組織向けに Claude Code をセットアップする

Claude Code を展開する管理者向けの決定マップ。API プロバイダー、マネージド設定、ポリシー実行、使用状況監視、データ処理をカバーしています。

Claude Code は、ローカル開発者設定よりも優先されるマネージド設定を通じて組織ポリシーを実行します。これらの設定は Claude 管理コンソール、モバイルデバイス管理（MDM）システム、またはディスク上のファイルから配信します。設定は Claude が到達できるツール、コマンド、サーバー、ネットワーク宛先を制御します。

このページでは、展開の決定を順番に説明します。各行は以下のセクションと、その領域の参照ページにリンクしています。

[!NOTE]

SSO、SCIM プロビジョニング、シート割り当ては Claude アカウントレベルで設定されます。これらの手順については、Claude Enterprise Administrator Guide と シート割り当て を参照してください。

API プロバイダーを選択する

Claude Code は複数の API プロバイダーのいずれかを通じて Claude に接続します。選択は課金、認証、継承するコンプライアンス体制、および開発者が使用できる Claude Code 機能に影響します。

一部の Claude Code 機能には claude.ai アカウントが必要です。クラウドセッション、クラウドのスケジュールタスク、Code Review、Remote Control、および Chrome 拡張機能 は、Console API キーまたはクラウドプロバイダーの認証情報だけでは利用できません。Amazon Bedrock、Google Cloud の Agent Platform、または Microsoft Foundry を通じてデプロイする場合は、開発者が Claude for Teams または Enterprise シートも必要かどうかを検討してください。各機能ページにはプラン要件が記載されています。

認証、リージョン、機能パリティをカバーする完全なプロバイダー比較については、エンタープライズ展開概要 を参照してください。各プロバイダーの認証セットアップは Authentication にあります。

ネットワーク設定 のプロキシとファイアウォール要件は、プロバイダーに関係なく適用されます。複数のプロバイダーの前に単一のエンドポイントを配置したい場合、または集中化されたリクエストログを記録したい場合は、LLM gateway を参照してください。

設定がデバイスに到達する方法を決定する

管理設定は、組織ポリシーを定義します。Claude Code は以下の表に示す 4 つのソースを優先順位順にチェックします。Claude Code がマネージドソースを組み合わせる方法は、どのソースが適用されるか、ポリシーヘルパーが何を変更するか、およびすべてのソースを構成する方法を説明しています。この表は決定マップです。

Claude Code はスタートアップ時に server-managed 設定をフェッチし、セッション中は 1 時間ごとに更新します。デプロイするエンドポイントインフラストラクチャはありません。claude.ai 管理コンソール経由の配信には Claude for Teams または Enterprise プランが必要です。Amazon Bedrock、Google Cloud の Agent Platform、または Microsoft Foundry でのデプロイは、Claude apps gateway を実行することで同じリモート配信を取得できます。または、ファイルベースまたは OS レベルのメカニズムのいずれかを代わりに使用してください。

組織が複数のプロバイダーを混在させている場合、claude.ai ユーザー向けに server-managed settings を設定し、他のユーザーがマネージドポリシーを受け取るように ファイルベースまたは plist/registry フォールバックを設定してください。

plist と HKLM レジストリの場所は任意のプロバイダーで機能し、書き込みに管理者権限が必要なため、改ざんに強いです。HKCU の Windows ユーザーレジストリは昇格なしで書き込み可能なため、実行チャネルではなく便利なデフォルトとして扱ってください。

デフォルトでは WSL は /etc/claude-code の Linux ファイルパスのみを読み取ります。同じマシン上の WSL に Windows レジストリと C:\Program Files\ClaudeCode ポリシーを拡張するには、これらの管理者のみが使用できる Windows ソースのいずれかで wslInheritsWindowsSettings: true を設定してください。

どのメカニズムを選択しても、マネージド値はユーザーおよびプロジェクト設定よりも優先されます。ただし、セキュリティに関する 例外がいくつかあります。permissions.allow や permissions.deny などの配列設定は、すべてのソースからのエントリをマージするため、開発者はマネージドリストを拡張できますが、削除することはできません。fallbackModel、availableModels、および modelPicker の場合、マネージド値は下位レイヤーとマージするのではなく、置き換えます。

Claude Code Desktop の WSL セッション

Windows では、Claude Code Desktop は WSL 2 ディストリビューション内で Code セッションを実行できます。セッションの Claude Code プロセスはディストリビューション内で実行されるため、上記の WSL 検出パスを通じて管理設定を解決します。wslInheritsWindowsSettings: true がデプロイされていない限り、Windows のみのソースはそれに到達しません。

Claude Desktop は、C:\Program Files\ClaudeCode\managed-settings.json が存在する場合など、組織が管理しているデバイスとして検出されるデバイスでは、デフォルトで WSL セッションをオフにします。それらをオンにするには、Windows レジストリポリシーをデプロイします。これには Claude Desktop v1.19367.0 以降が必要です。

• HKLM\SOFTWARE\Policies\Claude の下に disableWslSessions という名前の値を作成し、REG_SZ 文字列 false または REG_DWORD 0 に設定します。この値は Claude Desktop ポリシーキーの下にあり、管理設定を含む ClaudeCode キーとは別です。HKLM の下に値をデプロイします。これには管理者権限が必要です。HKCU の下の値は WSL セッションを有効にしません。
• C:\Program Files\ClaudeCode\managed-settings.json をデプロイする場合は、そのままにしておいてください。disableWslSessions が HKLM の下で false になると、そのファイルが存在していても Desktop は WSL セッションを許可します。

Desktop は WSL セッションが開始されるたびにポリシーを読み取るため、デプロイ後にアプリを再起動する必要はありません。

デバイスが依然として WSL セッションを拒否する場合は、そのデバイスの Claude Desktop で Help > Troubleshooting > Show Logs in File Explorer を開きます。これにより、ログフォルダのコピーが Downloads に保存されます。そのコピーの main.log で [wslPolicyGate] denying WSL session を検索してください。拒否の理由は括弧内に続きます。例えば (cli-file-present) のようにです。

WSL セッションが有効になった後、管理設定をそれらに拡張します。

• HKLM レジストリまたは C:\Program Files\ClaudeCode ファイルを通じて wslInheritsWindowsSettings: true をデプロイして、WSL セッションがホストセッションと同じポリシーを継承するようにしてください。
• WSL セッション内で /status を実行して検証し、Setting sources 行を読んでください。それを解釈する方法については、/status で出力を読むを参照してください。

Claude Desktop の allowedWorkspaceFolders リストが設定されたデバイスで WSL セッションが開始される場合、~ エントリはディストリビューション内のホームディレクトリを意味します。

WSL 2 ユーティリティ VM 内のプロセスは、Windows 側のエンドポイント検出センサーに表示されません。ディストリビューション内のプロセスとファイルアクティビティを観察するには、エンドポイント検出ベンダーの WSL ガイダンスで、ディストリビューション内で実行できる Linux センサーと、それが必要とする除外を確認してください。Claude Code の OpenTelemetry ツール実行テレメトリは WSL とネイティブセッションで同じように出力されます。

適用する内容を決める

管理設定では、ツールのロックダウン、実行のサンドボックス化、MCP サーバーやプラグインソースの制限、実行するフックの制御を行えます。各行は制御対象とそれを動かす設定キーを示しています。

メンバーが claude.ai または Anthropic API 経由でサインインし、Claude Enterprise プランを利用している場合は、何もデプロイせずに組織の管理設定からモデルを管理することもできます。

• 組織のモデル制限：個々のモデルを無効にします。サーバー側で強制されます。
• 組織のデフォルトモデル：新しいセッションが開始するモデルを設定します。メンバーは引き続きモデルを切り替えられます。起動時にデフォルトに戻すには、そのセクションで説明している上書きをオンにします。メンバーが選択できるモデルを制限するには、組織のモデル制限を使用します。
• 組織の effort 制限：ロールごとに effort レベルの上限を設定します。サーバー側で強制されます。

これらの制御はいずれも、Amazon Bedrock、Google Cloud の Agent Platform、Microsoft Foundry、または Claude Platform on AWS 上のセッションには適用されません。これらのプロバイダーでは、代わりに管理設定を使用してください。制限には availableModels、デフォルトには model、effort の上限には maxEffortLevel を使用します。

クラウドセッションには、claude.ai 上に独自の管理画面があります。

• クラウド環境ページ：Owner は、メンバーのクラウドセッションのネットワークアクセスレベル、環境変数、セットアップスクリプトを設定する組織共有環境を作成します。
• デフォルト環境：Owner は、組織のデフォルト環境を claude.ai/admin-settings/claude-code で別途選択します。
• Git プロバイダーページ：組織にリンクされた GitHub アカウントについては、接続された GitHub アカウントを参照してください。

権限ルールとサンドボックス化は異なるレイヤーを対象とします。WebFetch を拒否すると Claude のフェッチツールはブロックされますが、Bash が許可されている場合、curl や wget は引き続き任意の URL にアクセスできます。サンドボックス化は、OS レベルで強制されるネットワークドメインの許可リストによってこのギャップを埋めます。

これらの制御が防御する脅威モデルについては、セキュリティを参照してください。

接続された GitHub アカウント

Team プランと Enterprise プランでは、Organization settings > Git providers の GitHub セクションに、Claude GitHub App を通じて Claude 組織にリンクされた GitHub 組織と個人アカウントが一覧表示されます。Claude Code、Claude Tag、Claude Security はこの一覧を共有します。このページを開くには、Claude 組織の Owner ロールが必要です。Admin ロールではこのページを開けません。

アカウントは、Git プロバイダーページから、または GitHub を Claude に接続することでリンクできます。

• Owner による接続：Owner がそのセクションで Connect をクリックするか、アカウントが接続済みの場合は Add organization をクリックし、GitHub 組織に Claude GitHub App をインストールします。この方法で組織をリンクするには、Claude 組織の Owner であり、かつ GitHub 組織の所有者でもあるユーザーが必要です。
• メンバーによる接続：メンバーが自分の GitHub アカウントを Claude に接続すると（たとえばクラウドセッションのセットアップ中）、Claude は、そのメンバーが所有し、Claude GitHub App がすでにインストールされている GitHub アカウントをリンクします。これには、メンバーの個人アカウントや、メンバーが所有する GitHub 組織が含まれる場合があります。

Not linked と表示されている行は、自分自身の GitHub サインインに由来するものです。これは、GitHub 上で自分が参照でき、Claude GitHub App がインストールされているアカウントです。

Claude 組織からアカウントのリンクを解除するには、その行のメニューを開いて Unlink from this workspace を選択します。リンクを解除しても Claude GitHub App は GitHub 上にインストールされたままであり、そのアカウントのいずれかの Owner が次に GitHub を Claude に接続すると、アカウントは再びリンクされます。再びリンクされないようにするには、GitHub 上でそのアカウントから Claude GitHub App をアンインストールしてください。

Enterprise プランでは、リンクおよびリンク解除に対応する Compliance API のアクティビティタイプは github_app_installation_linked と github_app_installation_unlinked です。

使用状況の可視性をセットアップする

必要なレポート内容に基づいて監視を選択してください。ダッシュボード、API、支出管理は Claude for Teams または Enterprise プランと Claude Console 組織で異なるため、機能に基づいてレポートを計画する前に「利用可能性」列を確認してください。

Teams および Enterprise では、ユーザーごとの使用状況と支出の数値は分析ダッシュボードではなく、組織の分析設定の 支出レポート から取得されます。クラウドプロバイダーは AWS Cost Explorer、GCP Billing、または Azure Cost Management を通じて支出を公開します。Claude チャット、Claude Code、Cowork 全体にわたるエンタープライズ予算計画については、Claude Enterprise 消費ガイド を参照してください。

データ処理を確認する

Team、Enterprise、Claude API、およびクラウドプロバイダープランでは、Anthropic はコードまたはプロンプトでモデルをトレーニングしません。API プロバイダーが保持とコンプライアンス体制を決定します。

リクエストレベルの監査ログが必要な場合、またはデータの機密性によってトラフィックをルーティングしたい場合は、開発者とプロバイダーの間にゲートウェイを配置することをお勧めします。セルフホスト型の Claude apps gateway は IdP の ID とともにリクエストごとの監査ログを記録します。または、別の LLM ゲートウェイを使用することもできます。ゲートウェイを経由するセッションは HIPAA 設定の対象外です。対象となるサインイン方法と接続方法については、開発者のサインイン方法と接続方法を確認するに記載されています。規制要件と認定については、Legal and compliance を参照してください。

検証とオンボード

マネージド設定を設定した後、開発者に Claude Code 内で /status を実行させてください。Status タブの Setting sources 行に Enterprise managed settings が表示され、その後に括弧内のソースが続きます。アクティブな設定を検証 にラベルが記載されています。

開発者が開始するのに役立つこれらのリソースを共有してください。

• クイックスタート: インストールからプロジェクトの操作まで、最初のセッションのウォークスルー
• 一般的なワークフロー: コードレビュー、リファクタリング、デバッグなどの日常的なタスクのパターン
• Claude Code 101 と Claude Code in Action: Claude Academy の無料の自習型コース

ログインの問題については、開発者に 認証のトラブルシューティング を指してください。最も一般的な修正は次のとおりです。

• /logout を実行してから /login を実行してアカウントを切り替える
• エンタープライズ認証オプションが見つからない場合は claude update を実行する
• 更新後にターミナルを再起動する

開発者が「You haven't been added to your organization yet」というメッセージを見た場合、そのシートには Claude Code アクセスが含まれておらず、管理コンソールで更新する必要があります。

次のステップ

プロバイダーと配信メカニズムを選択したら、詳細な設定に進みます。

• Server-managed settings: Claude 管理コンソールからマネージドポリシーを配信する
• All settings: すべての設定キー、ファイルの場所、および例
• Which value Claude Code uses: マネージド、プロジェクト、ローカル、およびユーザー設定全体の優先度ルール
• Manage plugins for your organization: 管理設定を通じて、すべてのマシンに共有プラグインをインストールする
• Monorepos and large repos: 大規模リポジトリをデプロイする組織向けのディレクトリごとの設定パターン
• Amazon Bedrock、Google Cloud's Agent Platform、Microsoft Foundry: プロバイダー固有のデプロイメント
• Claude Enterprise Administrator Guide: SSO、SCIM、シート管理、ロールアウトプレイブック