Bagaimana Claude Code menggabungkan sumber terkelola

Ketika organisasi Anda mengirimkan lebih dari satu sumber terkelola ke mesin yang sama, kunci managedSourcesBehavior memutuskan apa yang Claude Code lakukan dengan yang lain:

• "first-wins", default: Claude Code menggunakan sumber peringkat tertinggi yang mengirimkan setidaknya satu kunci kebijakan dan mengabaikan sisanya daripada menggabungkannya, terlepas dari beberapa kunci dalam Kunci yang dibaca dari setiap sumber admin. Claude Code tidak menunjukkan peringatan untuk sumber yang dilewatkan; /status menamai sumber yang digunakan dan yang dilewatkan.
• "merge": Claude Code menerapkan setiap sumber admin yang mengirimkan kunci kebijakan dan menggabungkannya berdasarkan jenis kunci: pada sebagian besar kunci nilai sumber peringkat lebih tinggi berlaku, daftar bersatu, dan kunci mengambil nilai paling ketat. Susun setiap sumber terkelola mengatakan di mana menetapkan kunci dan bagaimana setiap jenis kunci digabungkan. Memerlukan Claude Code v2.1.242 atau lebih baru.

Kedua pengaturan menentukan peringkat sumber dengan cara yang sama. Dua istilah berulang di bagian ini:

• Kunci kebijakan: kunci pengaturan apa pun selain dua kunci kontrol, wslInheritsWindowsSettings dan managedSourcesBehavior. File pengaturan terkelola atau kebijakan MDM yang hanya berisi yang itu tidak dihitung, dan Claude Code melanjutkan ke sumber berikutnya.
• Sumber admin: salah satu dari tiga sumber pertama di bawah. Registry HKCU yang dapat ditulis pengguna bukan satu.

Claude Code memeriksa sumber dalam urutan ini, prioritas tertinggi terlebih dahulu:

1. Pengaturan jarak jauh, dikirimkan dari claude.ai sebagai pengaturan terkelola server atau oleh gateway aplikasi Claude. Claude Code mengambil sumber ini hanya ketika sesi mengautentikasi ke API Anthropic secara langsung dengan login atau kunci yang memenuhi syarat, atau masuk ke gateway dengan /login. Pada penyedia lain, atau ketika ANTHROPIC_BASE_URL menunjuk ke tempat lain selain API Anthropic, dimulai dari sumber berikutnya
2. Kebijakan MDM atau tingkat OS: plist macOS atau kunci registry HKLM
3. File pengaturan terkelola, managed-settings.d/*.json dan managed-settings.json digabungkan bersama
4. Registry HKCU, di Windows, dan di WSL setelah registry HKLM atau file pengaturan terkelola Windows mengaktifkan wslInheritsWindowsSettings dan nilai HKCU juga menetapkannya. Claude Code membacanya hanya ketika tidak ada sumber di atasnya yang mengirimkan kunci kebijakan dan tidak ada pengaturan induk yang disediakan host yang menyediakan kunci yang ketat

Diagram ini menunjukkan peringkat, dengan contoh kunci lintas sumber yang Claude Code baca dari tiga sumber pertama di bawah pengaturan apa pun:

Kunci yang dibaca dari setiap sumber admin

Di bawah pengaturan default "first-wins", Claude Code membaca sebagian besar kunci hanya dari sumber yang dipilihnya, dan mengabaikan nilai dalam sumber peringkat lebih rendah bahkan ketika sumber yang dipilih membiarkan kunci itu tidak diatur.

Beberapa kunci bekerja berbeda. Claude Code membacanya dari setiap sumber admin, sehingga kebijakan MDM atau file pengaturan terkelola peringkat lebih rendah masih dapat menetapkannya ketika sumber yang dipilih tidak. Claude Code meninggalkan registry HKCU yang dapat ditulis pengguna dari pemindaian itu; ketika HKCU adalah satu-satunya sumber dan tidak ada host yang menyediakan pengaturan induk, HKCU berlaku seperti sumber yang dipilih.

Kunci lintas sumber mencakup:

• sandbox.network.allowManagedDomainsOnly dan sandbox.filesystem.allowManagedReadPathsOnly: true dalam sumber admin apa pun mengaktifkan kunci. Saat kunci aktif, Claude Code menyatukan daftar yang dikunci, sandbox.network.allowedDomains bersama dengan aturan izin WebFetch(domain:...), atau sandbox.filesystem.allowRead, di seluruh setiap sumber admin. Tanpa kunci, Claude Code memperlakukan daftar seperti kunci lainnya, jadi di bawah "first-wins" daftar sumber admin yang tidak dipilih diabaikan
• allowAllClaudeAiMcps
• Jalur biner sandbox sandbox.bwrapPath dan sandbox.socatPath
• Biner sandbox ripgrep, sandbox.ripgrep
• sandbox.filesystem.disabled dan sandbox.network.strictAllowlist
• useAutoModeDuringPlan dan syncClaudeAiSkills, di mana false dari sumber admin apa pun mematikan perilaku. false dalam pengaturan pengguna atau lokal pengembang juga mematikannya; setiap kunci hanya dapat menolak
• enableArtifact, di mana false dari sumber admin apa pun mematikan alat Artifact. false dalam pengaturan pengguna, proyek, atau lokal pengembang juga mematikannya, dan tidak ada sumber yang mengaktifkannya kembali; lihat nilai tingkat lebih rendah mana yang masih berlaku. Memerlukan Claude Code v2.1.242 atau lebih baru
• maxEffortLevel, di mana batas terendah dalam sumber admin apa pun berlaku. Jika pengembang menetapkan batas lebih rendah dalam pengaturan mereka sendiri atau dengan --settings, Claude Code menerapkan yang itu; tidak ada sumber yang dapat menaikkan batas. Memerlukan Claude Code v2.1.267 atau lebih baru
• Opt-out trailer commit dalam attribution, atau dalam includeCoAuthoredBy yang sudah usang, dari tingkat apa pun
• forceRemoteSettingsRefresh
• env, digabungkan per variabel di seluruh sumber admin: setiap variabel berasal dari sumber prioritas tertinggi yang mendefinisikannya, jadi sumber lebih rendah mengisi variabel yang sumber lebih tinggi biarkan tidak diatur. Beberapa variabel mengikuti aturan mereka sendiri; Pengecualian per kunci di seluruh sumber terkelola menamai masing-masing. Memerlukan Claude Code v2.1.223 atau lebih baru. Sebelum v2.1.223, Claude Code menerapkan blok env sumber yang dipilih secara keseluruhan saja

Kunci gateway login, forceLoginGatewayUrl dan nilai "gateway" dari forceLoginMethod, mengikuti aturan terpisah. Claude Code tidak pernah membacanya dari pengaturan terkelola server, jadi sementara pengaturan terkelola server adalah sumber yang dipilih, sumber admin peringkat tertinggi di mesin yang membawa kunci kebijakan masih menyediakannya. Nilai dalam sumber admin yang diberi peringkat di bawah itu, atau dalam registry HKCU, diabaikan.

Susun setiap sumber terkelola

Untuk membuat Claude Code menerapkan setiap sumber admin yang organisasi Anda kirimkan, atur managedSourcesBehavior ke "merge" dalam sumber peringkat tertinggi yang Anda terapkan. Claude Code membaca kunci hanya dari sumber peringkat tertinggi yang membawa kunci atau kunci kebijakan, jadi sumber lebih rendah tidak dapat memilih dirinya sendiri untuk merge dengan sumber di atasnya, dan mesin yang tidak pernah menerima pengaturan terkelola server memerlukan kunci dalam profil MDM-nya juga. Registry HKCU yang dapat ditulis pengguna tidak pernah merge dengan sumber lain. Memerlukan Claude Code v2.1.242 atau lebih baru.

Di bawah "merge", Claude Code menambahkan entri daftar sumber lebih rendah, seperti aturan permissions.allow dan hooks, ke kebijakan, jadi aktifkan hanya ketika setiap sumber yang diberi peringkat di bawah yang tertinggi berada di bawah kontrol administrator.

Tabel ini menunjukkan bagaimana Claude Code menggabungkan setiap jenis kunci di bawah "merge". Entri managedSourcesBehavior menamai setiap kunci dalam tiga baris: daftar izin pembatasan, nilai yang diambil secara keseluruhan, dan kunci yang dibaca dari sumber peringkat tertinggi saja.

Untuk mengonfirmasi sumber mana yang digabungkan di mesin, baca baris Setting sources dalam /status; bagian itu mengatakan apa arti setiap label.

Hitung kebijakan dengan program pembantu

policyHelper adalah executable yang kebijakan MDM atau file pengaturan terkelola Anda namai, dan Claude Code menjalankannya untuk menghitung pengaturan terkelola saat startup. Ketika sumber yang dipilih mengonfigurasi satu dan pembantu mengeluarkan objek managedSettings, output itu mengubah apa yang Claude Code baca:

• Objek managedSettings yang dipancarkan adalah satu-satunya pengaturan terkelola untuk sesi, termasuk untuk kunci yang sebaliknya dibacanya dari setiap sumber admin, terlepas dari forceRemoteSettingsRefresh, yang memiliki aturan startup tersendiri

Untuk pembantu mana yang gagal, dan apa yang Claude Code lakukan ketika satu gagal, lihat Kegagalan pembantu.

{
  "allowManagedPermissionRulesOnly": true,
  "permissions": {
    "allow": [
      "Edit(~/CoworkProjects/**)"
    ]
  }
}

{
  "env": {
    "DISABLE_TELEMETRY": "1"
  }
}