Claude Code がマネージドソースを組み合わせる方法

組織が同じマシンに複数のマネージドソースを配信する場合、managedSourcesBehavior キーは Claude Code が他のソースで何をするかを決定します。

• "first-wins"、デフォルト: Claude Code は少なくとも 1 つのポリシーキーを配信する最高ランクのソースを使用し、すべての管理ソースから読み取るキー の少数を除いて、残りを無視します。Claude Code はスキップするソースの警告を表示しません。/status 使用したソースとスキップしたソースの名前。
• "merge": Claude Code はポリシーキーを配信するすべての管理ソースを適用し、キーの種類で組み合わせます。ほとんどのキーでは高ランクのソースの値が適用され、リストは結合され、ロックは最も厳密な値を取ります。すべてのマネージドソースを構成する はキーを設定する場所と各キーの種類がどのように組み合わされるかを示しています。Claude Code v2.1.242 以降が必要です。

両方の設定はソースを同じ方法でランク付けします。このセクションでは以下の用語が繰り返されます。

• ポリシーキー: 2 つのコントロールキー（wslInheritsWindowsSettings および managedSourcesBehavior）以外の設定キー。これらのみを含むマネージド設定ファイルまたは MDM ポリシーはカウントされず、Claude Code は次のソースに移動します。
• 管理ソース: 以下の最初の 3 つのソースの 1 つ。HKCU レジストリはユーザー書き込み可能であり、1 つではありません。

Claude Code はこれらのソースを確認します。最初に最高優先度：

1. claude.ai から配信されたリモート設定。サーバーマネージド設定 または Claude apps gateway として。Claude Code はセッションが 適格なログインまたはキー で Anthropic の API に直接認証するか、/login でゲートウェイにサインインする場合のみこのソースをフェッチします。他のプロバイダー上、または ANTHROPIC_BASE_URL が Anthropic の API 以外を指す場合、次のソースから開始します
2. MDM または OS レベルのポリシー: macOS plist または HKLM レジストリキー
3. マネージド設定ファイル、managed-settings.d/*.json および managed-settings.json がマージされたもの
4. HKCU レジストリ、Windows 上、および WSL 上。HKLM レジストリまたは Windows マネージド設定ファイルが wslInheritsWindowsSettings をオンにし、HKCU 値もそれを設定する場合。Claude Code はそれを読み取るのは、上記のソースがポリシーキーを配信せず、ホスト提供の親設定 が制限的なキーを提供しない場合のみです

このダイアグラムはランキングを示し、いずれかの設定の下で最初の 3 つのソースから Claude Code が読み取るクロスソースキーの例を示しています。

すべての管理ソースから読み取るキー

デフォルトの "first-wins" 設定では、Claude Code はほとんどのキーを 選択したソース からのみ読み取り、選択したソースがそのキーを設定しないままにしても、下位ランクのソースの値を無視します。

いくつかのキーは異なります。Claude Code はそれらをすべての管理ソースから読み取るため、選択したソースがそれを設定しない場合でも、下位ランクの MDM ポリシーまたはマネージド設定ファイルはそれらを設定できます。Claude Code はユーザー書き込み可能な HKCU レジストリをそのスキャンから除外します。HKCU が唯一のソースであり、ホストが親設定を提供しない場合、HKCU は選択されたソースのように適用されます。

クロスソースキーには以下が含まれます。

• sandbox.network.allowManagedDomainsOnly および sandbox.filesystem.allowManagedReadPathsOnly: 任意の管理ソースの true がロックをオンにします。ロックがオンの間、Claude Code は許可リストをロックします。sandbox.network.allowedDomains を WebFetch(domain:...) 許可ルール、または sandbox.filesystem.allowRead と一緒に、すべての管理ソース全体で結合します。ロックがない場合、Claude Code は許可リストを他のキーのように扱うため、"first-wins" の下では、選択されていない管理ソースの許可リストは無視されます

• allowAllClaudeAiMcps

• allowManagedMcpServersOnly: 任意の管理ソースの true が MCP 許可リストロックをオンにします。ロックがオンの間、マネージド allowedMcpServers リストは、1 つを設定する最高ランクの管理ソースから来ます。サーバーマネージドリストは下位のソースのリストを置き換え、それと組み合わせません。

  管理ソースがリストを設定しない場合、親設定 がリストを提供しない限り、すべてのサーバーが拒否リストを通過してロードされます。

  ロックがない場合、Claude Code は適用するマネージドソースから allowedMcpServers を読み取るため、"first-wins" の下では、選択されていない管理ソースのリストは無視されます。Claude Code v2.1.273 以降が必要です

• deniedMcpServers および disableClaudeAiConnectors: 任意の管理ソースのエントリまたは true が適用されます。Claude Code v2.1.273 以降が必要です

• サンドボックスバイナリパス sandbox.bwrapPath および sandbox.socatPath

• サンドボックス ripgrep バイナリ、sandbox.ripgrep

• sandbox.filesystem.disabled および sandbox.network.strictAllowlist

• useAutoModeDuringPlan、syncClaudeAiSkills、および syncClaudeAiPlugins。任意の管理ソースの false が動作をオフにします。開発者のユーザーまたはローカル設定の false もそれをオフにします。各キーは拒否のみできます

• enableArtifact。任意の管理ソースの false が Artifact ツール をオフにします。開発者のユーザー、プロジェクト、またはローカル設定の false もそれをオフにし、ソースはそれをオンに戻しません。下位レベルの値がまだカウントされる を参照してください。Claude Code v2.1.242 以降が必要です

• maxEffortLevel。任意の管理ソースの最も低いキャップが適用されます。開発者が自分の設定または --settings で低いキャップを設定する場合、Claude Code はそれを適用します。ソースはキャップを上げることはできません。Claude Code v2.1.267 以降が必要です

• attribution のコミットトレーラー opt-out、または非推奨の includeCoAuthoredBy から任意のティア

• forceRemoteSettingsRefresh

• 管理ソース全体で変数ごとにマージされた env: 各変数は、それを定義する最高優先度のソースから来るため、下位のソースは高位のソースが設定しないままにした変数を埋めます。いくつかの変数は独自のルールに従います。マネージドソース全体のキーごとの例外 は各変数に名前を付けます。Claude Code v2.1.223 以降が必要です。v2.1.223 より前では、Claude Code は選択されたソースの全体 env ブロックのみを適用しました

ゲートウェイログインキー は別のルールに従います。Claude Code はサーバーマネージド設定からそれらを読み取ることはありません。サーバーマネージド設定が選択されたソースである間、ポリシーキーを持つマシン上の最高ランクの管理ソースはそれらを提供します。それより下にランク付けされた管理ソースの値、または HKCU レジストリの値は無視されます。

管理ソースが allowManagedMcpServersOnly を設定するか、allowedMcpServers リストを設定し、その値が実行中でない場合、/status および claude doctor はそのソースとキーに名前を付けます。

すべてのマネージドソースを構成する

デプロイするすべての管理ソースを Claude Code が適用するようにするには、managedSourcesBehavior を "merge" に設定します。デプロイする最高ランクのソースで。Claude Code はキーを読み取るのは、キーまたはポリシーキーを持つ最高ランクのソースからのみです。したがって、下位のソースはそれ自体をマージにオプトインできず、サーバーマネージド設定を受け取らないマシンはそのキーを MDM プロファイルにも必要とします。ユーザー書き込み可能な HKCU レジストリは別のソースとマージされません。Claude Code v2.1.242 以降が必要です。

"merge" の下では、Claude Code は下位のソースのリストエントリ（permissions.allow ルールおよびフックなど）をポリシーに追加するため、最高ランクのソースの下にランク付けされたすべてのソースが管理者の制御下にある場合のみオンにします。

このテーブルは、"merge" の下で Claude Code が各キーの種類をどのように組み合わせるかを示しています。managedSourcesBehavior エントリ は制限許可リスト、値全体取得、および最高ソースのみ行のすべてのキーに名前を付けます。

マシン上で組み合わされたソースを確認するには、/status の Setting sources 行を読んでください。そのセクションは各ラベルが何を意味するかを示しています。

ヘルパープログラムでポリシーを計算する

policyHelper は、MDM ポリシーまたはマネージド設定ファイルが名前を付ける実行可能ファイルであり、Claude Code はスタートアップ時にそれを実行してマネージド設定を計算します。選択されたソースが 1 つを構成し、ヘルパーが managedSettings オブジェクトを出力する場合、その出力は Claude Code が読み取るものを変更します。

• 出力された managedSettings オブジェクトはセッションの唯一のマネージド設定です。それ以外の場合はすべての管理ソースから読み取るキー を含みます。ただし、forceRemoteSettingsRefresh は独自のスタートアップルールを持っています

ヘルパー実行が失敗する場合、および 1 つが失敗する場合に Claude Code が何をするかについては、ヘルパー失敗 を参照してください。

{
  "allowManagedPermissionRulesOnly": true,
  "permissions": {
    "allow": [
      "Edit(~/CoworkProjects/**)"
    ]
  }
}

{
  "env": {
    "DISABLE_TELEMETRY": "1"
  }
}