de la organización de GitHub y administrador de tu organización de Claude.
  • Conexión de miembro: cuando un miembro conecta su cuenta de GitHub a Claude, por ejemplo al configurar sesiones en la nube, Claude vincula las cuentas de GitHub de las que ese miembro es propietario y en las que la Claude GitHub App ya está instalada. Eso puede incluir su cuenta personal y las organizaciones de GitHub de las que es propietario.

Una fila marcada como Not linked proviene de tu propio inicio de sesión en GitHub. Es una cuenta que puedes ver en GitHub en la que está instalada la Claude GitHub App.

Para desvincular una cuenta de tu organización de Claude, abre el menú de su fila y selecciona Unlink from this workspace. Desvincularla deja la Claude GitHub App instalada en GitHub, y la cuenta se vuelve a vincular la próxima vez que uno de sus propietarios conecte GitHub a Claude. Para evitar que se vuelva a vincular, desinstala la Claude GitHub App de esa cuenta en GitHub.

En los planes Enterprise, los tipos de actividad de la Compliance API para vincular y desvincular son github_app_installation_linked y github_app_installation_unlinked.

Configurar visibilidad de uso

Elija monitoreo basado en lo que necesita reportar. Los paneles, las API y los controles de gasto difieren entre los planes Claude for Teams o Enterprise y las organizaciones de Claude Console, así que verifique la columna Disponibilidad antes de planificar su reporte alrededor de una capacidad.

Capacidad Lo que obtiene Disponibilidad Dónde comenzar
Usage monitoring Exportación de OpenTelemetry de sesiones, herramientas y tokens Todos los proveedores Monitoring usage
Analytics dashboard Métricas de adopción y contribución con una tabla de clasificación en Teams / Enterprise; métricas de uso y gasto por usuario en Console Teams / Enterprise en claude.ai/analytics, Console en platform.claude.com/claude-code Analytics
Programmatic reporting Datos de uso y costo por usuario a través de una API Enterprise Analytics API para Enterprise, Claude Code Analytics API para Console Costs
Spend controls Límites de gasto y rate limits Configuración de la organización para Teams / Enterprise, límites de espacio de trabajo para Console; en nubes de terceros, controles de presupuesto en la nube o un Claude apps gateway con límites de gasto por usuario Costs

En Teams y Enterprise, los números de uso y gasto por usuario provienen del informe de gasto en la configuración de análisis de su organización, no del panel de análisis. Los proveedores de nube exponen el gasto a través de AWS Cost Explorer, GCP Billing o Azure Cost Management. Para planificar presupuestos empresariales en Claude chat, Claude Code y Cowork, consulte la guía de consumo de Claude Enterprise.

Revisar el manejo de datos

En planes de Team, Enterprise, Claude API y proveedores de nube, Anthropic no entrena modelos con tu código o prompts. Tu proveedor de API determina la retención y la postura de cumplimiento.

Tema Lo que debes saber Dónde comenzar
Data usage policy Qué recopila Anthropic, cuánto tiempo se retiene, qué nunca se usa para entrenamiento Data usage
Zero Data Retention (ZDR) Nada almacenado después de que se completa la solicitud. Disponible para cuentas calificadas en Claude for Enterprise Zero data retention
Configuración de HIPAA Para organizaciones de Claude for Enterprise que tienen HIPAA habilitado. Algunas funciones de Claude Code (modo local) están desactivadas y otras están desactivadas de forma predeterminada Configurar Claude Code (modo local) para una organización preparada para HIPAA
Security architecture Modelo de red, cifrado, autenticación, pista de auditoría Security

Si necesitas registro de auditoría a nivel de solicitud o enrutar tráfico por sensibilidad de datos, te recomendamos colocar un gateway entre los desarrolladores y tu proveedor: un Claude apps gateway autohospedado guarda un registro de auditoría por solicitud con la identidad del IdP, o puedes usar otro LLM gateway. Las sesiones que pasan por un gateway no son elegibles para la configuración de HIPAA. Verificar cómo los desarrolladores inician sesión y se conectan enumera qué métodos de inicio de sesión y de conexión sí son elegibles. Para requisitos regulatorios y certificaciones, consulta Legal and compliance.

Verificar e incorporar

Después de configurar la configuración administrada, haga que un desarrollador ejecute /status dentro de Claude Code. En la pestaña Status, la línea Setting sources muestra Enterprise managed settings seguida de la fuente entre paréntesis; Verificar cumplimiento enumera las etiquetas.

Comparta estos recursos para ayudar a los desarrolladores a comenzar:

Para problemas de inicio de sesión, dirija a los desarrolladores a solución de problemas de autenticación. Las correcciones más comunes son:

  • Ejecutar /logout luego /login para cambiar de cuenta
  • Ejecutar claude update si falta la opción de autenticación empresarial
  • Reiniciar la terminal después de actualizar

Si un desarrollador ve "You haven't been added to your organization yet," su asiento no incluye acceso a Claude Code y debe actualizarse en la consola de administración.

Próximos pasos

Con el proveedor y el mecanismo de entrega elegidos, continúe con la configuración detallada: