Documentation 2026-10-03 23:57 UTC to 2026-10-04 21:58 UTC

137 Подключённые учётные записи GitHub137 Подключённые учётные записи GitHub

138</h3>138</h3>

139 139 

140В планах Team и Enterprise на странице [**Admin settings > GitHub**](https://claude.ai/admin-settings/github) перечислены организации GitHub и личные учётные записи, связанные с вашей организацией Claude через [Claude GitHub App](https://github.com/apps/claude). Claude Code, [Claude Tag](https://claude.com/docs/claude-tag/admins/configure-github) и Claude Security используют общий список. Чтобы открыть его, требуется роль администратора в вашей организации Claude.140В планах Team и Enterprise на странице [**Organization settings > GitHub**](https://claude.ai/admin-settings/github) перечислены организации GitHub и личные учётные записи, связанные с вашей организацией Claude через [Claude GitHub App](https://github.com/apps/claude). Claude Code, [Claude Tag](https://claude.com/docs/claude-tag/admins/configure-github) и Claude Security используют общий список. Чтобы открыть его, требуется роль администратора в вашей организации Claude.

141 141 

142Связать учётную запись может администратор или участник:142Связать учётную запись может администратор или участник:

143 143 

161| Usage monitoring | Экспорт OpenTelemetry сеансов, инструментов и токенов | Все поставщики | [Monitoring usage](/docs/ru/monitoring-usage) |161| Usage monitoring | Экспорт OpenTelemetry сеансов, инструментов и токенов | Все поставщики | [Monitoring usage](/docs/ru/monitoring-usage) |

162| Analytics dashboard | Метрики принятия и вклада с таблицей лидеров на Teams / Enterprise; метрики использования и расходов для каждого пользователя на Console | Teams / Enterprise на [claude.ai/analytics](https://claude.ai/analytics/claude-code), Console на [platform.claude.com/claude-code](https://platform.claude.com/claude-code) | [Analytics](/docs/ru/analytics) |162| Analytics dashboard | Метрики принятия и вклада с таблицей лидеров на Teams / Enterprise; метрики использования и расходов для каждого пользователя на Console | Teams / Enterprise на [claude.ai/analytics](https://claude.ai/analytics/claude-code), Console на [platform.claude.com/claude-code](https://platform.claude.com/claude-code) | [Analytics](/docs/ru/analytics) |

163| Programmatic reporting | Данные об использовании и затратах для каждого пользователя через API | [Enterprise Analytics API](https://platform.claude.com/docs/en/api/admin/analytics) для Enterprise, [Claude Code Analytics API](https://platform.claude.com/docs/en/build-with-claude/claude-code-analytics-api) для Console | [Costs](/docs/ru/costs#manage-costs-for-your-organization) |163| Programmatic reporting | Данные об использовании и затратах для каждого пользователя через API | [Enterprise Analytics API](https://platform.claude.com/docs/en/api/admin/analytics) для Enterprise, [Claude Code Analytics API](https://platform.claude.com/docs/en/build-with-claude/claude-code-analytics-api) для Console | [Costs](/docs/ru/costs#manage-costs-for-your-organization) |

164| Spend controls | Ограничения расходов и ограничения скорости | Параметры администратора для Teams / Enterprise, ограничения рабочей области для Console; на облаках третьих сторон, элементы управления бюджетом облака или [Claude apps gateway](/docs/ru/claude-apps-gateway) с ограничениями расходов для каждого пользователя [spend limits](/docs/ru/claude-apps-gateway-spend-limits) | [Costs](/docs/ru/costs#manage-costs-for-your-organization) |164| Spend controls | Ограничения расходов и ограничения частоты запросов | Настройки организации для Teams / Enterprise, ограничения Workspace для Console; в сторонних облаках — средства контроля бюджета облака или [Claude apps gateway](/docs/ru/claude-apps-gateway) с [ограничениями расходов](/docs/ru/claude-apps-gateway-spend-limits) для каждого пользователя | [Costs](/docs/ru/costs#manage-costs-for-your-organization) |

165 165 

166На Teams и Enterprise данные об использовании и расходах для каждого пользователя поступают из [отчёта о расходах](https://support.claude.com/en/articles/12883420-view-usage-analytics-for-team-and-enterprise-plans) в параметрах аналитики вашей организации, а не из панели аналитики. Облачные поставщики раскрывают расходы через AWS Cost Explorer, GCP Billing или Azure Cost Management. Для планирования корпоративных бюджетов в Claude chat, Claude Code и Cowork см. [руководство по потреблению Claude Enterprise](https://support.claude.com/en/articles/14782391-claude-enterprise-consumption-guide).166На Teams и Enterprise данные об использовании и расходах для каждого пользователя поступают из [отчёта о расходах](https://support.claude.com/en/articles/12883420-view-usage-analytics-for-team-and-enterprise-plans) в параметрах аналитики вашей организации, а не из панели аналитики. Облачные поставщики раскрывают расходы через AWS Cost Explorer, GCP Billing или Azure Cost Management. Для планирования корпоративных бюджетов в Claude chat, Claude Code и Cowork см. [руководство по потреблению Claude Enterprise](https://support.claude.com/en/articles/14782391-claude-enterprise-consumption-guide).

167 167 

919 ```919 ```

920</CodeGroup>920</CodeGroup>

921 921 

922<h3 id="a-tool-is-missing-from-an-sdk-mcp-server">

923 Инструмент отсутствует в SDK MCP-сервере

924</h3>

925 

926В TypeScript SDK, если входную схему инструмента невозможно преобразовать в JSON Schema, сервер, созданный с помощью [`createSdkMcpServer()`](/docs/ru/agent-sdk/typescript#createsdkmcpserver), не включает этот инструмент в список своих инструментов. В этот момент SDK выдаёт предупреждение. В Node.js это предупреждение процесса с кодом `CLAUDE_SDK_MCP_TOOL_SCHEMA_UNCONVERTIBLE`, и оно начинается с такого текста:

927 

928```text theme={null}

929Tool "<name>" on SDK MCP server "<server>" was left out of the server's tool list, because its input schema cannot be converted to JSON Schema

930```

931 

932Далее в предупреждении приводится сообщение об ошибке преобразования, если оно есть, а затем указывается, что следует проверить и изменить.

933 

934До версии TypeScript Agent SDK v0.3.286 одна непреобразуемая схема приводила к сбою всего списка инструментов сервера без этого предупреждения, поэтому ни один из инструментов этого сервера не попадал к Claude.

935 

922<h3 id="connection-timeouts">936<h3 id="connection-timeouts">

923 Connection timeouts937 Connection timeouts

924</h3>938</h3>

13| Симптом | Перейти к |13| Симптом | Перейти к |

14| :- | :- |14| :- | :- |

15| Skills не найдены, skill не используется, ошибка `Invalid skill name` | [Устранение неполадок Skills](/docs/ru/agent-sdk/skills#troubleshooting) |15| Skills не найдены, skill не используется, ошибка `Invalid skill name` | [Устранение неполадок Skills](/docs/ru/agent-sdk/skills#troubleshooting) |

16| MCP server показывает статус `failed`, tools не вызываются, timeout соединения, вывод tool превышает максимально допустимое количество токенов | [Устранение неполадок MCP](/docs/ru/agent-sdk/mcp#troubleshooting) |16| MCP-сервер показывает статус `failed`, инструменты не вызываются, инструмент отсутствует в MCP-сервере SDK, таймауты соединения, вывод инструмента превышает максимально допустимое количество токенов | [Устранение неполадок MCP](/docs/ru/agent-sdk/mcp#troubleshooting) |

17| Plugin не загружается, skills плагина не отображаются | [Устранение неполадок Plugins](/docs/ru/agent-sdk/plugins#troubleshooting) |17| Plugin не загружается, skills плагина не отображаются | [Устранение неполадок Plugins](/docs/ru/agent-sdk/plugins#troubleshooting) |

18| Claude не делегирует subagents, agents на основе файловой системы не загружаются | [Устранение неполадок Subagents](/docs/ru/agent-sdk/subagents#troubleshooting) |18| Claude не делегирует subagents, agents на основе файловой системы не загружаются | [Устранение неполадок Subagents](/docs/ru/agent-sdk/subagents#troubleshooting) |

19| Опции checkpointing не распознаны, пользовательские сообщения без UUID, `No file checkpoint found`, `File rewinding is not enabled`, `ProcessTransport is not ready for writing` | [Устранение неполадок File checkpointing](/docs/ru/agent-sdk/file-checkpointing#troubleshooting) |19| Опции checkpointing не распознаны, пользовательские сообщения без UUID, `No file checkpoint found`, `File rewinding is not enabled`, `ProcessTransport is not ready for writing` | [Устранение неполадок File checkpointing](/docs/ru/agent-sdk/file-checkpointing#troubleshooting) |

863 fast_mode_state?: "off" | "cooldown" | "on";863 fast_mode_state?: "off" | "cooldown" | "on";

864 fast_mode_disabled_reason?: FastModeDisabledReason;864 fast_mode_disabled_reason?: FastModeDisabledReason;

865 hooks_applied?: boolean;865 hooks_applied?: boolean;

866 sdk_mcp_manifests_parked?: Record<

867 string,

868 | "parked"

869 | "already_connected"

870 | "protocol_version_mismatch"

871 | "malformed"

872 | "not_honoured"

873 >;

866};874};

867```875```

868 876 

875 883 

876До Agent SDK v0.3.238 ответ никогда не содержал поле, и Claude Code игнорировал `hooks` при каждой повторной инициализации.884До Agent SDK v0.3.238 ответ никогда не содержал поле, и Claude Code игнорировал `hooks` при каждой повторной инициализации.

877 885 

886Поле запроса `sdkMcpServerManifests` и поле ответа `sdk_mcp_manifests_parked` предназначены для внутрипроцессных [SDK MCP-серверов](/docs/ru/agent-sdk/custom-tools), созданных вами с помощью [`createSdkMcpServer()`](#createsdkmcpserver). Ваше приложение не задаёт и не читает ни одно из этих полей.

887 

878Ответ всегда сообщает `fast_mode_state`, и когда что-то блокирует [быстрый режим](/docs/ru/fast-mode), `fast_mode_disabled_reason` несет код причины рядом с ним, поэтому вы можете объяснить заблокированное состояние вместо повторного вывода доступности. Оба поведения требуют Claude Code v2.1.219 или позже. До v2.1.219 ответ опускал `fast_mode_state`, когда быстрый режим был недоступен, и никогда не содержал причину. Для кодов причин и их значений см. [`fast_mode_disabled_reason`](#sdkresultmessage) в сообщении результата.888Ответ всегда сообщает `fast_mode_state`, и когда что-то блокирует [быстрый режим](/docs/ru/fast-mode), `fast_mode_disabled_reason` несет код причины рядом с ним, поэтому вы можете объяснить заблокированное состояние вместо повторного вывода доступности. Оба поведения требуют Claude Code v2.1.219 или позже. До v2.1.219 ответ опускал `fast_mode_state`, когда быстрый режим был недоступен, и никогда не содержал причину. Для кодов причин и их значений см. [`fast_mode_disabled_reason`](#sdkresultmessage) в сообщении результата.

879 889 

880Оболочка управления-ответа для успешного `initialize` также содержит массив `pending_permission_requests`. Поле находится на самой оболочке ответа, а не в полезной нагрузке `SDKControlInitializeResponse` выше. Каждая запись — это полное сообщение `control_request` с той же формой `{ type: "control_request", request_id, request }`, которую сеанс потоком для запросов разрешений во время работы.890Оболочка управления-ответа для успешного `initialize` также содержит массив `pending_permission_requests`. Поле находится на самой оболочке ответа, а не в полезной нагрузке `SDKControlInitializeResponse` выше. Каждая запись — это полное сообщение `control_request` с той же формой `{ type: "control_request", request_id, request }`, которую сеанс потоком для запросов разрешений во время работы.

1955| - | - |1965| - | - |

1956| `interrupt_receipt_v1` | [`interrupt()`](#query-object) разрешается с квитанцией [`SDKControlInterruptResponse`](#sdkcontrolinterruptresponse), в которой перечислены сообщения, ожидавшие обработки на момент поступления прерывания |1966| `interrupt_receipt_v1` | [`interrupt()`](#query-object) разрешается с квитанцией [`SDKControlInterruptResponse`](#sdkcontrolinterruptresponse), в которой перечислены сообщения, ожидавшие обработки на момент поступления прерывания |

1957| `interrupt_cancel_queued_v1` | Управляющий запрос `interrupt` учитывает `cancel_queued: true`, отменяя сообщения, которые квитанция в противном случае перечислила бы в `still_queued`, и перечисляя их вместо этого в `cancelled`. См. [`SDKControlInterruptResponse`](#sdkcontrolinterruptresponse). Требует Claude Code v2.1.219 или позже |1967| `interrupt_cancel_queued_v1` | Управляющий запрос `interrupt` учитывает `cancel_queued: true`, отменяя сообщения, которые квитанция в противном случае перечислила бы в `still_queued`, и перечисляя их вместо этого в `cancelled`. См. [`SDKControlInterruptResponse`](#sdkcontrolinterruptresponse). Требует Claude Code v2.1.219 или позже |

1968| `sdk_mcp_manifests` | Управляющий запрос `initialize` принимает `sdkMcpServerManifests` — результаты рукопожатия MCP, полученные от ваших внутрипроцессных [MCP-серверов SDK](/docs/ru/agent-sdk/custom-tools). Claude Code объявляет эту возможность в v2.1.286 или новее |

1969| `sdk_mcp_tools_list_changed` | Уведомление `tools/list_changed` от [MCP-сервера SDK](/docs/ru/agent-sdk/custom-tools) заставляет Claude Code заново получить список инструментов этого сервера, чтобы инструмент, добавленный сервером посреди сессии, стал доступен Claude. Claude Code объявляет эту возможность в v2.1.286 или новее |

1958 1970 

1959Массив `plugin_errors` перечисляет ошибки загрузки плагинов. Запись описывает либо плагин, который не загрузился и отсутствует в `plugins`, либо плагин, который загрузился без одной из своих частей, например без файла хуков. Ключ опускается, когда ошибок нет. `SDKSystemMessage` объявляет `plugin_errors` в Agent SDK v0.3.283 или позже.1971Массив `plugin_errors` перечисляет ошибки загрузки плагинов. Запись описывает либо плагин, который не загрузился и отсутствует в `plugins`, либо плагин, который загрузился без одной из своих частей, например без файла хуков. Ключ опускается, когда ошибок нет. `SDKSystemMessage` объявляет `plugin_errors` в Agent SDK v0.3.283 или позже.

1960 1972 

347 347 

348Чтобы объединить фильтры, начните с `a:`, `s:`, `n:` или `o:` и добавьте другие через пробел. Список показывает сессии, соответствующие всем фильтрам. Например, `s:blocked a:reviewer` показывает сессии `reviewer`, ожидающие вас.348Чтобы объединить фильтры, начните с `a:`, `s:`, `n:` или `o:` и добавьте другие через пробел. Список показывает сессии, соответствующие всем фильтрам. Например, `s:blocked a:reviewer` показывает сессии `reviewer`, ожидающие вас.

349 349 

350Пока фильтр активен, свёрнутые вами группы разворачиваются, чтобы показать совпадения, и первое совпадение выбирается, так что нажатие `Enter` открывает его. Очистите поле ввода, чтобы снять фильтр, и эти группы снова свернутся.350Пока фильтр активен, свёрнутые вами группы разворачиваются, чтобы показать совпадения, и совпадение выбирается, так что нажатие `Enter` открывает его. Очистите поле ввода, чтобы снять фильтр, и эти группы снова свернутся.

351 351 

352<h3 id="keyboard-shortcuts">352<h3 id="keyboard-shortcuts">

353 Сочетания клавиш353 Сочетания клавиш

369| `Tab` | На пустом вводе просмотр всех subagents. В противном случае применение выделенного предложения |369| `Tab` | На пустом вводе просмотр всех subagents. В противном случае применение выделенного предложения |

370| `Ctrl+S` | Переключение группировки между состоянием и каталогом |370| `Ctrl+S` | Переключение группировки между состоянием и каталогом |

371| `Ctrl+T` | Закрепление или открепление выбранного сеанса |371| `Ctrl+T` | Закрепление или открепление выбранного сеанса |

372| `Ctrl+F` | Поиск сессий по имени с помощью [фильтра `n:`](#filter-sessions) |

373| `Alt+↑` / `Alt+↓` | Переход к предыдущему или следующему заголовку группы |

372| `Ctrl+R` | Переименование выбранного сеанса |374| `Ctrl+R` | Переименование выбранного сеанса |

373| `Ctrl+G` | Открытие подсказки отправки в вашем `$VISUAL` или `$EDITOR` |375| `Ctrl+G` | Открытие подсказки отправки в вашем `$VISUAL` или `$EDITOR` |

374| `Ctrl+J` | Вставка новой строки в поле отправки |376| `Ctrl+J` | Вставка новой строки в поле отправки |

378| `Ctrl+C` | Очистка ввода; нажмите дважды для выхода |380| `Ctrl+C` | Очистка ввода; нажмите дважды для выхода |

379| `?` | Показать все сочетания клавиш |381| `?` | Показать все сочетания клавиш |

380 382 

381`Ctrl+S`, `Ctrl+T` и `Ctrl+G` следуют вашему [`keybindings.json`](/docs/ru/keybindings). Переопределите или отмените привязку `Ctrl+S` и `Ctrl+T` с помощью действий `agents:switchView` и `agents:togglePin` в контексте [`Agents`](/docs/ru/keybindings#agents-actions), и `Ctrl+G` через привязку `chat:externalEditor` контекста `Chat`. Другие сочетания клавиш в таблице не могут быть переопределены.383Сочетания клавиш, у которых есть действие в [контексте `Agents`](/docs/ru/keybindings#agents-actions), следуют вашему [`keybindings.json`](/docs/ru/keybindings). Так же ведёт себя и `Ctrl+G` — через привязку `chat:externalEditor` контекста `Chat`.

382 384 

383<h2 id="dispatch-new-agents">385<h2 id="dispatch-new-agents">

384 Отправка новых агентов386 Отправка новых агентов

1087 1089 

1088| Версия | Изменение |1090| Версия | Изменение |

1089| - | - |1091| - | - |

1092| v2.1.288 | `Ctrl+F` находит сессии по имени, а `Alt+↑` / `Alt+↓` переходят между заголовками групп. Эти сочетания клавиш, а также `Ctrl+R`, можно [переназначить](/docs/ru/keybindings#agents-actions). |

1090| v2.1.287 | [Фильтр `n:<text>`](#filter-sessions) находит сессии по имени или первому промпту. Пока активен любой фильтр, свёрнутые вами группы разворачиваются, показывая свои совпадения, и выбирается первое совпадение, поэтому `Enter` открывает его. |1093| v2.1.287 | [Фильтр `n:<text>`](#filter-sessions) находит сессии по имени или первому промпту. Пока активен любой фильтр, свёрнутые вами группы разворачиваются, показывая свои совпадения, и выбирается первое совпадение, поэтому `Enter` открывает его. |

1091| v2.1.287 | Команда, отправленная как [ответ из панели просмотра](#peek-and-reply), выполняется, когда завершается текущий ход сессии, включая команды, которые выполняются сразу при вводе в собственном промпте сессии. Ответ, состоящий ровно из `/stop`, немедленно останавливает сессию. |1094| v2.1.287 | Команда, отправленная как [ответ из панели просмотра](#peek-and-reply), выполняется, когда завершается текущий ход сессии, включая команды, которые выполняются сразу при вводе в собственном промпте сессии. Ответ, состоящий ровно из `/stop`, немедленно останавливает сессию. |

1092| v2.1.281 | Ограничение [`--setting-sources`](/docs/ru/cli-reference#cli-flags) [переносится](#what-carries-over-when-you-background) в сеанс, который вы отправляете в фон с помощью `←` или `/bg`, и в сеансы, которые вы отправляете из agent view. До этого выпуска запущенный сеанс загружал каждый источник параметров. |1095| v2.1.281 | Ограничение [`--setting-sources`](/docs/ru/cli-reference#cli-flags) [переносится](#what-carries-over-when-you-background) в сеанс, который вы отправляете в фон с помощью `←` или `/bg`, и в сеансы, которые вы отправляете из agent view. До этого выпуска запущенный сеанс загружал каждый источник параметров. |

386 386 

387Когда эти проверки находят модель, которую ваша учётная запись не может вызвать, Claude Code запоминает отказ на этом компьютере на срок до одного дня, и при запуске в течение этого времени пропускает запомненную модель без повторного обращения к Amazon Bedrock. Claude Code проверяет запомненный отказ текущей модели по умолчанию снова при запуске один раз через десять минут после последней проверки, поэтому значение по умолчанию, которое ваш администратор повторно включит, вернётся. Чтобы отключить память, установите [`CLAUDE_CODE_SKIP_MODEL_ACCESS_MEMORY=1`](/docs/ru/env-vars).387Когда эти проверки находят модель, которую ваша учётная запись не может вызвать, Claude Code запоминает отказ на этом компьютере на срок до одного дня, и при запуске в течение этого времени пропускает запомненную модель без повторного обращения к Amazon Bedrock. Claude Code проверяет запомненный отказ текущей модели по умолчанию снова при запуске один раз через десять минут после последней проверки, поэтому значение по умолчанию, которое ваш администратор повторно включит, вернётся. Чтобы отключить память, установите [`CLAUDE_CODE_SKIP_MODEL_ACCESS_MEMORY=1`](/docs/ru/env-vars).

388 388 

389<h3 id="when-your-organization-enforces-a-model-allowlist">

390 Когда ваша организация применяет список разрешённых моделей

391</h3>

392 

393Если вы задаёте [`enforceAvailableModels`](/docs/ru/model-config#enforce-the-allowlist-for-the-default-model) в управляемых настройках, проверки модели при запуске используют только модели, разрешённые вашим списком `availableModels`. Это применяется к Amazon Bedrock Invoke API и требует Claude Code v2.1.287 или новее. Список без `enforceAvailableModels` не ограничивает эти проверки.

394 

395Проверки сравнивают каждую запись с ID профиля вывода, который они отправили бы, включая его [префикс региона](#cross-region-inference-profile-prefixes), поэтому записывайте список в виде этих ID. Этот пример разрешает Opus 4.8 и Sonnet 4.5 для развёртывания, модели которого разрешаются в профили `us.`:

396 

397```json theme={null}

398{

399 "availableModels": ["us.anthropic.claude-opus-4-8", "us.anthropic.claude-sonnet-4-5-20250929-v1:0"],

400 "enforceAvailableModels": true

401}

402```

403 

404Сведения о псевдонимах, префиксах версий и записях `modelOverrides` см. в разделе [Закрепление моделей для сторонних развёртываний](/docs/ru/model-config#pin-models-for-third-party-deployments).

405 

389<h3 id="when-a-model-is-disabled-mid-session">406<h3 id="when-a-model-is-disabled-mid-session">

390 Когда модель отключена во время сеанса407 Когда модель отключена во время сеанса

391</h3>408</h3>

156 Позвольте Claude отвечать на комментарии самостоятельно156 Позвольте Claude отвечать на комментарии самостоятельно

157</h3>157</h3>

158 158 

159После того как ваша сессия опубликует артефакт, Claude Code следит за этим артефактом на предмет комментариев столько, сколько работает сессия. Когда кто-то, кто может редактировать артефакт, отправляет комментарий Claude, он сразу же поступает в вашу сессию, и Claude может прочитать тред и ответить без вашего участия.159После того как ваша сессия опубликует артефакт, Claude Code следит за этим артефактом на предмет комментариев. Когда кто-то, кто может редактировать артефакт, отправляет комментарий Claude, он сразу же поступает в вашу сессию, и Claude может прочитать тред и ответить без вашего участия.

160 160 

161Вам нужна Claude Code версии 2.1.228 или более поздней. Если вы отключили [получение флагов функций](/docs/ru/env-vars#features-that-need-feature-flag-fetching), Claude Code не следит за комментариями.161Вам нужна Claude Code версии 2.1.228 или более поздней. Если вы отключили [получение флагов функций](/docs/ru/env-vars#features-that-need-feature-flag-fetching), Claude Code не следит за комментариями.

162 162 

174* **Остановите задачу в `/tasks`**: Claude прекращает отвечать на этот артефакт до тех пор, пока вы не попросите его возобновить ответы там. Повторная публикация артефакта не запускает ответы снова, и остановка по-прежнему применяется при возобновлении сессии позже.174* **Остановите задачу в `/tasks`**: Claude прекращает отвечать на этот артефакт до тех пор, пока вы не попросите его возобновить ответы там. Повторная публикация артефакта не запускает ответы снова, и остановка по-прежнему применяется при возобновлении сессии позже.

175* **Нажмите `Ctrl+X Ctrl+K` дважды в течение 3 секунд**: комбинация, которая [останавливает каждого работающего фонового подагента](/docs/ru/interactive-mode#general-controls), также останавливает Claude от ответа на каждый артефакт на оставшуюся часть сессии. Просьба Claude возобновить ответы не отменяет эту остановку.175* **Нажмите `Ctrl+X Ctrl+K` дважды в течение 3 секунд**: комбинация, которая [останавливает каждого работающего фонового подагента](/docs/ru/interactive-mode#general-controls), также останавливает Claude от ответа на каждый артефакт на оставшуюся часть сессии. Просьба Claude возобновить ответы не отменяет эту остановку.

176 176 

177Наблюдение, которое Claude Code запустил самостоятельно, может завершиться, если в артефакте несколько часов не было активности. Чтобы снова запустить наблюдение, опубликуйте артефакт ещё раз или попросите Claude следить за ним.

178 

177Если служба, которая доставляет комментарии, становится недоступной или перестаёт отвечать, Claude Code продолжает пытаться переподключиться в течение некоторого времени, а затем прекращает следить за каждым артефактом, за которым следила ваша сессия.179Если служба, которая доставляет комментарии, становится недоступной или перестаёт отвечать, Claude Code продолжает пытаться переподключиться в течение некоторого времени, а затем прекращает следить за каждым артефактом, за которым следила ваша сессия.

178 180 

179<h2 id="pull-live-data-with-mcp-connectors">181<h2 id="pull-live-data-with-mcp-connectors">

479 Автоматизируйте и масштабируйте479 Автоматизируйте и масштабируйте

480</h2>480</h2>

481 481 

482Как только вы эффективны с одним Claude, умножьте ваш выход с параллельными сеансами, неинтерактивным режимом и паттернами fan-out.482Как только вы научитесь эффективно работать с одним Claude, умножьте свою производительность с помощью параллельных сессий, неинтерактивного режима и паттернов fan-out.

483 483 

484<h3 id="run-non-interactive-mode">484<h3 id="run-non-interactive-mode">

485 Запустите неинтерактивный режим485 Запустите неинтерактивный режим

486</h3>486</h3>

487 487 

488<Tip>488<Tip>

489 Используйте `claude -p "prompt"` в CI, pre-commit hooks или скриптах. Добавьте `--output-format stream-json --verbose` для потокового вывода JSON.489 Используйте `claude -p "prompt"` в CI, pre-commit хуках или скриптах. Добавьте `--output-format stream-json --verbose` для потокового вывода JSON.

490</Tip>490</Tip>

491 491 

492С `claude -p "your prompt"`, вы можете запустить Claude неинтерактивно, без интерактивной подсказки. Запуск по-прежнему создаёт возобновляемый сеанс, если вы не передадите `--no-session-persistence`. [Неинтерактивный режим](/docs/ru/headless) — это как вы интегрируете Claude в CI pipelines, pre-commit hooks или любой автоматизированный рабочий процесс. Форматы вывода позволяют вам анализировать результаты программно: простой текст, JSON или потоковый JSON.492С `claude -p "your prompt"` вы можете запустить Claude неинтерактивно, без интерактивного промпта. Запуск по-прежнему создаёт возобновляемую сессию, если вы не передадите `--no-session-persistence`. [Неинтерактивный режим](/docs/ru/headless) — это способ интегрировать Claude в CI-конвейеры, pre-commit хуки или любой автоматизированный рабочий процесс. Форматы вывода позволяют анализировать результаты программно: простой текст, JSON или потоковый JSON.

493 493 

494```bash theme={null}494```bash theme={null}

495# One-off queries495# One-off queries

505Первая команда выводит простой текст. Формат `json` возвращает один объект JSON с полем `result`. Формат `stream-json` выводит один объект JSON на строку, начиная с события инициализации.505Первая команда выводит простой текст. Формат `json` возвращает один объект JSON с полем `result`. Формат `stream-json` выводит один объект JSON на строку, начиная с события инициализации.

506 506 

507<h3 id="run-multiple-claude-sessions">507<h3 id="run-multiple-claude-sessions">

508 Запустите несколько сеансов Claude508 Запустите несколько сессий Claude

509</h3>509</h3>

510 510 

511<Tip>511<Tip>

512 Запустите несколько сеансов Claude параллельно для ускорения разработки, запуска изолированных экспериментов или запуска сложных рабочих процессов.512 Запускайте несколько сессий Claude параллельно, чтобы ускорить разработку, проводить изолированные эксперименты или запускать сложные рабочие процессы.

513</Tip>513</Tip>

514 514 

515Выберите подход параллелизации, который соответствует тому, сколько координации вы хотите выполнить самостоятельно, и добавьте обмен сообщениями, когда сеансам нужно передавать результаты друг другу:515Выберите подход к параллелизации, который соответствует тому, сколько координации вы хотите выполнять самостоятельно, и добавьте обмен сообщениями, когда сессиям нужно передавать результаты друг другу:

516 516 

517* [Worktrees](/docs/ru/worktrees): запустите отдельные сеансы CLI в изолированных git checkouts, чтобы правки не конфликтовали517* [Worktrees](/docs/ru/worktrees): запускайте отдельные сессии CLI в изолированных git checkouts, чтобы правки не конфликтовали

518* [Cross-session messaging](/docs/ru/cross-session-messaging): позвольте сеансам, которые вы запускаете самостоятельно, передавать результаты друг другу518* [Cross-session messaging](/docs/ru/cross-session-messaging): позвольте сессиям, которые вы запускаете самостоятельно, передавать результаты друг другу

519* [Desktop app](/docs/ru/desktop#work-in-parallel-with-sessions): управляйте несколькими локальными сеансами визуально, каждый в своём worktree519* [Desktop app](/docs/ru/desktop#work-in-parallel-with-sessions): управляйте несколькими локальными сессиями визуально, при желании каждой в своём worktree

520* [Use Claude Code in the cloud](/docs/ru/claude-code-on-the-web): запустите сеансы в облаке, на инфраструктуре, управляемой Anthropic, по умолчанию520* [Use Claude Code in the cloud](/docs/ru/claude-code-on-the-web): по умолчанию запускайте сессии на инфраструктуре, управляемой Anthropic

521* [Agent view](/docs/ru/agent-view): исследовательский предпросмотр. Запустите `claude agents` для отправки сеансов, которые продолжают работать в фоне, и наблюдайте за ними с одного экрана521* [Agent view](/docs/ru/agent-view): research preview. Запустите `claude agents`, чтобы отправлять сессии, которые продолжают работать в фоне, и наблюдать за ними с одного экрана

522* [Agent teams](/docs/ru/agent-teams): экспериментальная и отключена по умолчанию. Автоматизированная координация нескольких сеансов с общими задачами, обмена сообщениями и лидера команды522* [Agent teams](/docs/ru/agent-teams): экспериментальная функция, отключена по умолчанию. Автоматизированная координация нескольких сессий с общими задачами, обменом сообщениями и лидером команды

523 523 

524Помимо параллелизации работы, несколько сеансов позволяют рабочие процессы, сосредоточенные на качестве. Свежий контекст улучшает проверку кода, поскольку Claude не будет предвзят к коду, который он только что написал.524Помимо параллелизации работы, несколько сессий позволяют выстраивать рабочие процессы, ориентированные на качество. Свежий контекст улучшает код-ревью, поскольку Claude не будет предвзят к коду, который он только что написал.

525 525 

526Например, используйте паттерн Writer/Reviewer:526Например, используйте паттерн Writer/Reviewer:

527 527 

531| | `Review the rate limiter implementation in @src/middleware/rateLimiter.ts. Look for edge cases, race conditions, and consistency with our existing middleware patterns.` |531| | `Review the rate limiter implementation in @src/middleware/rateLimiter.ts. Look for edge cases, race conditions, and consistency with our existing middleware patterns.` |

532| `Here's the review feedback: [Session B output]. Address these issues.` | |532| `Here's the review feedback: [Session B output]. Address these issues.` | |

533 533 

534Вы можете сделать что-то подобное с тестами: пусть один Claude напишет тесты, затем другой напишет код для их прохождения.534Вы можете сделать нечто подобное с тестами: пусть один Claude напишет тесты, а другой — код, который их пройдёт.

535 535 

536<h3 id="fan-out-across-files">536<h3 id="fan-out-across-files">

537 Fan out через файлы537 Fan out через файлы

538</h3>538</h3>

539 539 

540<Tip>540<Tip>

541 Зациклитесь через задачи, вызывая `claude -p` для каждой. Используйте `--allowedTools` для определения области разрешений для пакетных операций.541 Перебирайте задачи в цикле, вызывая `claude -p` для каждой. Используйте `--allowedTools`, чтобы заранее разрешить инструменты для пакетных операций.

542</Tip>542</Tip>

543 543 

544Для больших миграций или анализов вы можете распределить работу через много параллельных вызовов Claude. Запустите [`/batch <instruction>`](/docs/ru/commands#all-commands) для того, чтобы Claude разделил изменение между 5-30 подагентами. Каждый подагент работает в своём worktree. Чтобы управлять fan-out из вашего собственного скрипта, зациклитесь через `claude -p`:544Для больших миграций или анализов вы можете распределить работу между множеством параллельных вызовов Claude. Запустите [`/batch <instruction>`](/docs/ru/commands#all-commands), чтобы Claude разделил изменение между 5–30 субагентами. Каждый субагент работает в своём worktree. Чтобы вместо этого управлять fan-out из собственного скрипта, перебирайте `claude -p` в цикле:

545 545 

546<Steps>546<Steps>

547 <Step title="Сгенерируйте список задач">547 <Step title="Сгенерируйте список задач">

548 Попросите Claude написать список файлов, которые нужно мигрировать, в файл, чтобы цикл на следующем шаге мог его прочитать, с подсказкой вроде `list all 2,000 Python files that need migrating and save the list to files.txt`548 Попросите Claude записать список файлов, которые нужно мигрировать, в файл, чтобы цикл на следующем шаге мог его прочитать, с помощью промпта вроде `list all 2,000 Python files that need migrating and save the list to files.txt`

549 </Step>549 </Step>

550 550 

551 <Step title="Напишите скрипт для циклирования через список">551 <Step title="Напишите скрипт для перебора списка">

552 ```bash theme={null}552 ```bash theme={null}

553 for file in $(cat files.txt); do553 for file in $(cat files.txt); do

554 claude -p "Migrate $file from Python 2 to Python 3. Return OK or FAIL." \554 claude -p "Migrate $file from Python 2 to Python 3. Return OK or FAIL." \

555 --allowedTools "Edit,Bash(git commit *)"555 --allowedTools "Edit,Bash(git commit *)" \

556 --permission-mode dontAsk

556 done557 done

557 ```558 ```

558 </Step>559 </Step>

559 560 

560 <Step title="Тестируйте на нескольких файлах, затем запустите на всех">561 <Step title="Протестируйте на нескольких файлах, затем запустите на всех">

561 Уточняйте вашу подсказку на основе того, что идёт не так с первыми 2-3 файлами, затем запустите на полном наборе. Флаг `--allowedTools` ограничивает то, что Claude может делать, что важно, когда вы запускаете без присмотра.562 Уточните свой промпт с учётом того, что пошло не так с первыми 2–3 файлами, затем запустите на полном наборе. Флаг `--allowedTools` заранее разрешает инструменты, необходимые для миграции, а [`--permission-mode dontAsk`](/docs/ru/permission-modes#allow-only-pre-approved-tools-with-dontask-mode) отклоняет всё остальное, что потребовало бы подтверждения, — это важно, когда вы запускаете работу без присмотра.

562 </Step>563 </Step>

563</Steps>564</Steps>

564 565 

569```570```

570 571 

571<h3 id="run-autonomously-with-auto-mode">572<h3 id="run-autonomously-with-auto-mode">

572 Запустите автономно с auto mode573 Запустите автономно с авторежимом

573</h3>574</h3>

574 575 

575Для непрерывного выполнения с проверками безопасности в фоне используйте [auto mode](/docs/ru/permission-modes#eliminate-prompts-with-auto-mode). Модель-классификатор проверяет команды перед их запуском, блокируя расширение области, неизвестную инфраструктуру и действия, вызванные враждебным контентом, позволяя обычной работе продолжаться без подсказок.576Для непрерывного выполнения с фоновыми проверками безопасности используйте [авторежим](/docs/ru/permission-modes#eliminate-prompts-with-auto-mode). Модель-классификатор проверяет команды перед их запуском, блокируя выход за пределы задачи, неизвестную инфраструктуру и действия, вызванные враждебным контентом, и при этом позволяя рутинной работе продолжаться без запросов.

576 577 

577```bash theme={null}578```bash theme={null}

578claude --permission-mode auto -p "fix all lint errors"579claude --permission-mode auto -p "fix all lint errors"

579```580```

580 581 

581Когда классификатор повторно блокирует действия в неинтерактивном запуске с флагом `-p`, Claude Code не останавливает запуск. См. [when auto mode falls back](/docs/ru/permission-modes#when-auto-mode-falls-back) для того, что происходит вместо этого и для пороговых значений.582Когда классификатор повторно блокирует действия в неинтерактивном запуске с флагом `-p`, Claude Code не останавливает запуск. О том, что происходит вместо этого, и о пороговых значениях см. в разделе [когда авторежим переключается на резервный вариант](/docs/ru/permission-modes#when-auto-mode-falls-back).

582 583 

583<h3 id="add-an-adversarial-review-step">584<h3 id="add-an-adversarial-review-step">

584 Добавьте шаг состязательного рецензирования585 Добавьте шаг состязательного ревью

585</h3>586</h3>

586 587 

587<Tip>588<Tip>

588 Перед тем как считать задачу выполненной, попросите подагента рецензировать diff в свежем контексте и сообщить об пробелах.589 Прежде чем считать задачу выполненной, попросите субагента проверить diff в свежем контексте и сообщить о пробелах.

589</Tip>590</Tip>

590 591 

591Чем дольше Claude работает без присмотра, тем больше независимая проверка имеет значение перед тем, как вы считаете работу выполненной. Рецензент, работающий в свежем контексте [подагента](/docs/ru/sub-agents), видит только diff и критерии, которые вы ему даёте, а не рассуждения, которые произвели изменение, поэтому он оценивает результат на его собственных условиях.592Чем дольше Claude работает без присмотра, тем важнее независимая проверка, прежде чем вы сочтёте работу выполненной. Рецензент, работающий в свежем контексте [субагента](/docs/ru/sub-agents), видит только diff и критерии, которые вы ему даёте, но не рассуждения, приведшие к изменению, поэтому он оценивает результат сам по себе.

592 593 

593Для проверки корректности запустите встроенный навык [`/code-review` skill](/docs/ru/commands), который рецензирует текущий diff на предмет ошибок в свежем подагенте и возвращает результаты в сеанс. Чтобы проверить diff в соответствии с вашим планом, напишите подсказку рецензирования самостоятельно. Назовите работу для проверки, план для проверки и что считается результатом:594Для проверки корректности запустите встроенный [скилл `/code-review`](/docs/ru/commands), который проверяет текущий diff на наличие ошибок в свежем субагенте и возвращает результаты в сессию. Чтобы вместо этого проверить diff на соответствие вашему плану, напишите промпт для ревью самостоятельно. Укажите, какую работу проверить, по какому плану её проверять и что считается замечанием:

594 595 

595```text wrap theme={null}596```text wrap theme={null}

596Use a subagent to review the rate limiter diff against PLAN.md. Check that597Use a subagent to review the rate limiter diff against PLAN.md. Check that

598nothing outside the task's scope changed. Report gaps, not style preferences.599nothing outside the task's scope changed. Report gaps, not style preferences.

599```600```

600 601 

601Поскольку рецензент работает как подагент, реализующий сеанс получает пробелы напрямую и может исправить их и пересмотреть без того, чтобы вы копировали результаты между окнами.602Поскольку рецензент работает как субагент, реализующая сессия получает пробелы напрямую и может исправить их и провести повторное ревью без того, чтобы вы копировали результаты между окнами.

602 603 

603<Callout>604<Callout>

604 Рецензент, которому предложено найти пробелы, обычно сообщит о некоторых, даже когда работа звучит, потому что это то, что его попросили сделать. Преследование каждого результата приводит к чрезмерной инженерии: дополнительные слои абстракции, оборонительный код и тесты для случаев, которые не могут произойти. Скажите рецензенту, чтобы он отмечал только пробелы, которые влияют на корректность или указанные требования, и рассматривал остальное как необязательное.605 Рецензент, которого попросили найти пробелы, обычно сообщит хотя бы о некоторых, даже если работа выполнена качественно, потому что именно это его попросили сделать. Попытки устранить каждое замечание приводят к чрезмерному усложнению: лишним слоям абстракции, защитному коду и тестам для случаев, которые не могут произойти. Попросите рецензента помечать только пробелы, влияющие на корректность или заявленные требования, а остальное считайте необязательным.

605</Callout>606</Callout>

606 607 

607***608***

326 Включение каналов для вашей организации326 Включение каналов для вашей организации

327</h3>327</h3>

328 328 

329Включите каналы для вашей организации из [**claude.ai → Admin settings → Claude Code → Channels**](https://claude.ai/admin-settings/claude-code), что требует роли Owner, или установив `channelsEnabled` на `true` в управляемых параметрах.329Включите каналы для вашей организации в [**Organization settings > Claude Code > Channels**](https://claude.ai/admin-settings/claude-code), что требует роли Owner, или установив `channelsEnabled` на `true` в управляемых настройках.

330 330 

331После включения пользователи в вашей организации могут использовать `--channels` для выбора серверов каналов в отдельных сеансах. Если параметр отключен или не установлен, MCP-сервер все еще подключается и его инструменты работают, но сообщения каналов не будут поступать. Предупреждение при запуске сообщает пользователю попросить администратора включить параметр.331После включения пользователи в вашей организации могут использовать `--channels` для выбора серверов каналов в отдельных сеансах. Если параметр отключен или не установлен, MCP-сервер все еще подключается и его инструменты работают, но сообщения каналов не будут поступать. Предупреждение при запуске сообщает пользователю попросить администратора включить параметр.

332 332 

263 Подключение разработчиков263 Подключение разработчиков

264</h2>264</h2>

265 265 

266Разработчики подключаются со своих собственных ноутбуков с одним входом в браузер, используя свою корпоративную рабочую учётную запись. Им не нужна учётная запись claude.ai, ключ API или подписка, потому что запросы к модели идут через шлюз, используя учётные данные вышестоящего уровня организации. Подключение управляется [управляемыми параметрами на стороне клиента](/docs/ru/claude-apps-gateway-config#client-side-managed-settings), которые вы отправляете через MDM, поэтому нет ручной настройки на стороне разработчика; этот раздел охватывает то, что настраивает администратор.266Разработчики подключаются со своих собственных ноутбуков с помощью одного входа в браузере, используя свою корпоративную рабочую учётную запись. Им не нужна учётная запись claude.ai, API-ключ или подписка, потому что запросы к модели идут через шлюз с использованием вышестоящих учётных данных организации. Подключение управляется [управляемыми настройками на стороне клиента](/docs/ru/claude-apps-gateway-config#client-side-managed-settings), которые вы распространяете через MDM, поэтому ручная настройка на стороне разработчика не требуется; этот раздел описывает то, что настраивает администратор.

267 267 

268CLI отпечатывает сертификат TLS листа шлюза при первом подключении и закрепляет его для каждого имени хоста. Он проверяет этот отпечаток снова при входе, при молчаливом обновлении сеанса и при получении управляемых параметров, в то время как запросы вывода используют стандартную проверку TLS без отпечатка. Запросы, маршрутизируемые через прокси HTTPS, пропускают проверку отпечатка, поэтому добавьте хост шлюза в `NO_PROXY`, чтобы сохранить их прямыми.268При первом подключении CLI снимает отпечаток листового TLS-сертификата шлюза и закрепляет его для каждого имени хоста. Он снова проверяет этот закреплённый отпечаток при входе, при фоновом обновлении сессии и при получении управляемых настроек, тогда как запросы инференса используют стандартную проверку TLS без закрепления. Запросы, маршрутизируемые через HTTPS-прокси, пропускают проверку закреплённого отпечатка, поэтому добавьте хост шлюза в `NO_PROXY`, чтобы они шли напрямую.

269 269 

270Опубликуйте ожидаемый отпечаток SHA-256 вместе с URL шлюза, чтобы разработчики имели что-то для сравнения. Подсказка `/login` показывает первые 16 символов отпечатка как строчные шестнадцатеричные без двоеточий. Чтобы вывести полный отпечаток в этой форме из файла сертификата, выполните:270Опубликуйте ожидаемый отпечаток SHA-256 вместе с URL шлюза, чтобы разработчикам было с чем сравнивать. Запрос `/login` показывает первые 16 символов отпечатка в виде строчных шестнадцатеричных символов без двоеточий. Чтобы вывести полный отпечаток в этой форме из файла сертификата, выполните:

271 271 

272```bash theme={null}272```bash theme={null}

273openssl x509 -noout -fingerprint -sha256 -in cert.pem | cut -d= -f2 | tr -d : | tr 'A-F' 'a-f'273openssl x509 -noout -fingerprint -sha256 -in cert.pem | cut -d= -f2 | tr -d : | tr 'A-F' 'a-f'

274```274```

275 275 

276Когда сертификат ротируется, каждый разработчик видит подсказку доверия снова, поэтому рассматривайте ротации как запланированное событие и переопубликуйте отпечаток. Если политика вашего шлюза включает [параметры, требующие одобрения](/docs/ru/server-managed-settings#security-approval-dialogs), разработчик также видит диалог одобрения снова после принятия нового сертификата, потому что Claude Code привязывает [память об одобрении](/docs/ru/server-managed-settings#approval-memory) к закреплённому сертификату.276При ротации сертификата каждый разработчик снова видит запрос доверия, поэтому рассматривайте ротации как запланированное событие и публикуйте отпечаток заново. Если политика вашего шлюза включает [настройки, требующие подтверждения](/docs/ru/server-managed-settings#security-approval-dialogs), разработчик после принятия нового сертификата также снова видит диалог подтверждения, потому что Claude Code привязывает [память о подтверждениях](/docs/ru/server-managed-settings#approval-memory) к закреплённому сертификату.

277 277 

278Шлюз может возвращать необязательное поле `email` в своём ответе токена для обозначения учётной записи, которую использовал вход. Когда это происходит, разработчик подтверждает учётную запись перед тем, как Claude Code сохранит учётные данные. После подтверждённого входа `/status` показывает учётную запись.278Шлюз может возвращать в ответе с токеном необязательное поле `email`, указывающее учётную запись, которая использовалась при входе. В этом случае разработчик подтверждает учётную запись до того, как Claude Code сохранит учётные данные. После подтверждённого входа `/status` показывает эту учётную запись.

279 279 

280Подтверждение требует Claude Code v2.1.275 или позже на машине разработчика; клиент ниже этой версии игнорирует поле. Сервер шлюза в двоичном файле `claude` не возвращает поле, поэтому его входы завершаются без подтверждения.280Для подтверждения требуется Claude Code v2.1.275 или новее на машине разработчика; клиент более ранней версии игнорирует это поле. Сервер шлюза в бинарном файле `claude` не возвращает это поле, поэтому входы через него завершаются без подтверждения.

281 281 

282После входа разработчика [средство выбора модели](/docs/ru/model-config) показывает модели в списке разрешённых `availableModels` разработчика. Управляемые параметры применяются при запуске и обновляются ежечасно, и телеметрия маршрутизируется в ваш сборщик.282После входа разработчика [средство выбора модели](/docs/ru/model-config) показывает модели из его списка разрешённых моделей `availableModels`. Управляемые настройки применяются при запуске и обновляются ежечасно, а телеметрия направляется в ваш сборщик.

283 283 

284Сеансы молча обновляются перед истечением `ttl_hours`. Когда обновление не удаётся после отключения IdP, Claude Code запрашивает у разработчика повторный вход.284Сессии обновляются в фоновом режиме до истечения `ttl_hours`. Если обновление не удаётся после отзыва доступа в IdP, Claude Code предлагает разработчику войти снова.

285 285 

286<h3 id="set-the-gateway-url">286<h3 id="set-the-gateway-url">

287 Установка URL шлюза287 Задание URL шлюза

288</h3>288</h3>

289 289 

290Три ключа идут в файл [управляемых параметров](/docs/ru/managed-settings#delivery-mechanisms) для каждой ОС, который вы развёртываете через MDM или непосредственно на диск. `forceLoginMethod` и `forceLoginGatewayUrl` открывают `/login` прямо на экране **Cloud gateway** с заполненным URL, и `parentSettingsBehavior: "merge"` позволяет Claude Desktop доставлять список разрешённых исходящих соединений шлюза в сеансы Claude Code, которые он запускает, как объяснено в [Доставка политики в сеансы Claude Desktop](#deliver-policy-to-claude-desktop-sessions):290Три ключа помещаются в [файл управляемых настроек](/docs/ru/managed-settings#delivery-mechanisms) для соответствующей ОС, который вы развёртываете через MDM или непосредственно на диск. `forceLoginMethod` и `forceLoginGatewayUrl` открывают `/login` сразу на экране **Cloud gateway** с заполненным URL, а `parentSettingsBehavior: "merge"` позволяет Claude Desktop передавать список разрешённых исходящих соединений шлюза в запускаемые им сессии Claude Code, как описано в разделе [Доставка политики в сессии Claude Desktop](#deliver-policy-to-claude-desktop-sessions):

291 291 

292```json theme={null}292```json theme={null}

293{293{

297}297}

298```298```

299 299 

300Разработчик нажимает Enter для подключения. Подсказка отпечатка TLS при первом подключении [всё ещё появляется](#connect-developers). После того как файл находится на машине, разработчик, который не завершил вход в шлюз, видит одно из сообщений, описанных в [Политика администратора требует входа в Cloud gateway](/docs/ru/errors#administrator-policy-requires-a-cloud-gateway-sign-in). Разработчики, которые выбирают поставщика облака через переменную окружения, такую как `CLAUDE_CODE_USE_BEDROCK`, не нуждаются во входе в шлюз.300Разработчик нажимает Enter для подключения. [Запрос отпечатка TLS при первом подключении](#connect-developers) по-прежнему появляется. Как только файл оказывается на машине, разработчик, не завершивший вход в шлюз, видит одно из сообщений, описанных в разделе [Administrator policy requires a Cloud gateway sign-in](/docs/ru/errors#administrator-policy-requires-a-cloud-gateway-sign-in). Разработчикам, которые выбирают облачного провайдера через переменную окружения, например `CLAUDE_CODE_USE_BEDROCK`, вход в шлюз не нужен.

301 301 

302Разработчик не может настроить это вручную. В средстве выбора входа нет опции шлюза, и `forceLoginGatewayUrl` игнорируется в собственных файлах параметров разработчика. `forceLoginMethod` один, без URL, оставляет разработчика с сообщением "Свяжитесь с администратором IT". Ключи входа принадлежат файлу, который вы отправляете на машины, а не в блок `managed.policies[].cli` шлюза, который достигает только уже подключённых клиентов.302Разработчик не может настроить это вручную. В средстве выбора способа входа нет варианта шлюза, а `forceLoginGatewayUrl` игнорируется в собственных файлах настроек разработчика. Один `forceLoginMethod` без URL оставляет разработчика с сообщением "Contact your IT administrator". Ключи входа должны находиться в файле, который вы распространяете на машины, а не в блоке `managed.policies[].cli` шлюза, который доходит только до уже подключённых клиентов.

303 303 

304<h3 id="allow-a-gateway-on-public-address-space-you-own">304<h3 id="allow-a-gateway-on-public-address-space-you-own">

305 Разрешение шлюза на адресном пространстве, которым вы владеете305 Разрешение шлюза в принадлежащем вам публичном адресном пространстве

306</h3>306</h3>

307 307 

308Некоторые организации нумеруют свою внутреннюю сеть из блока публичного IPv4, которым они владеют, например из собственного адресного пространства оператора или устаревшего `/8`, поэтому их шлюз не может иметь приватный адрес. Перечислите эти блоки в управляемом параметре `gatewayInternalNetworks`. `/login` затем принимает шлюз внутри перечисленного блока, когда машина разработчика подключается к нему с адреса внутри того же блока. Это требует Claude Code v2.1.268 или позже на машине разработчика; более ранние версии игнорируют ключ и применяют правило приватного адреса.308Некоторые организации нумеруют свою внутреннюю сеть из принадлежащего им публичного блока IPv4, например из собственного адресного пространства оператора связи или устаревшего `/8`, поэтому их шлюз не может иметь приватный адрес. Перечислите эти блоки в управляемой настройке `gatewayInternalNetworks`. Тогда `/login` принимает шлюз внутри перечисленного блока, если машина разработчика подключается к нему с адреса внутри того же блока. Для этого требуется Claude Code v2.1.268 или новее на машине разработчика; более ранние версии игнорируют ключ и применяют правило приватных адресов.

309 309 

310<Warning>310<Warning>

311 `gatewayInternalNetworks` предназначен для внутренних сетей, которые случайно нумеруются из публичного адресного пространства. Это не делает безопасным открытие шлюза в интернет: доверенный шлюз может отправлять параметры, которые запускают команды на машинах разработчиков.311 `gatewayInternalNetworks` предназначен для внутренних сетей, которые просто нумеруются из публичного адресного пространства. Он не делает безопасным открытие шлюза в интернет: доверенный шлюз может передавать настройки, которые запускают команды на машинах разработчиков.

312 312 

313 Держите шлюз недоступным из-за пределов вашей сети с помощью правил брандмауэра или балансировщика нагрузки. Установите [`access_control.allow_cidrs`](/docs/ru/claude-apps-gateway-config#http-tuning) шлюза на те же блоки, которые вы объявляете здесь, чтобы сам шлюз отказывал клиентам откуда-либо ещё. За балансировщиком нагрузки или входом установите `listen.trusted_proxies` на этот фронтенд также, потому что иначе шлюз сопоставляет `allow_cidrs` с адресом самого фронтенда, а не разработчика.313 Сделайте шлюз недоступным извне вашей сети с помощью правил брандмауэра или балансировщика нагрузки. Задайте для [`access_control.allow_cidrs`](/docs/ru/claude-apps-gateway-config#http-tuning) шлюза те же блоки, которые вы объявляете здесь, чтобы сам шлюз отклонял клиентов из любых других мест. За балансировщиком нагрузки или ingress также задайте в `listen.trusted_proxies` этот фронтенд, потому что в противном случае шлюз сопоставляет `allow_cidrs` с адресом самого фронтенда, а не разработчика.

314</Warning>314</Warning>

315 315 

316Добавьте ключ в тот же источник управляемых параметров, что и ключи входа: файл управляемых параметров, профиль MDM или политика реестра. Claude Code игнорирует его в пользовательских, проектных и управляемых на сервере параметрах.316Добавьте ключ в тот же источник управляемых настроек, что и ключи входа: файл управляемых настроек, профиль MDM или политику реестра. Claude Code игнорирует его в пользовательских, проектных и управляемых с сервера настройках.

317 317 

318Этот пример объявляет один блок. Замените `203.0.113.0/24` на ваш собственный блок. Это диапазон документации, и Claude Code отказывает в нём.318В этом примере объявлен один блок. Замените `203.0.113.0/24` своим блоком. Это диапазон для документации, и Claude Code такие диапазоны отклоняет.

319 319 

320```json theme={null}320```json theme={null}

321{321{

323}323}

324```324```

325 325 

326Claude Code проверяет список в `/login` перед тем, как он контактирует с каким-либо шлюзом:326Claude Code проверяет список в `/login` до обращения к какому-либо шлюзу:

327 327 

328* Каждая запись — это блок IPv4, написанный как его первый адрес и префикс от `/8` до `/32`.328* Каждая запись — это блок IPv4, записанный как его первый адрес и префикс от `/8` до `/32`.

329* Список содержит максимум четыре блока, и никакие два не перекрываются.329* Список содержит не более четырёх блоков, и никакие два из них не перекрываются.

330* Никакой блок не перекрывает приватное адресное пространство: `10.0.0.0/8`, `172.16.0.0/12`, `192.168.0.0/16`, `127.0.0.0/8`, `169.254.0.0/16` и `100.64.0.0/10`. `/login` уже принимает шлюз там без этого ключа.330* Ни один блок не перекрывает приватное адресное пространство: `10.0.0.0/8`, `172.16.0.0/12`, `192.168.0.0/16`, `127.0.0.0/8`, `169.254.0.0/16` и `100.64.0.0/10`. `/login` и без этого ключа принимает шлюз в этих диапазонах.

331* Никакой блок не перекрывает пространство, которое никогда не является сетью организации: `198.18.0.0/15` и `192.0.0.0/24`, которые VPN и NAT64 клиенты держат как локальные адреса; диапазоны документации `192.0.2.0/24`, `198.51.100.0/24` и `203.0.113.0/24`; и зарезервированные диапазоны `0.0.0.0/8`, `192.88.99.0/24` и мультикаст `224.0.0.0/4`. Вы можете объявлять блоки внутри `240.0.0.0/4`, которые некоторые крупные сети используют как внутреннее одноадресное пространство.331* Ни один блок не перекрывает пространство, которое никогда не бывает сетью организации: `198.18.0.0/15` и `192.0.0.0/24`, которые клиенты VPN и NAT64 используют как локальные адреса; диапазоны для документации `192.0.2.0/24`, `198.51.100.0/24` и `203.0.113.0/24`; и зарезервированные диапазоны `0.0.0.0/8`, `192.88.99.0/24` и многоадресный `224.0.0.0/4`. Вы можете объявлять блоки внутри `240.0.0.0/4`, который некоторые крупные сети используют как внутреннее одноадресное пространство.

332 332 

333Блоки из `managed-settings.json` и его файлов drop-in `managed-settings.d/` объединяются в один список, и эти ограничения применяются к объединённому списку. Чтобы сузить блок, замените его запись, а не добавляйте вторую, перекрывающуюся в drop-in; `/login` отказывает в перекрытии.333Блоки из `managed-settings.json` и его дополнительных файлов `managed-settings.d/` объединяются в один список, и эти ограничения применяются к объединённому списку. Чтобы сузить блок, замените его запись, а не добавляйте вторую, перекрывающуюся, в дополнительный файл; `/login` отклоняет перекрытие.

334 334 

335Если запись нарушает правило или значение не является списком строк, Claude Code отказывает в каждом новом входе в шлюз на этой машине и называет проблему в сообщении. Вход в шлюз на приватном адресе также не удаётся, и существующие входы продолжают работать. Попробуйте значение на одной машине перед развёртыванием. Claude Code также перечисляет неправильно типизированное значение среди [неправильных управляемых параметров, которые он сообщает](/docs/ru/managed-settings#keys-that-fail-closed).335Если запись нарушает правило или значение не является списком строк, Claude Code отклоняет любой новый вход в шлюз на этой машине и называет проблему в сообщении. Вход в шлюз с приватным адресом тоже не удаётся, а существующие входы продолжают работать. Проверьте значение на одной машине перед развёртыванием. Claude Code также указывает значение неправильного типа среди [недопустимых управляемых настроек, о которых он сообщает](/docs/ru/managed-settings#keys-that-fail-closed).

336 336 

337С правильным списком `/login` применяет три проверки к шлюзу, чей адрес находится внутри перечисленного блока:337При корректном списке `/login` применяет три проверки к шлюзу, адрес которого находится внутри перечисленного блока:

338 338 

339* Каждый адрес, на который разрешается имя хоста шлюза, находится внутри того же блока. Claude Code отказывает имени, которое также имеет записи вне него, включая приватные и IPv6 адреса.339* Каждый адрес, в который разрешается имя хоста шлюза, находится внутри этого одного блока. Claude Code отклоняет имя, у которого есть записи и вне блока, включая приватные адреса и адреса IPv6.

340* Машина разработчика подключается изнутри того же блока. Claude Code отказывает машине за NAT, внутри контейнера или WSL2, или на VPN, чей пул адресов находится вне блока, и называет адрес, с которого машина подключилась.340* Машина разработчика подключается изнутри того же блока. Claude Code отклоняет машину за NAT, внутри контейнера или WSL2, либо в VPN, пул адресов которой находится вне блока, и называет адрес, с которого подключилась машина.

341* Подключение прямое. Если `HTTPS_PROXY` применяется к хосту шлюза, `/login` отказывает и называет запись `NO_PROXY` для добавления.341* Подключение прямое. Если `HTTPS_PROXY` применяется к хосту шлюза, `/login` отклоняет вход и называет запись `NO_PROXY`, которую нужно добавить.

342 342 

343Когда все три проходят, подсказка [доверия](#connect-developers) добавляет строку, называющую адрес машины, адрес шлюза и объявленный блок, который содержит оба.343Когда все три проверки пройдены, [запрос доверия](#connect-developers) добавляет строку с адресом машины, адресом шлюза и объявленным блоком, который содержит оба адреса.

344 344 

345Ключ ничего не меняет для других шлюзов: вход в один на приватном адресе работает как раньше, и вход в один на публичном адресе вне каждого перечисленного блока отказывается как раньше.345Для других шлюзов ключ ничего не меняет: вход в шлюз с приватным адресом работает как раньше, а вход в шлюз с публичным адресом вне всех перечисленных блоков отклоняется как раньше.

346 346 

347Объявленный блок сужает, кто может войти, но не доказывает, где находится машина, поэтому объявляйте только адресное пространство, которым управляет ваша организация. Блок, общий с другими арендаторами, такой как публичный диапазон поставщика облака, позволяет любому в нём пройти ту же проверку.347Объявленный блок сужает круг тех, кто может войти, но не доказывает, где находится машина, поэтому объявляйте только адресное пространство, которое контролирует ваша организация. Блок, общий с другими арендаторами, например публичный диапазон облачного провайдера, позволяет любому в нём пройти ту же проверку.

348 348 

349<h3 id="deliver-policy-to-claude-desktop-sessions">349<h3 id="deliver-policy-to-claude-desktop-sessions">

350 Доставка политики в сеансы Claude Desktop350 Доставка политики в сессии Claude Desktop

351</h3>351</h3>

352 352 

353Claude Desktop запускает свои вкладки Cowork и Code, а также вкладку Chat, когда вы её включаете, на встроенных сеансах Claude Code и отправляет их запросы модели через шлюз. Он передаёт политику каждому из этих сеансов, построенную из конфигурации, которую шлюз ему предоставляет в `/user/bootstrap`: список разрешённых моделей, отключённые инструменты и список разрешённых исходящих соединений, полученный из блока `cli` согласованной политики, плюс [наложение `desktop`](/docs/ru/claude-apps-gateway-config#claude-desktop-overlay).353Claude Desktop запускает свои вкладки Cowork и Code, а также вкладку Chat, если вы её включите, на встроенных сессиях Claude Code и отправляет их запросы к модели через шлюз. Он передаёт каждой из этих сессий политику, построенную на основе конфигурации, которую шлюз отдаёт ему по адресу `/user/bootstrap`: список разрешённых моделей, отключённые инструменты и список разрешённых исходящих соединений, полученные из блока `cli` совпавшей политики, а также [наложение `desktop`](/docs/ru/claude-apps-gateway-config#claude-desktop-overlay).

354 354 

355Другие ключи `cli`, такие как hooks, `env` и правила разрешений с областью действия, такие как `Bash(npm *)`, достигают только клиентов, которые входят через `/login`. Claude Desktop читает URL шлюза из своей собственной управляемой конфигурации и входит со своим собственным потоком, отдельно от ключей `forceLoginMethod` и `forceLoginGatewayUrl` в [Установка URL шлюза](#set-the-gateway-url).355Другие ключи `cli`, такие как хуки, `env` и правила разрешений с ограниченной областью действия вроде `Bash(npm *)`, доходят только до клиентов, которые входят через `/login`. Claude Desktop читает URL шлюза из своей собственной управляемой конфигурации и выполняет вход по собственной схеме, независимо от ключей `forceLoginMethod` и `forceLoginGatewayUrl` из раздела [Задание URL шлюза](#set-the-gateway-url).

356 356 

357Параметры, переданные запускающим процессом, являются родительскими параметрами. Claude Code игнорирует родительские параметры на любой машине, которая имеет развёрнутый администратором управляемый источник, если только [источник, который доставляет политику](/docs/ru/managed-settings#which-managed-source-claude-code-uses), не устанавливает `parentSettingsBehavior: "merge"`.357Настройки, переданные запускающим процессом, являются родительскими настройками. Claude Code игнорирует родительские настройки на любой машине, где есть управляемый источник, развёрнутый администратором, если только [источник, доставляющий политику](/docs/ru/managed-settings#which-managed-source-claude-code-uses), не задаёт `parentSettingsBehavior: "merge"`.

358 358 

359<h4 id="which-machines-need-the-opt-in">359<h4 id="which-machines-need-the-opt-in">

360 Какие машины нуждаются в согласии360 Каким машинам нужно явное включение

361</h4>361</h4>

362 362 

363Машины, которые только запускают Claude Desktop, нуждаются в нём. Claude Desktop применяет список моделей и список отключённых инструментов к встроенным сеансам сам, но список разрешённых исходящих соединений достигает их только как родительские параметры, в форме правил доменов `WebFetch` и правил сетевой изоляции. Без согласия эти сеансы работают без ограничения исходящих соединений, и ничто вас не предупредит. Шлюз по-прежнему отклоняет запросы вывода для моделей, которые политика не предоставляет.363Оно нужно машинам, на которых запускается только Claude Desktop. Claude Desktop сам применяет список моделей и список отключённых инструментов к встроенным сессиям, но список разрешённых исходящих соединений доходит до них только как родительские настройки — в виде правил доменов `WebFetch` и сетевых правил песочницы. Без явного включения эти сессии работают без ограничения исходящих соединений, и ничто вас об этом не предупредит. Шлюз по-прежнему отклоняет запросы инференса к моделям, которые политика не предоставляет.

364 364 

365Список разрешённых маркетплейсов плагинов также достигает встроенных сеансов только как родительские параметры. Когда вы отключаете пользовательские маркетплейсы плагинов в управляемой конфигурации Claude Desktop, Claude Desktop 2.16120.0 или позже скрывает маркетплейсы, которые ваша организация не предоставила, и отказывает в установках из них. Чтобы остановить встроенные сеансы от загрузки плагинов, уже установленных из этих маркетплейсов, он отправляет им список `strictKnownMarketplaces` как родительские параметры. Без согласия Claude Code игнорирует этот список, и эти плагины продолжают загружаться.365Список разрешённых маркетплейсов плагинов также доходит до встроенных сессий только как родительские настройки. Когда вы отключаете добавляемые пользователями маркетплейсы плагинов в управляемой конфигурации Claude Desktop, Claude Desktop 2.16120.0 или новее скрывает маркетплейсы, которые ваша организация не предоставила, и отклоняет установку из них. Чтобы встроенные сессии не загружали плагины, уже установленные из этих маркетплейсов, он отправляет им список `strictKnownMarketplaces` как родительские настройки. Без явного включения Claude Code игнорирует этот список, и эти плагины продолжают загружаться.

366 366 

367Машины, где разработчики входят через `/login`, не нуждаются в нём; каждый сеанс Claude Code получает свою политику из шлюза.367Машинам, на которых разработчики входят через `/login`, оно не нужно; каждая сессия Claude Code получает свою политику от шлюза.

368 368 

369Флоты, чьи [`policyHelper`](/docs/ru/settings-reference#policyhelper) предоставляют управляемые параметры, не могут использовать это: Claude Code никогда не объединяет родительские параметры на этих флотах, потому что он читает управляемые параметры только из выходных данных помощника.369Парки машин, в которых управляемые настройки предоставляет [`policyHelper`](/docs/ru/settings-reference#policyhelper), не могут его использовать: Claude Code никогда не объединяет родительские настройки в таких парках, потому что читает управляемые настройки только из вывода помощника.

370 370 

371<h4 id="set-the-opt-in">371<h4 id="set-the-opt-in">

372 Установка согласия372 Явное включение

373</h4>373</h4>

374 374 

375Развёртывайте фрагмент управляемых параметров из [Установка URL шлюза](#set-the-gateway-url), отразите его в любом источнике на стороне клиента, который превосходит файл, затем проверьте.375Разверните фрагмент управляемых настроек из раздела [Задание URL шлюза](#set-the-gateway-url), продублируйте его в любом клиентском источнике, который имеет приоритет над файлом, затем выполните проверку.

376 376 

377<Steps>377<Steps>

378 <Step title="Развёртывание согласия в файле управляемых параметров">378 <Step title="Разверните явное включение в файле управляемых настроек">

379 [Фрагмент выше](#set-the-gateway-url) уже включает `parentSettingsBehavior: "merge"`, поэтому файл, который вы отправляете на машины, несёт его.379 [Фрагмент выше](#set-the-gateway-url) уже содержит `parentSettingsBehavior: "merge"`, поэтому файл, который вы распространяете на машины, включает его.

380 </Step>380 </Step>

381 381 

382 <Step title="Отражение фрагмента в любом источнике, который превосходит файл">382 <Step title="Продублируйте фрагмент в любом источнике с приоритетом выше файла">

383 Claude Code читает `parentSettingsBehavior` только из [выбранного источника](/docs/ru/managed-settings#which-managed-source-claude-code-uses). Добавление любого ключа политики в источник может сделать этот источник выбранным, поэтому в источнике на стороне клиента отразите весь фрагмент, а не только `parentSettingsBehavior`. [Управляемые параметры на стороне клиента](/docs/ru/claude-apps-gateway-config#client-side-managed-settings) охватывает флоты, которые доставляют политику через Group Policy или профили конфигурации. Plist управляемых предпочтений на macOS или политика HKLM на Windows превосходит файл `managed-settings.json`, и удалённые управляемые параметры шлюза превосходят оба, поэтому на машинах, которые входят в шлюз, также установите `parentSettingsBehavior` в блоке [`cli`](/docs/ru/claude-apps-gateway-config#managed) политики шлюза.383 Claude Code читает `parentSettingsBehavior` только из [выбранного источника](/docs/ru/managed-settings#which-managed-source-claude-code-uses). Добавление любого ключа политики в источник может сделать этот источник выбранным, поэтому в клиентском источнике дублируйте весь фрагмент, а не только `parentSettingsBehavior`. Раздел [Управляемые настройки на стороне клиента](/docs/ru/claude-apps-gateway-config#client-side-managed-settings) описывает парки машин, которые доставляют политику через Group Policy или профили конфигурации. Plist управляемых предпочтений в macOS или политика HKLM в Windows имеют приоритет над файлом `managed-settings.json`, а удалённые управляемые настройки самого шлюза имеют приоритет над обоими, поэтому на машинах, которые входят в шлюз, также задайте `parentSettingsBehavior` в [блоке `cli`](/docs/ru/claude-apps-gateway-config#managed) политики шлюза.

384 </Step>384 </Step>

385 385 

386 <Step title="Проверка выбранного источника">386 <Step title="Проверьте, какой источник выбран">

387 На машине, которая только запускает Claude Desktop, вызовите [`resolveSettings()`](/docs/ru/agent-sdk/typescript#resolvesettings) Agent SDK и прочитайте `policyOrigin` в записи `managed` в его списке `sources`. Значение называет выбранный источник на стороне клиента, `plist`, `hklm` или `file`, который является источником, который должен нести фрагмент. Встроенные сеансы Claude Desktop не получают политику шлюза, поэтому блок `cli` шлюза никогда не считается выбранным источником для них.387 На машине, где запускается только Claude Desktop, вызовите [`resolveSettings()`](/docs/ru/agent-sdk/typescript#resolvesettings) из Agent SDK и прочитайте `policyOrigin` в записи `managed` его списка `sources`. Значение указывает выбранный клиентский источник — `plist`, `hklm` или `file`, — именно он должен содержать фрагмент. Встроенные сессии Claude Desktop не получают политику шлюза, поэтому блок `cli` шлюза для них никогда не считается выбранным источником.

388 </Step>388 </Step>

389</Steps>389</Steps>

390 390 

391<h3 id="restrict-parent-settings">391<h3 id="restrict-parent-settings">

392 Ограничение родительских параметров392 Ограничение родительских настроек

393</h3>393</h3>

394 394 

395После развёртывания `parentSettingsBehavior: "merge"` любой хост-процесс, который запускает Claude Code, может предоставлять родительские параметры, не только Claude Desktop, но также приложение Agent SDK или расширение IDE.395После развёртывания `parentSettingsBehavior: "merge"` любой хост-процесс, который запускает Claude Code, может передавать родительские настройки — не только Claude Desktop, но и приложение на Agent SDK или расширение IDE.

396 396 

397Claude Code фильтрует родительские параметры против списка разрешённых ограничивающих ключей, но некоторые разрешённые ключи могут предоставлять доступ, а не ограничивать его. Если вы не установите блокировки `allowManaged*Only`, правила разрешения доступа и списки разрешённых изоляции, предоставленные хостом, по-прежнему применяются. Правила отказа и запроса вашей политики остаются в силе в любом случае; [они оцениваются перед любым правилом разрешения](/docs/ru/permissions#manage-permissions).397Claude Code фильтрует родительские настройки по списку разрешённых ограничивающих ключей, но некоторые разрешённые ключи могут предоставлять доступ, а не ограничивать его. Если вы не зададите блокировки `allowManaged*Only`, разрешающие правила разрешений и списки разрешённых для песочницы, переданные хостом, продолжают применяться. Запрещающие правила и правила запроса подтверждения вашей политики в любом случае остаются в силе; [они оцениваются раньше любого разрешающего правила](/docs/ru/permissions#manage-permissions).

398 398 

399Claude Code пересылает записи [`sandbox.credentials`](/docs/ru/settings-reference#sandbox-credentials), предоставленные родителем, в упрощённой форме:399Claude Code пересылает переданные родителем записи [`sandbox.credentials`](/docs/ru/settings-reference#sandbox-credentials) в урезанном виде:

400 400 

401* **Записи `deny`**: пересылаются только с их `path` или `name` и режимом.401* **Записи `deny`**: пересылаются только со своими `path` или `name` и режимом.

402* **Записи файлов с [`mode: mask`](/docs/ru/sandboxing#mask-credential-files)**: пересылаются только как дозорные, как маска всего файла, чей `injectHosts` является пустым списком, поэтому прокси никогда не подставляет реальное значение для записи, предоставленной родителем, на любой платформе. Все поля структурированного маскирования также отбрасываются, поэтому шаблон извлечения, предоставленный родителем, не может заменить более строгую маску, которую устанавливает другой источник для того же пути.402* **Файловые записи с [`mode: mask`](/docs/ru/sandboxing#mask-credential-files)**: пересылаются только как заглушки — как маска всего файла с пустым списком `injectHosts`, поэтому прокси ни на одной платформе не подставляет реальное значение для записи, переданной родителем. Все поля структурированного маскирования также отбрасываются, поэтому переданный родителем шаблон извлечения не может вытеснить более строгую маску, которую другой источник задаёт для того же пути.

403* **Записи `envVars` с `mode: mask`**: не пересылаются. `deny` — это единственное ограничение, которое канал родителя может выразить через записи `envVars`.403* **Записи `envVars` с `mode: mask`**: не пересылаются. `deny` — единственное ограничение, которое родительский канал может выразить через записи `envVars`.

404* **[`awsPairs` и `sigv4`](/docs/ru/sandboxing#re-sign-aws-requests)**: пересылаются только ограничения. Из `sigv4` сохраняются только значения `deny`, и родитель, который определяет блок `sigv4` вообще, закрепляет все три формы запроса, `streaming`, `presigned` и `sigv4a`, на `deny`. Пара `awsPairs` никогда не пересылается в форме, которая может переподписать; пара, которая называет одну из обычных переменных AWS, заменяется инертной записью, которая сохраняет автоматическое спаривание `AWS_ACCESS_KEY_ID`, `AWS_SECRET_ACCESS_KEY` и `AWS_SESSION_TOKEN` подавленным.404* **[`awsPairs` и `sigv4`](/docs/ru/sandboxing#re-sign-aws-requests)**: пересылаются только как ограничения. Из `sigv4` сохраняются только значения `deny`, а родитель, который вообще определяет блок `sigv4`, фиксирует все три формы запросов — `streaming`, `presigned` и `sigv4a` — в значении `deny`. Пара `awsPairs` никогда не пересылается в форме, позволяющей переподписывать запросы; пара, называющая одну из стандартных переменных AWS, заменяется неактивной записью, которая сохраняет подавленным автоматическое сопоставление `AWS_ACCESS_KEY_ID`, `AWS_SECRET_ACCESS_KEY` и `AWS_SESSION_TOKEN`.

405 405 

406<h4 id="deploy-the-locks">406<h4 id="deploy-the-locks">

407 Развёртывание блокировок407 Развёртывание блокировок

408</h4>408</h4>

409 409 

410Чтобы сохранить родительские параметры как можно ближе к ограничению, как поддерживает фильтр, добавьте все пять блокировок `allowManaged*Only` и списки разрешённых, которые они управляют, в те же источники, что и согласие на объединение:410Чтобы родительские настройки были настолько близки к чисто ограничивающим, насколько позволяет фильтр, добавьте все пять блокировок `allowManaged*Only` и управляемые ими списки разрешённых в те же источники, что и явное включение объединения:

411 411 

412```json theme={null}412```json theme={null}

413{413{

432}432}

433```433```

434 434 

435Политика ОС, такая как политика реестра HKLM или plist управляемых предпочтений, превосходит этот файл, поэтому доставляйте весь фрагмент через неё вместо файла. Удалённые управляемые параметры шлюза превосходят политику ОС и источники файлов, но достигают только подключённых клиентов. Отразите блокировки, списки разрешённых и согласие на объединение в блок [`cli`](/docs/ru/claude-apps-gateway-config#managed) политики и сохраняйте этот файл развёрнутым, потому что машины, которые никогда не подключаются, включая те, которые только запускают Claude Desktop, получают свою политику только из файла.435Политика ОС, например политика реестра HKLM или plist управляемых предпочтений, имеет приоритет над этим файлом, поэтому доставляйте весь фрагмент через неё вместо файла. Удалённые управляемые настройки шлюза имеют приоритет над политикой ОС и файловыми источниками, но доходят только до подключённых клиентов. Продублируйте блокировки, списки разрешённых и явное включение объединения в [блоке `cli`](/docs/ru/claude-apps-gateway-config#managed) политики и оставьте этот файл развёрнутым, потому что машины, которые никогда не подключаются, включая те, на которых запускается только Claude Desktop, получают свою политику только из файла.

436 436 

437<h4 id="lock-behavior-across-sources">437<h4 id="lock-behavior-across-sources">

438 Поведение блокировки между источниками438 Поведение блокировок в разных источниках

439</h4>439</h4>

440 440 

441Установка одной блокировки не ограничивает другие; каждый ключ задокументирован в [справочнике параметров](/docs/ru/settings-reference#all-settings).441Установка одной блокировки не ограничивает остальные; каждый ключ описан в [справочнике настроек](/docs/ru/settings-reference#all-settings).

442 442 

443Из источника администратора ниже победителя две блокировки изоляции по-прежнему применяются, и `allowManagedPermissionRulesOnly` по-прежнему блокирует правила разрешения, предоставленные родителем, и `additionalDirectories`. На Claude Code v2.1.273 или позже блокировка MCP сервера также применяется из источника ниже победителя, и пока она включена, управляемый список `allowedMcpServers` поступает из источника администратора с наивысшим приоритетом, который устанавливает один.443Из административного источника с приоритетом ниже выигравшего обе блокировки песочницы по-прежнему применяются, а `allowManagedPermissionRulesOnly` по-прежнему блокирует переданные родителем разрешающие правила и `additionalDirectories`. В Claude Code v2.1.273 или новее блокировка MCP-серверов также применяется из источника ниже выигравшего, и пока она включена, управляемый список `allowedMcpServers` берётся из административного источника с наивысшим приоритетом, в котором он задан.

444 444 

445Блокировка hooks и эффект `allowManagedPermissionRulesOnly` на собственные правила разработчика нуждаются в выигрывающем источнике по умолчанию; в соответствии с согласием на объединение `managedSourcesBehavior` в [как Claude Code объединяет управляемые источники](/docs/ru/managed-settings#how-claude-code-combines-managed-sources), Claude Code применяет самое строгое значение, которое любой источник устанавливает для каждой блокировки. На флотах [`policyHelper`](/docs/ru/settings-reference#policyhelper) блокировки читаются только из выходных данных помощника.445Блокировке хуков и действию `allowManagedPermissionRulesOnly` на собственные правила разработчика по умолчанию нужен выигравший источник; при явном включении объединения `managedSourcesBehavior`, описанном в разделе [как Claude Code объединяет управляемые источники](/docs/ru/managed-settings#how-claude-code-combines-managed-sources), Claude Code применяет для каждой блокировки самое строгое значение, заданное любым источником. В парках машин с [`policyHelper`](/docs/ru/settings-reference#policyhelper) Claude Code читает блокировки только из вывода помощника.

446 446 

447Каждая блокировка заставляет Claude Code игнорировать собственные записи разработчика для этого параметра, поэтому включите списки разрешённых вашей организации рядом с блокировками:447Каждая блокировка заставляет Claude Code игнорировать собственные записи разработчика для этой настройки, поэтому добавляйте списки разрешённых вашей организации рядом с блокировками:

448 448 

449* **Сетевые домены**: блокировка с пустым списком управляемых доменов блокирует весь исходящий трафик в изоляции.449* **Сетевые домены**: блокировка с пустым управляемым списком доменов блокирует весь исходящий трафик из песочницы.

450* **MCP серверы**: блокировка без `allowedMcpServers` в любом источнике администратора или в параметрах, предоставленных родителем, загружает каждый сервер, который `deniedMcpServers` не блокирует.450* **MCP-серверы**: блокировка без `allowedMcpServers` ни в одном административном источнике и ни в переданных родителем настройках загружает каждый сервер, который не заблокирован `deniedMcpServers`.

451* **Пути чтения**: записи `allowRead` только повторно разрешают пути внутри регионов `denyRead`, поэтому спаривайте их с управляемым `denyRead`.451* **Пути чтения**: записи `allowRead` лишь повторно разрешают пути внутри областей `denyRead`, поэтому используйте их вместе с управляемым `denyRead`.

452 452 

453<h4 id="settings-the-locks-don’t-cover">453<h4 id="settings-the-locks-don’t-cover">

454 Параметры, которые блокировки не охватывают454 Настройки, на которые блокировки не распространяются

455</h4>455</h4>

456 456 

457Шесть параметров, предоставленных родителем, проходят фильтр даже со всеми пятью установленными блокировками. В соответствии с параметром первого выигрыша по умолчанию, значение администратора, которое блокирует родителя, находится в источнике администратора с наивысшим приоритетом, кроме `allowedMcpServers` пока [блокировка MCP сервера](#lock-behavior-across-sources) включена. В соответствии с согласием на объединение `managedSourcesBehavior`, [как Claude Code объединяет управляемые источники](/docs/ru/managed-settings#how-claude-code-combines-managed-sources) говорит, какое значение источника применяется вместо этого.457Следующие настройки от родителя проходят фильтр даже при всех пяти установленных блокировках:

458 458 

459* **`forceLoginOrgUUID`**: Claude Code соблюдает значение, предоставленное родителем, когда источник администратора с наивысшим приоритетом не устанавливает UUID организации. Вход в шлюз не проверяет этот ключ. UUID организации в источнике администратора с наивысшим приоритетом блокирует значение родителя и является тем, который Claude Code применяет.459* **`forceLoginOrgUUID`**: Claude Code учитывает значение от родителя, если административный источник с наивысшим приоритетом не задаёт UUID организации. Вход в шлюз этот ключ не проверяет. UUID организации в административном источнике с наивысшим приоритетом блокирует значение родителя, и именно его применяет Claude Code.

460* **`allowedMcpServers`**: Claude Code соблюдает список разрешённых, предоставленный родителем, когда источник администратора с наивысшим приоритетом не устанавливает один. `allowManagedMcpServersOnly` не блокирует его, потому что блокировка применяет список, который выигрывает, как управляемое значение, включая список, предоставленный родителем, когда источник администратора с наивысшим приоритетом не устанавливает один. Список в источнике администратора с наивысшим приоритетом блокирует список родителя и является списком, который Claude Code применяет, поэтому установите `allowedMcpServers` там, рядом с блокировкой. До v2.1.223 значение для любого ключа в любом источнике администратора блокировало значение родителя.460* **`allowedMcpServers`**: Claude Code учитывает список разрешённых от родителя, если не действует ни один административный список. `allowManagedMcpServersOnly` его не блокирует, потому что блокировка применяет в качестве управляемого значения тот список, который выигрывает, включая список от родителя, если ни один административный источник не предоставляет список. Список в административном источнике с наивысшим приоритетом блокирует список родителя, и именно его применяет Claude Code, поэтому задайте `allowedMcpServers` там, рядом с блокировкой. До v2.1.223 значение любого из этих ключей в любом административном источнике блокировало значение родителя.

461* **`availableModels`**: Claude Code соблюдает список моделей, предоставленный родителем, когда выигрывающий управляемый источник не устанавливает один. Если ваш флот ограничивает модели, установите `availableModels` в выигрывающем источнике.461* **`availableModels`**: Claude Code учитывает список моделей от родителя, если выигравший управляемый источник его не задаёт. Если ваш парк машин ограничивает модели, задайте `availableModels` в выигравшем источнике.

462* **`strictKnownMarketplaces`**: Claude Code соблюдает список разрешённых маркетплейсов плагинов, предоставленный родителем, когда выигрывающий управляемый источник не устанавливает один. Claude Desktop 2.16120.0 или позже отправляет один, когда его управляемая конфигурация отключает пользовательские маркетплейсы плагинов. Если ваш флот ограничивает маркетплейсы, установите `strictKnownMarketplaces` в выигрывающем источнике. Требует Claude Code v2.1.282 или позже.462* **`allowedProviders`**: Claude Code учитывает список разрешённых API-провайдеров от родителя, если выигравший управляемый источник его не задаёт. Если ваш парк машин ограничивает, какими API-провайдерами могут пользоваться разработчики, задайте `allowedProviders` в выигравшем источнике. Требуется Claude Code v2.1.285 или новее.

463* **`blockedMarketplaces`**: список блокировки маркетплейсов, предоставленный родителем, проходит и добавляется к любому списку блокировки, который устанавливает управляемый источник, так как список блокировки может только дополнительно ограничить. Требует Claude Code v2.1.282 или позже.463* **`strictKnownMarketplaces`**: Claude Code учитывает список разрешённых маркетплейсов плагинов от родителя, если выигравший управляемый источник его не задаёт. Claude Desktop 2.16120.0 или новее отправляет такой список, когда его управляемая конфигурация отключает добавляемые пользователями маркетплейсы плагинов. Если ваш парк машин ограничивает маркетплейсы, задайте `strictKnownMarketplaces` в выигравшем источнике. Требуется Claude Code v2.1.282 или новее.

464* **`strictPluginOnlyCustomization`**: этот ключ проходит фильтр независимо от любой блокировки, и он заставляет Claude Code игнорировать собственную настройку разработчика, включая защитные hooks. Никакая блокировка не блокирует его.464* **`blockedMarketplaces`**: список запрещённых маркетплейсов от родителя проходит фильтр и добавляется к любому списку запрещённых, заданному управляемым источником, поскольку список запрещённых может только усиливать ограничения. Требуется Claude Code v2.1.282 или новее.

465* **`strictPluginOnlyCustomization`**: этот ключ проходит фильтр независимо от блокировок и заставляет Claude Code игнорировать собственные настройки разработчика, включая защитные хуки. Ни одна блокировка его не блокирует.

466 

467При настройке по умолчанию «побеждает первый» значение администратора блокирует значение родителя, только если находится в источнике администратора с наивысшим приоритетом, за исключением `allowedMcpServers`, пока включена [блокировка MCP-серверов](#lock-behavior-across-sources). При явном включении объединения `managedSourcesBehavior` раздел [как Claude Code объединяет управляемые источники](/docs/ru/managed-settings#how-claude-code-combines-managed-sources) описывает, значение какого источника применяется вместо этого.

465 468 

466<h3 id="connect-claude-desktop">469<h3 id="connect-claude-desktop">

467 Подключение Claude Desktop470 Подключение Claude Desktop

468</h3>471</h3>

469 472 

470[Claude Desktop](/docs/ru/desktop) подключается к тому же шлюзу через другой ключ MDM: установите `bootstrapUrl` в [управляемой конфигурации](https://claude.com/docs/third-party/claude-desktop/configuration) Claude Desktop на `<listen.public_url>/user/bootstrap`, и согласьте политику пользователя с ключом `desktop`. [Наложение Claude Desktop](/docs/ru/claude-apps-gateway-config#claude-desktop-overlay) охватывает обе части. Требует Claude Code v2.1.203 или позже на сервере шлюза.473[Claude Desktop](/docs/ru/desktop) подключается к тому же шлюзу через другой ключ MDM: задайте `bootstrapUrl` в [управляемой конфигурации](https://claude.com/docs/third-party/claude-desktop/configuration) Claude Desktop равным `<listen.public_url>/user/bootstrap` и включите политику пользователя с помощью ключа `desktop`. Раздел [Наложение Claude Desktop](/docs/ru/claude-apps-gateway-config#claude-desktop-overlay) описывает обе части. Требуется Claude Code v2.1.203 или новее на сервере шлюза.

471 474 

472Claude Desktop подписывает разработчика через поставщика идентификации шлюза с тем же шагом SSO браузера, затем получает свою конфигурацию из шлюза вместо Anthropic. Доступ к модели и политика следуют тем же правилам для каждой группы, что и CLI. Разработчик, который использует как CLI, так и Claude Desktop, входит в каждый отдельно; сеанс шлюза не является общим между ними.475Claude Desktop выполняет вход разработчика через провайдера удостоверений шлюза с тем же шагом SSO в браузере, а затем получает свою конфигурацию от шлюза, а не от Anthropic. Доступ к моделям и политика подчиняются тем же правилам для групп, что и в CLI. Разработчик, который использует и CLI, и Claude Desktop, входит в каждый из них отдельно; сессия шлюза между ними не разделяется.

473 476 

474После подключения Claude Desktop отправляет запросы модели из каждой включённой вкладки через шлюз. Он показывает вкладки Cowork и Code по умолчанию. Чтобы включить вкладку Chat также, установите `chatTabEnabled` на `true` в [управляемой конфигурации](https://claude.com/docs/third-party/claude-desktop/configuration) Claude Desktop, или в блоке [`desktop`](/docs/ru/claude-apps-gateway-config#claude-desktop-overlay) политики на шлюзе, работающем Claude Code v2.1.227 или позже.477После подключения Claude Desktop отправляет запросы к модели из каждой включённой вкладки через шлюз. По умолчанию он показывает вкладки Cowork и Code. Чтобы включить также вкладку Chat, задайте `chatTabEnabled` равным `true` в [управляемой конфигурации](https://claude.com/docs/third-party/claude-desktop/configuration) Claude Desktop или в [блоке `desktop`](/docs/ru/claude-apps-gateway-config#claude-desktop-overlay) политики на шлюзе с Claude Code v2.1.227 или новее.

475 478 

476<h3 id="ci-pipelines-and-remote-machines">479<h3 id="ci-pipelines-and-remote-machines">

477 Конвейеры CI и удалённые машины480 Конвейеры CI и удалённые машины

478</h3>481</h3>

479 482 

480Нет потока токена сервиса для автоматических конвейеров. Вход шлюза всегда запускает поток устройства браузера, поэтому задача CI без разработчика для одобрения входа не может аутентифицироваться; настройте их непосредственно против вашего поставщика.483Схемы с сервисными токенами для автоматических конвейеров не существует. Вход в шлюз всегда использует поток авторизации устройства через браузер, поэтому задача CI, в которой нет разработчика для подтверждения входа, не может пройти аутентификацию; настройте такие задачи на прямую работу с вашим провайдером.

481 484 

482После входа разработчика каждый сеанс Claude Code на этой машине использует сеанс шлюза, включая неинтерактивные запуски `claude -p` и сеансы, запущенные Agent SDK. Claude Code применяет [политику шлюза](/docs/ru/claude-apps-gateway-config#managed) к каждому из них.485После входа разработчика каждая сессия Claude Code на этой машине использует сессию шлюза, включая неинтерактивные запуски `claude -p` и сессии, запущенные Agent SDK. Claude Code применяет [политику шлюза](/docs/ru/claude-apps-gateway-config#managed) к каждой из них.

483 486 

484Поток устройства отделяет опрашивающий CLI от одобряющего браузера, поэтому удалённый ящик разработки без дисплея всё ещё работает: разработчик запускает `/login` по SSH на удалённой машине и открывает ссылку проверки в браузере на своём ноутбуке.487Поток авторизации устройства разделяет опрашивающий CLI и подтверждающий браузер, поэтому удалённая машина для разработки без дисплея тоже работает: разработчик запускает `/login` по SSH на удалённой машине и открывает ссылку для проверки в браузере на своём ноутбуке.

485 488 

486<h3 id="whats-enforced-on-developers">489<h3 id="whats-enforced-on-developers">

487 Что применяется к разработчикам490 Что применяется к разработчикам

488</h3>491</h3>

489 492 

490Эти гарантии применяются к каждому сеансу, подписанному через `/login`. Встроенные сеансы, которые запускает Claude Desktop, получают свою политику, как описано в [Доставка политики в сеансы Claude Desktop](#deliver-policy-to-claude-desktop-sessions), и пункт телеметрии говорит, куда идут их экспорты.493Эти гарантии действуют для каждой сессии, в которую выполнен вход через `/login`. Встроенные сессии, которые запускает Claude Desktop, получают свою политику, как описано в разделе [Доставка политики в сессии Claude Desktop](#deliver-policy-to-claude-desktop-sessions), а пункт о телеметрии указывает, куда отправляются их экспорты.

491 494 

492* **Доступ к модели**: запросы для моделей, которые политика не предоставляет, возвращают 400, и средство выбора `/model` фильтруется в список разрешённых `availableModels` политики. Установите [`enforceAvailableModels: true`](/docs/ru/model-config#default-model-behavior) в политике, чтобы опция Default разрешалась в модель внутри `availableModels` вместо встроенного значения по умолчанию Claude Code; без неё Default остаётся выбираемым и отклоняется во время запроса, если эта модель не предоставлена.495* **Доступ к моделям**: запросы к моделям, которые политика не предоставляет, возвращают 400, а средство выбора `/model` фильтруется по списку разрешённых моделей `availableModels` политики. Это относится и к модели, с которой сессия запускается до того, как разработчик выберет модель; см. [Запуск сессий на модели, разрешённой политикой](/docs/ru/claude-apps-gateway-config#start-sessions-on-a-model-the-policy-allows).

493* **Назначение телеметрии**: в сеансах, подписанных через `/login`, CLI отправляет свои экспорты OTLP/HTTP в шлюз, а не в локально установленный `OTEL_EXPORTER_OTLP_ENDPOINT`, если политика не [называет ваш сборщик как конечную точку](/docs/ru/claude-apps-gateway-config#export-directly-to-your-collector). Шлюз пересылает экспорты, которые он получает, в назначения в [`telemetry.forward_to`](/docs/ru/claude-apps-gateway-config#telemetry).496* **Назначение телеметрии**: в сессиях, в которые выполнен вход через `/login`, CLI отправляет свои экспорты OTLP/HTTP в шлюз, а не в локально заданный `OTEL_EXPORTER_OTLP_ENDPOINT`, если только политика не [указывает ваш сборщик в качестве эндпоинта](/docs/ru/claude-apps-gateway-config#export-directly-to-your-collector). Шлюз пересылает полученные экспорты в назначения из [`telemetry.forward_to`](/docs/ru/claude-apps-gateway-config#telemetry).

494 * Во встроенных сеансах [которые запускает Claude Desktop](#connect-claude-desktop), CLI отправляет свои экспорты в настроенный `OTEL_EXPORTER_OTLP_ENDPOINT`. CLI прикрепляет токен сеанса шлюза к этим экспортам только когда эта конечная точка указывает на сам шлюз.497 * Во встроенных сессиях, [которые запускает Claude Desktop](#connect-claude-desktop), CLI отправляет свои экспорты в настроенный `OTEL_EXPORTER_OTLP_ENDPOINT`. CLI прикрепляет к этим экспортам токен сессии шлюза, только когда этот эндпоинт указывает на сам шлюз.

495 * Без настроенного назначения для сигнала шлюз принимает и отбрасывает его.498 * Если для сигнала не настроено назначение, шлюз принимает и отбрасывает его.

496 * Если вы уже собираете телеметрию Claude Code напрямую, добавьте ваш сборщик как назначение `forward_to`, или назовите его в политике, чтобы пропустить ретрансляцию.499 * Если вы уже собираете телеметрию Claude Code напрямую, добавьте свой сборщик как назначение `forward_to` или укажите его в политике, чтобы обойтись без пересылки.

497* **Учётные данные**: токен шлюза — это единственное учётное данные сеанса. [Профили Anthropic](/docs/ru/authentication#anthropic-profiles-and-federation-credentials) и любой более ранний вход claude.ai игнорируются при входе, поэтому разработчикам не нужно сначала выходить из claude.ai. Для настроенного `ANTHROPIC_API_KEY`, `ANTHROPIC_AUTH_TOKEN` или `apiKeyHelper` учётного данного см. [Политика администратора требует входа в Cloud gateway](/docs/ru/errors#administrator-policy-requires-a-cloud-gateway-sign-in).500* **Учётные данные**: токен шлюза — единственные учётные данные сессии. [Профили Anthropic](/docs/ru/authentication#anthropic-profiles-and-federation-credentials) и любой ранее выполненный вход в claude.ai игнорируются, пока выполнен вход в шлюз, поэтому разработчикам не нужно предварительно выходить из claude.ai. О настроенных учётных данных `ANTHROPIC_API_KEY`, `ANTHROPIC_AUTH_TOKEN` или `apiKeyHelper`, а также об API-ключе, сохранённом при более раннем входе в Claude Console, см. [Administrator policy requires a Cloud gateway sign-in](/docs/ru/errors#administrator-policy-requires-a-cloud-gateway-sign-in).

498* **Управляемые параметры**: заблокированные ключи не могут быть переопределены локально. CLI применяет политику при запуске и применяет изменения при каждом ежечасном опросе, кроме [изменений, которые применяются только при следующем запуске](/docs/ru/server-managed-settings#fetch-and-caching-behavior).501* **Управляемые настройки**: заблокированные ключи нельзя переопределить локально. CLI применяет политику при запуске и применяет изменения при каждом ежечасном опросе, за исключением [изменений, которые вступают в силу только при следующем запуске](/docs/ru/server-managed-settings#fetch-and-caching-behavior).

499* **Запуск с недоступным шлюзом**: подписанные сеансы выходят при запуске с ошибкой примерно через 10 секунд, а не запускаются без своих параметров.502* **Запуск при недоступном шлюзе**: сессии с выполненным входом завершаются при запуске с ошибкой примерно через 10 секунд, а не запускаются без своих настроек.

500* **Запуск после завершения сеанса шлюзом**: см. [Применение отказа при закрытом запуске](/docs/ru/server-managed-settings#enforce-fail-closed-startup) для запусков, которые открываются без входа в шлюз, и для тех, которые выходят, когда шлюз отвечает с `401`.503* **Запуск после того, как шлюз завершил сессию**: см. [Принудительный запуск с отказом в закрытом режиме](/docs/ru/server-managed-settings#enforce-fail-closed-startup), где описаны запуски, которые открываются без входа в шлюз, и те, которые завершаются, когда шлюз отвечает `401`.

501* **Отключение**: сеанс, чей пользователь отключён в IdP, истекает в течение `ttl_hours`, когда следующее обновление не удаётся.504* **Отзыв доступа**: сессия пользователя, отключённого в IdP, истекает в пределах `ttl_hours`, когда следующее обновление не удаётся.

502* **Выход**: `/logout` удаляет учётные данные шлюза с машины разработчика.505* **Выход**: `/logout` удаляет учётные данные шлюза с машины разработчика.

503 * Когда документ обнаружения шлюза объявляет `revocation_endpoint` на собственной схеме, хосте и порту URL шлюза, `/logout` также отправляет сохранённые токены на эту конечную точку, чтобы шлюз мог завершить сеанс на своей стороне. Запрос является лучшим усилием, поэтому выход завершается на машине разработчика независимо от того, отвечает ли конечная точка. Отзыв требует Claude Code v2.1.275 или позже на машине разработчика.506 * Если документ обнаружения шлюза объявляет `revocation_endpoint` с той же схемой, хостом и портом, что и URL шлюза, `/logout` также отправляет сохранённые токены на этот эндпоинт, чтобы шлюз мог завершить сессию на своей стороне. Запрос выполняется по принципу best effort, поэтому выход на машине разработчика завершается независимо от того, ответит ли эндпоинт. Для отзыва требуется Claude Code v2.1.275 или новее на машине разработчика.

504 * Сервер шлюза в двоичном файле `claude` не объявляет ни один, поэтому выход из него завершает сеанс на машине разработчика только. Чтобы принудительно завершить сеансы на стороне сервера, см. [Ротация секрета JWT](/docs/ru/claude-apps-gateway-deploy#jwt-secret-rotation).507 * Сервер шлюза в бинарном файле `claude` такой эндпоинт не объявляет, поэтому выход из него завершает сессию только на машине разработчика. Чтобы принудительно завершить сессии на стороне сервера, см. [Ротация секрета JWT](/docs/ru/claude-apps-gateway-deploy#jwt-secret-rotation).

505 508 

506<h3 id="what-the-organization-can-see">509<h3 id="what-the-organization-can-see">

507 Что может видеть организация510 Что может видеть организация

508</h3>511</h3>

509 512 

510Телеметрия использования несёт идентификацию разработчика, подсчёт токенов, модель и задержку в сборщик организации. Шлюз не регистрирует и не хранит содержимое подсказки или завершения. Собирается ли более богатая телеметрия, такая как журналы и трассировки, которые могут включать команды и пути файлов, — это [выбор организации для каждого назначения](/docs/ru/claude-apps-gateway-config#telemetry).513Телеметрия использования передаёт в сборщик организации идентификатор разработчика, количество токенов, модель и задержку. Шлюз не логирует и не хранит содержимое промптов или ответов модели. Собирать ли более подробную телеметрию, например логи и трассировки, которые могут включать команды и пути к файлам, организация [решает для каждого назначения отдельно](/docs/ru/claude-apps-gateway-config#telemetry).

511 514 

512<h2 id="availability-and-limitations">515<h2 id="availability-and-limitations">

513 Доступность и ограничения516 Доступность и ограничения

515 518 

516Таблица охватывает, какие функции Claude Code работают, когда разработчики подключаются через шлюз, и что сам сервер шлюза поддерживает. Где что-то не поддерживается, столбец Notes даёт альтернативу.519Таблица охватывает, какие функции Claude Code работают, когда разработчики подключаются через шлюз, и что сам сервер шлюза поддерживает. Где что-то не поддерживается, столбец Notes даёт альтернативу.

517 520 

518Шлюз доставляет значения [`anthropic-beta`](https://platform.claude.com/docs/en/api/beta-headers), которые CLI отправляет каждому вышестоящему уровню, поэтому операторы не поддерживают список разрешений бета. Для Amazon Bedrock, который игнорирует заголовок, шлюз перемещает значения в поле `anthropic_beta` тела запроса; другие вышестоящие уровни получают заголовок как отправленный.521Шлюз доставляет значения [`anthropic-beta`](https://platform.claude.com/docs/en/api/beta-headers), которые CLI отправляет каждому вышестоящему уровню, поэтому операторы не поддерживают список разрешённых бета-значений. Для Amazon Bedrock, который игнорирует заголовок, шлюз перемещает значения в поле `anthropic_beta` тела запроса; другие вышестоящие уровни получают заголовок как отправленный.

519 522 

520| Функция | Статус | Примечания |523| Функция | Статус | Примечания |

521| - | - | - |524| - | - | - |

522| Пересылка вывода (Amazon Bedrock, Claude Platform on AWS, Google Cloud's Agent Platform, Microsoft Foundry, Anthropic) | Доступно | С переводом модели для каждого вышестоящего уровня и отказоустойчивостью. Вышестоящий уровень Amazon Bedrock использует конечную точку `bedrock-runtime` и цепь учётных данных AWS по умолчанию; конечная точка Amazon Bedrock [Mantle](/docs/ru/amazon-bedrock#use-the-mantle-endpoint) не является поддерживаемым вышестоящим уровнем. [Вышестоящий уровень Claude Platform on AWS](/docs/ru/claude-apps-gateway-config#claude-platform-on-aws) требует Claude Code v2.1.198 или более поздней версии на сервере шлюза. |525| Пересылка вывода (Amazon Bedrock, Claude Platform on AWS, Google Cloud's Agent Platform, Microsoft Foundry, Anthropic) | Доступно | С переводом модели для каждого вышестоящего уровня и отказоустойчивостью. Вышестоящий уровень Amazon Bedrock использует эндпоинт `bedrock-runtime` и цепь учётных данных AWS по умолчанию. [Вышестоящий уровень Amazon Bedrock Mantle](/docs/ru/claude-apps-gateway-config#amazon-bedrock-mantle-endpoint) требует Claude Code v2.1.283 или более поздней версии на сервере шлюза, а [вышестоящий уровень Claude Platform on AWS](/docs/ru/claude-apps-gateway-config#claude-platform-on-aws) требует v2.1.198 или более поздней версии. |

523| Доступ к модели и управляемые параметры по группе IdP | Доступно | Доступ к модели применяется на стороне сервера; управляемые параметры доставляются для каждой группы IdP и применяются CLI на [уровне управляемых параметров](/docs/ru/settings#settings-precedence) |526| Доступ к модели и управляемые настройки по группе IdP | Доступно | Доступ к модели применяется на стороне сервера; управляемые настройки доставляются для каждой группы IdP и применяются CLI на [уровне управляемых настроек](/docs/ru/settings#settings-precedence) |

524| Claude Desktop | Доступно с согласия | Шлюз обслуживает конфигурацию Claude Desktop по адресу `/user/bootstrap` после того, как политика [согласится с ключом `desktop`](/docs/ru/claude-apps-gateway-config#claude-desktop-overlay), и Claude Desktop отправляет запросы модели из своих вкладок Cowork и Code, а также из вкладки Chat, когда вы её включите, через шлюз. Чтобы включить вкладку Chat, см. [Подключение Claude Desktop](#connect-claude-desktop). Требует Claude Code v2.1.203 или более поздней версии на сервере шлюза. |527| Claude Desktop | Доступно с согласия | Шлюз обслуживает конфигурацию Claude Desktop по адресу `/user/bootstrap` после того, как политика [согласится с ключом `desktop`](/docs/ru/claude-apps-gateway-config#claude-desktop-overlay), и Claude Desktop отправляет запросы модели из своих вкладок Cowork и Code, а также из вкладки Chat, когда вы её включите, через шлюз. Чтобы включить вкладку Chat, см. [Подключение Claude Desktop](#connect-claude-desktop). Требует Claude Code v2.1.203 или более поздней версии на сервере шлюза. |

525| Телеметрия fan-out (OTLP/HTTP) | Доступно | Идентификация-отмечена для каждого экспорта; оба кодирования protobuf и JSON |528| Телеметрия fan-out (OTLP/HTTP) | Доступно | Идентификация-отмечена для каждого экспорта; оба кодирования protobuf и JSON |

526| Поставщики идентификации OIDC | Доступно | Любой совместимый с OIDC IdP; шлюз запускает стандартное обнаружение OIDC и поток авторизации-кода. См. [Настройка поставщика идентификации](/docs/ru/claude-apps-gateway-deploy#identity-provider-setup) для конфигурации для каждого IdP |529| Поставщики идентификации OIDC | Доступно | Любой совместимый с OIDC IdP; шлюз запускает стандартное обнаружение OIDC и поток авторизации-кода. См. [Настройка поставщика идентификации](/docs/ru/claude-apps-gateway-deploy#identity-provider-setup) для конфигурации для каждого IdP |

527| Ограничения расходов для каждого пользователя и группы | Доступно | См. [Ограничения расходов](/docs/ru/claude-apps-gateway-spend-limits) |530| Ограничения расходов для каждого пользователя и группы | Доступно | См. [Ограничения расходов](/docs/ru/claude-apps-gateway-spend-limits) |

528| Веб-поиск на стороне сервера | Недоступно | CLI не может видеть, какого поставщика вышестоящего уровня маршрутизирует шлюз, поэтому он не может проверить поддержку веб-поиска и отключает WebSearch на сеансах шлюза |531| Веб-поиск на стороне сервера | Недоступно | CLI не может видеть, какого поставщика вышестоящего уровня маршрутизирует шлюз, поэтому он не может проверить поддержку веб-поиска и отключает WebSearch в сессиях шлюза |

529| [Remote Control](/docs/ru/remote-control) | Недоступно | CLI показывает [ошибку, называющую шлюз](/docs/ru/errors#remote-control-requires-the-anthropic-api) |532| [Remote Control](/docs/ru/remote-control) | Недоступно | CLI показывает [ошибку, называющую шлюз](/docs/ru/errors#remote-control-requires-the-anthropic-api) |

530| [`/design-sync`](/docs/ru/commands#all-commands) и `/design-login` | Недоступно | Обе нуждаются в claude.ai, который CLI не контактирует на сеансах шлюза, поэтому ни одна команда там не появляется |533| [`/design-sync`](/docs/ru/commands#all-commands) и `/design-login` | Недоступно | Обе нуждаются в claude.ai, к которому CLI не обращается в сессиях шлюза, поэтому ни одна команда там не появляется |

531| Функции, которые нуждаются в получении флага функции, такие как `/import` и `claude import` | Недоступно | CLI пропускает получение флага на сеансах шлюза. [Функции, которые нуждаются в получении флага функции](/docs/ru/env-vars#features-that-need-feature-flag-fetching) перечисляет, что это отключает |534| Функции, которые нуждаются в получении флага функции, такие как `/import` и `claude import` | Недоступно | CLI пропускает получение флага в сессиях шлюза. [Функции, которые нуждаются в получении флага функции](/docs/ru/env-vars#features-that-need-feature-flag-fetching) перечисляет, что это отключает |

532| Стандартное кэширование подсказок | Доступно | Шлюз пересылает точки разрыва `cache_control` каждому вышестоящему уровню. [Где живёт кэш](/docs/ru/prompt-caching#where-the-cache-lives) охватывает, какие блоки CLI отмечает, включая системный контекст, который он добавляет в середине разговора |535| Стандартное кэширование промптов | Доступно | Шлюз пересылает точки разрыва `cache_control` каждому вышестоящему уровню. [Где живёт кэш](/docs/ru/prompt-caching#where-the-cache-lives) охватывает, какие блоки CLI отмечает, включая системный контекст, который он добавляет в середине разговора |

533| TTL кэша 1 час | Недоступно | CLI опускает бета-версию extended-cache-ttl на сеансах шлюза, потому что не каждый вышестоящий уровень, который может маршрутизировать шлюз, поддерживает TTL 1 час, поэтому кэширование подсказок через шлюз использует TTL 5 минут; см. примечание выше о бета-заголовке |536| TTL кэша 1 час | Недоступно | CLI опускает бета-версию extended-cache-ttl в сессиях шлюза, потому что не каждый вышестоящий уровень, который может маршрутизировать шлюз, поддерживает TTL 1 час, поэтому кэширование промптов через шлюз использует TTL 5 минут; см. примечание выше о бета-заголовке |

534| Режим Auto | Доступно | Следует [правилам поставщика третьей стороны](/docs/ru/permission-modes#enable-auto-mode-on-bedrock-agent-platform-or-foundry): только модели, имеющие право на поставщиков третьей стороны, могут его использовать. До версии v2.1.207 режим auto на сеансах шлюза требовал установки `CLAUDE_CODE_ENABLE_AUTO_MODE=1`, доставляемой через блок `env` управляемой политики |537| Авторежим | Доступно | Следует [правилам поставщика третьей стороны](/docs/ru/permission-modes#enable-auto-mode-on-bedrock-agent-platform-or-foundry): только модели, имеющие право на поставщиков третьей стороны, могут его использовать. До версии v2.1.207 авторежим в сессиях шлюза требовал установки `CLAUDE_CODE_ENABLE_AUTO_MODE=1`, доставляемой через блок `env` управляемой политики |

535| Оптимизации только первой стороны, такие как глобальная область кэша и инструменты, эффективные по токенам | Недоступно | CLI не включает их на сеансах шлюза; см. примечание выше о бета-заголовке |538| Оптимизации только первой стороны, такие как глобальная область действия кэша и инструменты, эффективные по токенам | Недоступно | CLI не включает их в сессиях шлюза; см. примечание выше о бета-заголовке |

536| OTLP/gRPC | Не поддерживается | Только OTLP по HTTP |539| OTLP/gRPC | Не поддерживается | Только OTLP по HTTP |

537| SAML, LDAP и другая аутентификация не-OIDC | Не поддерживается | Только OIDC. Фронт с мостом OIDC, если необходимо |540| SAML, LDAP и другая аутентификация не-OIDC | Не поддерживается | Только OIDC. Фронт с мостом OIDC, если необходимо |

538| Мультитенантность (несколько издателей OIDC) | Не поддерживается | Один издатель на шлюз. Запустите отдельные экземпляры |541| Мультитенантность (несколько издателей OIDC) | Не поддерживается | Один издатель на шлюз. Запустите отдельные экземпляры |

58 `listen`58 `listen`

59</h3>59</h3>

60 60 

61Блок `listen` управляет тем, где служит gateway: адрес привязки и порт, видимое снаружи происхождение и опциональное завершение TLS.61Блок `listen` определяет, где шлюз принимает запросы: адрес и порт привязки, видимый извне origin и необязательное завершение TLS.

62 62 

63| Поле | Обязательно | Описание |63| Поле | Обязательно | Описание |

64| - | - | - |64| - | - | - |

65| `host` | Нет | Адрес привязки. По умолчанию `0.0.0.0`. |65| `host` | Нет | Адрес привязки. По умолчанию `0.0.0.0`. |

66| `port` | Нет | Порт привязки. По умолчанию `8080`. |66| `port` | Нет | Порт привязки. По умолчанию `8080`. |

67| `public_url` | За исключением loopback | Видимое снаружи происхождение `https://`, используется для построения `redirect_uri` IdP и метаданных обнаружения. Требуется всякий раз, когда `host` не является адресом loopback, независимо от того, завершается ли TLS на прокси, таком как ALB, Ingress или Cloud Run, или на самом gateway через `tls`, потому что gateway никогда не получает собственное происхождение из заголовков `X-Forwarded-*`; они могут быть подделаны клиентом. Загрузка завершается ошибкой без него. `trusted_proxies` ниже управляет только разрешением IP клиента. Также требуется для включения [телеметрии](#telemetry), потому что gateway строит конечную точку OTLP, которую он отправляет клиентам, из этого URL. |67| `public_url` | Если `host` не loopback | Видимый извне origin `https://`, из которого формируются `redirect_uri` для IdP и метаданные обнаружения. Обязателен всякий раз, когда `host` не является loopback-адресом, независимо от того, завершается ли TLS на прокси, таком как ALB, Ingress или Cloud Run, или на самом шлюзе через `tls`, потому что шлюз никогда не выводит собственный origin из заголовков `X-Forwarded-*`: клиент может их подделать. Без него шлюз не запустится. Параметр `trusted_proxies` ниже управляет только определением IP-адреса клиента. Также обязателен для включения [телеметрии](#telemetry), потому что шлюз формирует из этого URL эндпоинт OTLP, который передаёт клиентам. |

68| `tls.cert` / `tls.key` | Нет | Пути PEM, если gateway сам завершает TLS |68| `tls.cert` / `tls.key` | Нет | Пути к PEM-файлам, если шлюз сам завершает TLS |

69| `trusted_proxies` | Нет | CIDR или IP балансировщиков нагрузки перед gateway. Когда установлено, gateway доверяет `X-Forwarded-For` только от этих пиров и записывает реальный IP клиента для ограничения скорости по IP и аудита. Эквивалентно nginx `set_real_ip_from`. Записи `X-Forwarded-For`, написанные как `ipv4:port` или `[ipv6]:port`, как это делают некоторые балансировщики нагрузки, читаются с отброшенным портом. IPv6 адрес с добавленным портом и без скобок может быть прочитан как другой адрес или вообще не прочитан, поэтому отключите опцию порта на любом прокси, который пишет эту форму. |69| `trusted_proxies` | Нет | CIDR или IP-адреса балансировщиков нагрузки перед шлюзом. Если задан, шлюз доверяет `X-Forwarded-For` только от этих узлов и записывает реальный IP-адрес клиента для ограничения частоты запросов по IP и аудита. Эквивалент `set_real_ip_from` в nginx. Записи `X-Forwarded-For` в виде `ipv4:port` или `[ipv6]:port`, как их пишут некоторые балансировщики нагрузки, читаются без порта. IPv6-адрес с добавленным портом без квадратных скобок может быть прочитан как другой адрес или не прочитан вовсе, поэтому отключите опцию порта на любом прокси, который пишет адреса в такой форме. |

70 70 

71<h3 id="oidc">71<h3 id="oidc">

72 `oidc`72 `oidc`

73</h3>73</h3>

74 74 

75Блок `oidc` подключает gateway к вашему поставщику идентификации и решает, кто может входить. Он называет издателя и клиента OAuth, сопоставляет утверждения, которые несут электронную почту и группы, и ограничивает вход по домену электронной почты или группе.75Блок `oidc` подключает шлюз к вашему поставщику идентификации и определяет, кто может входить. В нём указываются издатель и OAuth-клиент, задаются claims, содержащие email и группы, и вход ограничивается по домену email или по группе.

76 76 

77OpenID Connect (OIDC) — это протокол SSO, который gateway использует с вашим поставщиком идентификации; см. [Настройка поставщика идентификации](/docs/ru/claude-apps-gateway-deploy#identity-provider-setup) для того, что нужно зарегистрировать на стороне IdP.77OpenID Connect (OIDC) — это протокол SSO, который шлюз использует для работы с вашим поставщиком идентификации; что нужно зарегистрировать на стороне IdP, см. в разделе [Настройка поставщика идентификации](/docs/ru/claude-apps-gateway-deploy#identity-provider-setup).

78 78 

79| Поле | Обязательно | Описание |79| Поле | Обязательно | Описание |

80| - | - | - |80| - | - | - |

81| `issuer` | Да | База обнаружения OIDC. Должна служить обнаружением в `/.well-known/openid-configuration`. Используйте HTTPS в production; gateway принимает издателя `http://`. Издатель loopback, такой как `http://localhost:8081`, отклоняется [защитой SSRF](/docs/ru/claude-apps-gateway-deploy#threat-model-summary), если в окружении gateway не установлено `CLAUDE_GATEWAY_ALLOW_LOOPBACK=1`. |81| `issuer` | Да | Базовый URL обнаружения OIDC. Документ обнаружения должен отдаваться по пути `/.well-known/openid-configuration`. В production используйте HTTPS; шлюз принимает издателя `http://`. Loopback-издатель, например `http://localhost:8081`, отклоняется [защитой от SSRF](/docs/ru/claude-apps-gateway-deploy#threat-model-summary), если в окружении шлюза не задано `CLAUDE_GATEWAY_ALLOW_LOOPBACK=1`. |

82| `client_id` | Да | Из регистрации клиента OAuth |82| `client_id` | Да | Из регистрации OAuth-клиента |

83| `client_secret` | Если `token_endpoint_auth_method` не равен `private_key_jwt` | Из регистрации клиента OAuth. Не указывайте его, когда используете [аутентификацию клиента по сертификату](#certificate-client-authentication). |83| `client_secret` | Если `token_endpoint_auth_method` не равен `private_key_jwt` | Из регистрации OAuth-клиента. Не указывайте его, если используете [аутентификацию клиента по сертификату](#certificate-client-authentication). |

84| `allowed_email_domains` | Нет | Отклоняйте id\_tokens, чьё утверждение `email` не находится в одном из этих доменов, без учёта регистра. Защита в глубину от неправильной конфигурации многотенантного IdP. Независимо от этого параметра, id\_token, чьё утверждение `email_verified` явно `false`, всегда отклоняется. |84| `allowed_email_domains` | Нет | Отклонять id\_token, claim `email` которых не относится ни к одному из этих доменов, без учёта регистра. Дополнительная защита от ошибок конфигурации мультитенантного IdP. Независимо от этой настройки id\_token, claim `email_verified` которого явно равен `false`, всегда отклоняется. |

85| `allowed_groups` | Нет | Ограничьте вход членами этих групп IdP, сопоставленными с `groups_claim`. Пользователь в разрешённом домене электронной почты, но ни в одной из этих групп, отклоняется. Требует, чтобы IdP выпускал утверждение groups. Сопоставление — это точное сравнение строк с учётом регистра против значений в этом утверждении, и gateway не расширяет вложенные группы: чтобы допустить членов подгруппы, перечислите подгруппу здесь или настройте IdP для выпуска уплощённого членства. |85| `allowed_groups` | Нет | Разрешить вход только участникам этих групп IdP, сопоставляемых с `groups_claim`. Пользователь из разрешённого домена email, не входящий ни в одну из этих групп, отклоняется. Требует, чтобы IdP выдавал claim групп. Сопоставление — это точное сравнение строк с учётом регистра со значениями в этом claim, и шлюз не раскрывает вложенные группы: чтобы допустить участников подгруппы, укажите подгруппу здесь или настройте IdP на выдачу развёрнутого членства. |

86| `groups_claim` | Нет | Какое утверждение id\_token несёт членство в группе. По умолчанию `groups`. Microsoft Entra выпускает роли приложения под `roles`. Принимает плоский ключ или RFC 6901 JSON Pointer, такой как `/resource_access/gateway/roles` для вложенных утверждений. |86| `groups_claim` | Нет | Какой claim id\_token содержит членство в группах. По умолчанию `groups`. Microsoft Entra выдаёт роли приложения в `roles`. Принимает простой ключ или RFC 6901 JSON Pointer, например `/resource_access/gateway/roles`, для вложенных claims. |

87| `google_groups` | Нет | Посмотрите группы вошедшего пользователя через Google Workspace Admin SDK Directory API, потому что id\_token Google не несёт утверждение groups. Установите `service_account_json_path` на файл ключа сервис-аккаунта с делегированием на уровне домена на область `https://www.googleapis.com/auth/admin.directory.group.readonly` и `admin_email` на администратора Workspace, который сервис-аккаунт олицетворяет; Directory API требует реального субъекта администратора. Адреса электронной почты групп каждого пользователя становятся их утверждением groups, поэтому `allowed_groups` и `managed.policies.match.groups` сопоставляются с адресами электронной почты групп. |87| `google_groups` | Нет | Получать группы вошедшего пользователя через Google Workspace Admin SDK Directory API, поскольку id\_token Google не содержит claim групп. Укажите в `service_account_json_path` файл ключа сервисного аккаунта с делегированием на уровне домена для scope `https://www.googleapis.com/auth/admin.directory.group.readonly`, а в `admin_email` — администратора Workspace, от имени которого действует сервисный аккаунт; Directory API требует реального субъекта-администратора. Email-адреса групп каждого пользователя становятся его claim групп, поэтому `allowed_groups` и `managed.policies.match.groups` сопоставляются с email-адресами групп. |

88| `email_claim` | Нет | Какое утверждение id\_token несёт электронную почту пользователя. По умолчанию `email`. Некоторые IdP, такие как ADFS и Entra B2C, выпускают `upn` или `preferred_username`. Принимает плоский ключ, JSON Pointer или список резервных ключей, где используется первый присутствующий ключ. |88| `email_claim` | Нет | Какой claim id\_token содержит email пользователя. По умолчанию `email`. Некоторые IdP, например ADFS и Entra B2C, вместо него выдают `upn` или `preferred_username`. Принимает простой ключ, JSON Pointer или список резервных ключей, из которых используется первый присутствующий. |

89| `scopes` | Нет | Полное переопределение областей OIDC, которые запрашивает gateway. По умолчанию `[openid, profile, email, offline_access]`. Установите, когда ваш IdP отклоняет области, которые он не распознаёт, или требует пользовательскую область для выпуска групп или электронной почты. Должна включать `openid`. Отказ от `offline_access` отключает токены обновления, поэтому разработчики повторно запускают вход в браузер каждые `session.ttl_hours`. См. [Настройка поставщика идентификации](/docs/ru/claude-apps-gateway-deploy#identity-provider-setup) для рецептов областей для каждого IdP, таких как поток токена обновления Google. |89| `scopes` | Нет | Полное переопределение scope OIDC, которые запрашивает шлюз. По умолчанию `[openid, profile, email, offline_access]`. Задайте, если ваш IdP отклоняет нераспознанные scope или требует пользовательский scope для выдачи групп или email. Должен включать `openid`. Без `offline_access` refresh-токены отключаются, и разработчикам приходится заново проходить вход в браузере каждые `session.ttl_hours`. Рецепты scope для отдельных IdP, например для потока refresh-токенов Google, см. в разделе [Настройка поставщика идентификации](/docs/ru/claude-apps-gateway-deploy#identity-provider-setup). |

90| `scope_on_refresh` | Нет | Также отправьте `scope` с тем же списком, что и запрос входа, когда gateway обменивает токен обновления. По умолчанию `false`: запрос обновления опускает `scope`. Большинство IdP возвращают id\_token при каждом обновлении и не нуждаются в этом. Установите `true`, когда ваш IdP возвращает id\_token при обновлении только если снова запрошен `openid`, что Okta документирует для своего гранта обновления. Без id\_token каждое обновление зависит от конечной точки userinfo IdP, принимающей обновлённый токен доступа. Если вы ограничиваете вход или сопоставляете политики на группы и id\_token вашего IdP во время обновления их опускает, также установите `userinfo_fallback: true`, чтобы gateway заполнил их из конечной точки userinfo. IdP, который предоставил меньше областей, чем запрошено, может отклонить обновление с `invalid_scope`, включая для существующих сеансов, если вы добавляете записи в `scopes` пока это включено. Отмените ключ, если обновления начнут не удаваться в `token_endpoint` после того, как вы его установите. Требует Claude Code v2.1.260 или позже на сервере gateway. |90| `scope_on_refresh` | Нет | Также отправлять `scope` с тем же списком, что и в запросе входа, когда шлюз обменивает refresh-токен. По умолчанию `false`: запрос обновления не содержит `scope`. Большинство IdP возвращают id\_token при каждом обновлении, и им это не нужно. Задайте `true`, если ваш IdP возвращает id\_token при обновлении, только когда снова запрошен `openid`, как Okta описывает для своего refresh grant. Без id\_token каждое обновление зависит от того, примет ли эндпоинт userinfo IdP обновлённый access-токен. Если вы ограничиваете вход или сопоставляете политики по группам, а id\_token вашего IdP при обновлении их не содержит, также задайте `userinfo_fallback: true`, чтобы шлюз получал их из эндпоинта userinfo. IdP, предоставивший меньше scope, чем запрошено, может отклонить обновление с `invalid_scope`, в том числе для существующих сессий, если при включённой настройке вы добавите записи в `scopes`. Удалите ключ, если после его установки обновления начнут завершаться ошибкой на `token_endpoint`. Требует Claude Code v2.1.260 или новее на сервере шлюза. |

91| `extra_auth_params` | Нет | Дополнительные параметры запроса, добавленные к запросу авторизации IdP, дословно. Это механизм переопределения для поведения, специфичного для IdP, такого как `access_type: offline` для токенов обновления Google, `domain_hint` для некоторых тенантов Entra или `acr_values` для потоков повышения уровня. Не может переопределять параметры протокола, управляемые gateway: `state`, `nonce`, `redirect_uri`, PKCE, `scope`, `response_type`, `response_mode` и `client_id`. |91| `extra_auth_params` | Нет | Дополнительные параметры запроса, дословно добавляемые к запросу авторизации IdP. Это механизм переопределения для поведения, специфичного для IdP, например `access_type: offline` для refresh-токенов Google, `domain_hint` для некоторых тенантов Entra или `acr_values` для потоков step-up. Не может переопределять параметры протокола, которыми управляет шлюз: `state`, `nonce`, `redirect_uri`, PKCE, `scope`, `response_type`, `response_mode` и `client_id`. |

92| `userinfo_fallback` | Нет | Когда id\_token опускает электронную почту или группы, получите их из `/userinfo`. Требуется для облегчённых токенов доступа Keycloak, сервера организации Okta и минимальных токенов ADFS. id\_token остаётся авторитетным; userinfo только заполняет пробелы. По умолчанию `false`. |92| `userinfo_fallback` | Нет | Если id\_token не содержит email или группы, получать их из `/userinfo`. Нужно для облегчённых access-токенов Keycloak, org server Okta и минимальных токенов ADFS. Приоритет остаётся за id\_token; userinfo только заполняет пробелы. По умолчанию `false`. |

93| `use_pkce` | Нет | Отправьте вызов PKCE (S256) на запрос авторизации. По умолчанию `true`. Установите `false` только, если ваш IdP отклоняет PKCE для этого конфиденциального клиента. |93| `use_pkce` | Нет | Отправлять вызов PKCE (S256) в запросе авторизации. По умолчанию `true`. Задавайте `false`, только если ваш IdP отклоняет PKCE для этого конфиденциального клиента. |

94| `clock_skew_seconds` | Нет | Допустите дрейф часов при проверке утверждений времени id\_token. По умолчанию `0`, что строго. Повысьте, если вы видите ошибки "token expired / not yet valid" сразу после входа из-за дрейфа часов хоста/IdP. |94| `clock_skew_seconds` | Нет | Допустимое расхождение часов при проверке временных claims id\_token. По умолчанию `0`, то есть строгая проверка. Увеличьте, если сразу после входа видите ошибки "token expired / not yet valid" из-за расхождения часов хоста и IdP. |

