Comment Claude Code combine les sources gérées

Quand votre organisation livre plus d'une source gérée à la même machine, la clé managedSourcesBehavior décide ce que Claude Code fait avec les autres :

• "first-wins", la valeur par défaut : Claude Code utilise la source la mieux classée qui livre au moins une clé de politique et ignore le reste plutôt que de les fusionner, à l'exception des clés dans Clés lues de chaque source d'administration. Claude Code n'affiche aucun avertissement pour les sources qu'il ignore ; /status nomme la source qu'il a utilisée et celles qu'il a ignorées.
• "merge" : Claude Code applique chaque source d'administration qui livre une clé de politique et les combine par type de clé : sur la plupart des clés, la valeur de la source la mieux classée s'applique, les listes s'unissent, et les verrous prennent la valeur la plus stricte. Composer chaque source gérée dit où définir la clé et comment chaque type de clé se combine. Nécessite Claude Code v2.1.242 ou ultérieur.

Les deux paramètres classent les sources de la même manière. Deux termes reviennent dans cette section :

• Clé de politique : toute clé de paramètres autre que les deux clés de contrôle, wslInheritsWindowsSettings et managedSourcesBehavior. Un fichier de paramètres gérés ou une politique MDM qui contient uniquement ceux-ci ne compte pas, et Claude Code passe à la source suivante.
• Source d'administration : l'une des trois premières sources ci-dessous. Le registre HKCU modifiable par l'utilisateur n'en est pas une.

Claude Code vérifie les sources dans cet ordre, priorité la plus élevée en premier :

1. Paramètres distants, livrés de claude.ai comme paramètres gérés par le serveur ou par une passerelle d'applications Claude. Claude Code récupère cette source uniquement quand la session s'authentifie à l'API d'Anthropic directement avec une connexion ou clé éligible, ou se connecte à une passerelle avec /login. Sur d'autres fournisseurs, ou quand ANTHROPIC_BASE_URL pointe ailleurs que l'API d'Anthropic, il commence à la source suivante
2. Politiques MDM ou au niveau du système d'exploitation : le plist macOS ou la clé de registre HKLM
3. Fichiers de paramètres gérés, managed-settings.d/*.json et managed-settings.json fusionnés ensemble
4. Le registre HKCU, sur Windows, et sur WSL une fois que le registre HKLM ou le fichier de paramètres gérés Windows active wslInheritsWindowsSettings et la valeur HKCU le définit également. Claude Code ne le lit que quand aucune source au-dessus ne livre une clé de politique et aucun paramètre parent fourni par l'hôte ne fournit une clé restrictive

Ce diagramme montre le classement, avec des exemples des clés inter-sources que Claude Code lit des trois premières sources sous l'un ou l'autre paramètre :

Clés lues de chaque source d'administration

Sous le paramètre par défaut "first-wins", Claude Code lit la plupart des clés uniquement de la source qu'il a sélectionnée, et ignore une valeur dans une source de rang inférieur même quand la source sélectionnée laisse cette clé non définie.

Quelques clés fonctionnent différemment. Claude Code les lit de chaque source d'administration, donc une politique MDM ou un fichier de paramètres gérés de rang inférieur peut toujours les définir quand la source sélectionnée ne le fait pas. Claude Code laisse le registre HKCU modifiable par l'utilisateur en dehors de cette analyse ; quand HKCU est la seule source et qu'aucun hôte ne fournit de paramètres parent, HKCU s'applique comme n'importe quelle source sélectionnée.

Les clés inter-sources incluent :

• sandbox.network.allowManagedDomainsOnly et sandbox.filesystem.allowManagedReadPathsOnly : un true dans n'importe quelle source d'administration active le verrou. Pendant qu'un verrou est actif, Claude Code unit la liste d'autorisation qu'il verrouille, sandbox.network.allowedDomains ensemble avec les règles d'autorisation WebFetch(domain:...), ou sandbox.filesystem.allowRead, de chaque source d'administration. Sans le verrou, Claude Code traite la liste d'autorisation comme n'importe quelle autre clé, donc sous "first-wins" la liste d'autorisation d'une source d'administration non sélectionnée est ignorée
• allowAllClaudeAiMcps
• Les chemins binaires sandbox sandbox.bwrapPath et sandbox.socatPath
• Le binaire sandbox ripgrep, sandbox.ripgrep
• sandbox.filesystem.disabled et sandbox.network.strictAllowlist
• useAutoModeDuringPlan et syncClaudeAiSkills, où un false de n'importe quelle source d'administration désactive le comportement. Un false dans les paramètres utilisateur ou local du développeur le désactive également ; chaque clé ne peut que refuser
• enableArtifact, où un false de n'importe quelle source d'administration désactive l'outil Artifact. Un false dans les paramètres utilisateur, projet ou local du développeur le désactive également, et aucune source ne le réactive ; consultez quelles valeurs de niveau inférieur comptent toujours. Nécessite Claude Code v2.1.242 ou ultérieur
• maxEffortLevel, où le plafond le plus bas dans n'importe quelle source d'administration s'applique. Si un développeur définit un plafond plus bas dans ses propres paramètres ou avec --settings, Claude Code applique celui-ci ; aucune source ne peut augmenter le plafond. Nécessite Claude Code v2.1.267 ou ultérieur
• Une opt-out de commit-trailer dans attribution, ou dans le includeCoAuthoredBy déprécié, de n'importe quel niveau
• forceRemoteSettingsRefresh
• env, fusionné par variable de chaque source d'administration : chaque variable provient de la source de priorité la plus élevée qui la définit, donc les sources inférieures remplissent les variables que les sources supérieures laissent non définies. Quelques variables suivent leurs propres règles ; Exceptions par clé de chaque source gérée nomme chacune. Nécessite Claude Code v2.1.223 ou ultérieur. Avant v2.1.223, Claude Code appliquait uniquement le bloc env entier de la source sélectionnée

Les clés de connexion à la passerelle, forceLoginGatewayUrl et la valeur "gateway" de forceLoginMethod, suivent une règle séparée. Claude Code ne les lit jamais à partir des paramètres gérés par le serveur, donc pendant que les paramètres gérés par le serveur sont la source sélectionnée, la source d'administration la mieux classée sur la machine qui porte une clé de politique les fournit toujours. Une valeur dans une source d'administration classée en dessous de celle-ci, ou dans le registre HKCU, est ignorée.

Composer chaque source gérée

Pour que Claude Code applique chaque source d'administration que votre organisation livre, définissez managedSourcesBehavior sur "merge" dans la source la mieux classée que vous déployez. Claude Code lit la clé uniquement de la source la mieux classée qui porte soit la clé soit une clé de politique, donc une source inférieure ne peut pas se faire fusionner avec la source au-dessus, et une machine qui ne reçoit jamais les paramètres gérés par le serveur a besoin de la clé dans son profil MDM également. Le registre HKCU modifiable par l'utilisateur ne fusionne jamais avec une autre source. Nécessite Claude Code v2.1.242 ou ultérieur.

Sous "merge", Claude Code ajoute les entrées de liste d'une source inférieure, comme les règles permissions.allow et les hooks, à la politique, donc activez-le uniquement quand chaque source classée en dessous de votre source la plus élevée est sous le contrôle d'un administrateur.

Ce tableau montre comment Claude Code combine chaque type de clé sous "merge". L'entrée managedSourcesBehavior nomme chaque clé dans trois des lignes : listes d'autorisation de restriction, valeurs prises entièrement, et clés lues uniquement de la source la mieux classée.

Pour confirmer quelles sources se sont combinées sur une machine, lisez la ligne Setting sources dans /status ; cette section dit ce que chaque étiquette signifie.

Calculer la politique avec un programme d'aide

Un policyHelper est un exécutable que votre politique MDM ou fichier de paramètres gérés nomme, et Claude Code l'exécute pour calculer les paramètres gérés au démarrage. Quand la source sélectionnée en configure un et que l'aide émet un objet managedSettings, cette sortie change ce que Claude Code lit :

• L'objet managedSettings émis est le seul paramètre géré pour la session, y compris pour les clés qu'il lit autrement de chaque source d'administration, à l'exception de forceRemoteSettingsRefresh, qui a sa propre règle de démarrage

Pour savoir quels aides échouent, et ce que Claude Code fait quand l'une le fait, consultez Défaillances d'aide.

{
  "allowManagedPermissionRulesOnly": true,
  "permissions": {
    "allow": [
      "Edit(~/CoworkProjects/**)"
    ]
  }
}

{
  "env": {
    "DISABLE_TELEMETRY": "1"
  }
}