95| `token_endpoint_auth_method` | Нет | Как gateway аутентифицируется на эндпоинте токенов IdP: `client_secret_basic`, `client_secret_post` или `private_key_jwt` для [аутентификации клиента по сертификату](#certificate-client-authentication). По умолчанию gateway выбирает один из двух методов `client_secret` на основе того, что объявляет IdP. |95| `token_endpoint_auth_method` | Нет | Как шлюз аутентифицируется на эндпоинте токенов IdP: `client_secret_basic`, `client_secret_post` или `private_key_jwt` для [аутентификации клиента по сертификату](#certificate-client-authentication). По умолчанию шлюз выбирает один из двух методов `client_secret` на основе того, что объявляет IdP. |

96| `client_assertion` | С `private_key_jwt` | Блок с `private_key_pem` и `certificate_pem`: закрытый ключ и сертификат для [аутентификации клиента по сертификату](#certificate-client-authentication). Требует v2.1.284 или позже. |96| `client_assertion` | С `private_key_jwt` | Блок с `private_key_pem` и `certificate_pem`: закрытый ключ и сертификат для [аутентификации клиента по сертификату](#certificate-client-authentication). Требует v2.1.284 или новее. |

97| `id_token_signed_response_alg` | Нет | Ожидаемый алгоритм подписи id\_token. По умолчанию `RS256`. Установите для IdP, которые подписывают с помощью ES256, PS256 или EdDSA. |97| `id_token_signed_response_alg` | Нет | Ожидаемый алгоритм подписи id\_token. По умолчанию `RS256`. Задайте для IdP, которые подписывают с помощью ES256, PS256 или EdDSA. |

98| `additional_authorized_parties` | Нет | Дополнительные значения `azp` для принятия помимо `client_id`, для потоков брокера Keycloak и обмена токенами |98| `additional_authorized_parties` | Нет | Дополнительные допустимые значения `azp` помимо `client_id`, для потоков брокера и обмена токенами Keycloak |

99| `discovery_url` | Нет | Получите документ обнаружения из этого URL вместо его получения из `issuer`, для IdP за прокси, который переписывает хост издателя. Путь должен содержать `/.well-known/`. |99| `discovery_url` | Нет | Получать документ обнаружения по этому URL вместо выведения его из `issuer`, для IdP за прокси, который переписывает хост издателя. Путь должен содержать `/.well-known/`. |

100| `use_proxy` | Нет | Отправьте собственные запросы gateway к IdP через прямой прокси в `HTTPS_PROXY` или `HTTP_PROXY`, соблюдая `NO_PROXY`. `false` держит эти запросы прямыми. Требует v2.1.227 или позже; см. [Запросы IdP через прямой прокси](#idp-requests-through-a-forward-proxy) ниже. |100| `use_proxy` | Нет | Отправлять собственные запросы шлюза к IdP через прямой прокси из `HTTPS_PROXY` или `HTTP_PROXY` с учётом `NO_PROXY`. Значение `false` оставляет эти запросы прямыми. Требует v2.1.227 или новее; см. [Запросы к IdP через прямой прокси](#idp-requests-through-a-forward-proxy) ниже. |

101| `form_action_origins` | Нет | Дополнительные происхождения для директивы `Content-Security-Policy: form-action` страницы `/device`. Gateway уже разрешает `'self'` и обнаруженное происхождение `authorization_endpoint`, но Chrome применяет `form-action` ко всей цепочке перенаправления. Если ваш IdP перенаправляет через второй хост, такой как Azure AD, объединённый с ADFS, hub-spoke Okta или корпоративный перехватчик SSO, перечислите каждое происхождение, через которое может перенаправляться запрос авторизации. |101| `form_action_origins` | Нет | Дополнительные origin для директивы `Content-Security-Policy: form-action` страницы `/device`. Шлюз уже разрешает `'self'` и origin обнаруженного `authorization_endpoint`, но Chrome применяет `form-action` ко всей цепочке перенаправлений. Если ваш IdP перенаправляет через второй хост, например Azure AD с федерацией в ADFS, Okta по схеме hub-spoke или корпоративный перехватчик SSO, перечислите все origin, через которые может перенаправляться запрос авторизации. |

102| `ca_cert_pem` | Нет | PEM-кодированный сертификат CA, а не путь к файлу. Он заменяет хранилище доверия системы только для запросов IdP. Для загрузки смонтированного файла напишите `${file:/etc/gateway/idp-ca.pem}`. Используйте для Keycloak или Dex за корпоративной PKI. |102| `ca_cert_pem` | Нет | Сам сертификат CA в кодировке PEM, а не путь к файлу. Заменяет системное хранилище доверенных сертификатов только для запросов к IdP. Чтобы загрузить смонтированный файл, напишите `${file:/etc/gateway/idp-ca.pem}`. Используйте для Keycloak или Dex за корпоративной PKI. |

103 103 

104<h4 id="certificate-client-authentication">104<h4 id="certificate-client-authentication">

105 Аутентификация клиента по сертификату105 Аутентификация клиента по сертификату

106</h4>106</h4>

107 107 

108Если ваш поставщик идентификации аутентифицирует клиентов OAuth по сертификату вместо секрета клиента, как это делает Microsoft Entra с учётными данными-сертификатами, установите `token_endpoint_auth_method: private_key_jwt`. Требует Claude Code v2.1.284 или позже на сервере gateway.108Если ваш поставщик идентификации аутентифицирует OAuth-клиентов по сертификату вместо секрета клиента, как это делает Microsoft Entra с учётными данными-сертификатами, задайте `token_endpoint_auth_method: private_key_jwt`. Требует Claude Code v2.1.284 или новее на сервере шлюза.

109 109 

110В этой конфигурации gateway не отправляет секрет. Он аутентифицируется на эндпоинте токенов IdP с помощью короткоживущего JWT, подписанного закрытым ключом сертификата, когда разработчик входит в систему и каждый раз, когда gateway обновляет его сессию. JWT подписывается с помощью RS256 и идентифицирует сертификат заголовками отпечатков `x5t` и `x5t#S256`, а не `kid`. Ваш IdP должен уметь находить зарегистрированный сертификат по отпечатку.110В этой конфигурации шлюз не отправляет секрет. Он аутентифицируется на эндпоинте токенов IdP с помощью короткоживущего JWT, подписанного закрытым ключом сертификата, когда разработчик входит в систему и каждый раз, когда шлюз обновляет его сессию. JWT подписывается алгоритмом RS256 и идентифицирует сертификат заголовками отпечатков `x5t` и `x5t#S256`, а не `kid`. Ваш IdP должен уметь находить зарегистрированный сертификат по отпечатку.

111 111 

112<Steps>112<Steps>

113 <Step title="Создайте ключ и сертификат">113 <Step title="Создайте ключ и сертификат">

114 Создайте незашифрованный закрытый ключ RSA длиной не менее 2048 бит в форме PEM PKCS#8 или PKCS#1 и сертификат для него. Gateway отказывается запускаться с любым ключом, который не соответствует этим условиям. Эта команда `openssl` создаёт такой ключ с самоподписанным сертификатом, действительным в течение одного года:114 Создайте незашифрованный закрытый ключ RSA длиной не менее 2048 бит в формате PEM PKCS#8 или PKCS#1 и сертификат для него. Шлюз отказывается запускаться с ключом, который не соответствует этим условиям. Эта команда `openssl` создаёт такой ключ с самоподписанным сертификатом, действительным в течение одного года:

115 115 

116 ```bash theme={null}116 ```bash theme={null}

117 openssl req -x509 -newkey rsa:2048 -nodes -keyout idp-client.key -out idp-client.crt -days 365 -subj "/CN=claude-gateway"117 openssl req -x509 -newkey rsa:2048 -nodes -keyout idp-client.key -out idp-client.crt -days 365 -subj "/CN=claude-gateway"

118 ```118 ```

119 119 

120 Она записывает `idp-client.key` и `idp-client.crt` в текущий каталог. Скопируйте или смонтируйте оба файла туда, где gateway может их прочитать. Пример в шаге 3 использует `/etc/gateway/`.120 Она записывает `idp-client.key` и `idp-client.crt` в текущий каталог. Скопируйте или смонтируйте оба файла туда, где шлюз сможет их прочитать. В примере на шаге 3 используется `/etc/gateway/`.

121 </Step>121 </Step>

122 122 

123 <Step title="Загрузите сертификат в IdP">123 <Step title="Загрузите сертификат в IdP">

124 Загрузите сертификат, а не закрытый ключ, в регистрацию приложения gateway в IdP.124 Загрузите сертификат, а не закрытый ключ, в регистрацию приложения шлюза в IdP.

125 </Step>125 </Step>

126 126 

127 <Step title="Добавьте ключ и сертификат в gateway.yaml">127 <Step title="Добавьте ключ и сертификат в gateway.yaml">

128 Передайте gateway закрытый ключ и сертификат в блоке `client_assertion`. Не указывайте `client_secret`, потому что gateway отказывается запускаться, когда он установлен вместе с `private_key_jwt`. Этот блок `oidc` аутентифицирует gateway в тенанте Microsoft Entra с помощью сертификата:128 Передайте шлюзу закрытый ключ и сертификат в блоке `client_assertion`. Не указывайте `client_secret`, потому что шлюз отказывается запускаться, если он задан вместе с `private_key_jwt`. Этот блок `oidc` аутентифицирует шлюз в тенанте Microsoft Entra с помощью сертификата:

129 129 

130 ```yaml theme={null}130 ```yaml theme={null}

131 oidc:131 oidc:

137 certificate_pem: ${file:/etc/gateway/idp-client.crt}137 certificate_pem: ${file:/etc/gateway/idp-client.crt}

138 ```138 ```

139 139 

140 Оба значения — это содержимое PEM, а не пути к файлам, поэтому загружайте смонтированные файлы с помощью `${file:/path}`, как в примере. Gateway отказывается запускаться, если `certificate_pem` не является одним PEM-сертификатом без остальной части цепочки, чей открытый ключ соответствует `private_key_pem`.140 Оба значения — это содержимое PEM, а не пути к файлам, поэтому загружайте смонтированные файлы с помощью `${file:/path}`, как в примере. Шлюз отказывается запускаться, если `certificate_pem` не является одним PEM-сертификатом без остальной цепочки, открытый ключ которого соответствует `private_key_pem`.

141 </Step>141 </Step>

142 142 

143 <Step title="Перезапустите gateway и проверьте лог загрузки">143 <Step title="Перезапустите шлюз и проверьте лог загрузки">

144 Перезапустите gateway и найдите эту строку в логе загрузки:144 Перезапустите шлюз и найдите эту строку в логе загрузки:

145 145 

146 ```text theme={null}146 ```text theme={null}

147 [gateway] 2026-10-01T23:07:40.512Z info oidc: client authentication private_key_jwt; certificate CN=claude-gateway, SHA-1 thumbprint DE92821854EE8BAA1D98C758FAA04AABE80B9F57, expires Oct 1 23:07:31 2027 GMT147 [gateway] 2026-10-01T23:07:40.512Z info oidc: client authentication private_key_jwt; certificate CN=claude-gateway, SHA-1 thumbprint DE92821854EE8BAA1D98C758FAA04AABE80B9F57, expires Oct 1 23:07:31 2027 GMT

148 ```148 ```

149 149 

150 Сравните отпечаток SHA-1 с тем, который IdP показывает для загруженного вами сертификата. Если срок действия сертификата истёк или он ещё не действителен, gateway всё равно запускается, но записывает в лог предупреждение о том, что входы и обновления будут завершаться ошибкой, пока вы его не замените. Чтобы убедиться, что IdP принимает сертификат, попросите одного разработчика войти через gateway.150 Сравните отпечаток SHA-1 с тем, который IdP показывает для загруженного вами сертификата. Если срок действия сертификата истёк или он ещё не действителен, шлюз всё равно запускается, но записывает в лог предупреждение о том, что входы и обновления будут завершаться ошибкой, пока вы его не замените. Чтобы убедиться, что IdP принимает сертификат, попросите одного разработчика войти через шлюз.

151 </Step>151 </Step>

152</Steps>152</Steps>

153 153 

155 Ротация сертификата клиента155 Ротация сертификата клиента

156</h4>156</h4>

157 157 

158Gateway читает ключ и сертификат один раз при загрузке, поэтому изменённый файл вступает в силу только после перезапуска. Выполняйте ротацию в таком порядке, чтобы ни один запрос токена не предъявлял сертификат, которого нет у IdP:158Шлюз читает ключ и сертификат один раз при загрузке, поэтому изменённый файл вступает в силу только после перезапуска. Выполняйте ротацию в таком порядке, чтобы ни один запрос токена не предъявлял сертификат, которого нет у IdP:

159 159 

1601. Загрузите новый сертификат в IdP рядом со старым.1601. Загрузите новый сертификат в IdP в дополнение к старому.

1612. Замените файлы ключа и сертификата, которые загружает `gateway.yaml`, затем перезапустите gateway.1612. Замените файлы ключа и сертификата, которые загружает `gateway.yaml`, затем перезапустите шлюз.

1623. Удалите старый сертификат из IdP.1623. Удалите старый сертификат из IdP.

163 163 

164<h4 id="idp-requests-through-a-forward-proxy">164<h4 id="idp-requests-through-a-forward-proxy">

165 Запросы IdP через прямой прокси165 Запросы к IdP через прямой прокси

166</h4>166</h4>

167 167 

168Upstream вывода соблюдают `HTTPS_PROXY` и `HTTP_PROXY` на каждой версии. Собственные запросы gateway к IdP, обнаружению, JWKS, токену и userinfo идут напрямую, если вы не установите `oidc.use_proxy: true`, что требует v2.1.227 или позже. Когда переменная прокси установлена, `use_proxy` не установлена и издатель не охватывается `NO_PROXY`, gateway держит эти запросы прямыми и логирует уведомление при загрузке, прося вас выбрать; `use_proxy: false` держит их прямыми и молчит уведомление.168Upstream для инференса учитывают `HTTPS_PROXY` и `HTTP_PROXY` во всех версиях. Собственные запросы шлюза к IdP — обнаружение, JWKS, токены и userinfo — идут напрямую, если вы не зададите `oidc.use_proxy: true`, что требует v2.1.227 или новее. Если задана переменная прокси, `use_proxy` не задан, а издатель не входит в `NO_PROXY`, шлюз оставляет эти запросы прямыми и при загрузке записывает в лог уведомление с просьбой сделать выбор; `use_proxy: false` оставляет их прямыми и отключает уведомление.

169 169 

170С `use_proxy: true`, pod разрешает имя хоста каждой конечной точки IdP сам и просит прокси `CONNECT` к разрешённому IP адресу, поэтому прокси должен принять `CONNECT` к IP адресу каждого хоста, который называет документ обнаружения, не только издателя. Используйте URL прокси `http://`. `ca_cert_pem` и [защита SSRF](/docs/ru/claude-apps-gateway-deploy#threat-model-summary) применяются на проксированном пути также.170С `use_proxy: true` под сам разрешает имя хоста каждого эндпоинта IdP и просит прокси выполнить `CONNECT` к полученному IP-адресу, поэтому прокси должен разрешать `CONNECT` к IP-адресу каждого хоста, указанного в документе обнаружения, а не только издателя. Используйте URL прокси `http://`. `ca_cert_pem` и [защита от SSRF](/docs/ru/claude-apps-gateway-deploy#threat-model-summary) действуют и на пути через прокси.

171 171 

172[Прокси-только egress](#proxy-only-egress) изменяет оба из них: пока он активен, запросы IdP следуют прокси, если вы не установите `use_proxy: false`, и gateway передаёт прокси каждое имя хоста IdP без разрешения его в первую очередь.172[Исходящий трафик только через прокси](#proxy-only-egress) меняет оба этих момента: пока он активен, запросы к IdP идут через прокси, если вы не зададите `use_proxy: false`, а шлюз передаёт прокси каждое имя хоста IdP, не разрешая его предварительно.

173 173 

174<h4 id="proxy-only-egress">174<h4 id="proxy-only-egress">

175 Прокси-только egress175 Исходящий трафик только через прокси

176</h4>176</h4>

177 177 

178Установите `CLAUDE_GATEWAY_PROXY_IS_EGRESS_BOUNDARY=1` в окружении gateway, рядом с `HTTPS_PROXY`, когда pod достигает других хостов только через этот прямой прокси и не может разрешить имена общедоступных DNS сам, или когда прокси отказывает `CONNECT` к IP адресу. Требует v2.1.277 или позже. Это переменная окружения, а не ключ `gateway.yaml`, поэтому ничто в файле конфигурации не может ослабить проверку адреса gateway.178Задайте `CLAUDE_GATEWAY_PROXY_IS_EGRESS_BOUNDARY=1` в окружении шлюза рядом с `HTTPS_PROXY`, если под обращается к другим хостам только через этот прямой прокси и не может сам разрешать публичные DNS-имена, или если прокси отклоняет `CONNECT` к IP-адресу. Требует v2.1.277 или новее. Это переменная окружения, а не ключ `gateway.yaml`, чтобы ничто в файле конфигурации не могло ослабить проверку адресов шлюзом.

179 179 

180```bash theme={null}180```bash theme={null}

181export HTTPS_PROXY=http://proxy.corp.example.com:3128181export HTTPS_PROXY=http://proxy.corp.example.com:3128

184export CLAUDE_GATEWAY_PROXY_IS_EGRESS_BOUNDARY=1184export CLAUDE_GATEWAY_PROXY_IS_EGRESS_BOUNDARY=1

185```185```

186 186 

187Gateway логирует одну строку `network:` при загрузке пока прокси-только egress активен.187Пока исходящий трафик только через прокси активен, шлюз при загрузке записывает в лог одну строку `network:`.

188 188 

189Каждая строка ниже — это один класс исходящего запроса на gateway с установленным `HTTPS_PROXY`, по умолчанию и пока прокси-только egress активен.189Каждая строка ниже — это один класс исходящих запросов шлюза с заданным `HTTPS_PROXY`: по умолчанию и при активном исходящем трафике только через прокси.

190 190 

191| Исходящий запрос | По умолчанию | Прокси-только egress активен |191| Исходящий запрос | По умолчанию | Исходящий трафик только через прокси активен |

192| - | - | - |192| - | - | - |

193| `provider: anthropic` upstream, обмен токенов Workload Identity Federation, экспорты `telemetry.forward_to` | Разрешены и проверены локально, затем `CONNECT` к проверенному IP адресу через прокси. Сборщик телеметрии, указанный в `NO_PROXY`, достигается напрямую вместо этого | Имя хоста передано прокси |193| Upstream `provider: anthropic`, обмен токенов Workload Identity Federation, экспорт `telemetry.forward_to` | Разрешается и проверяется локально, затем `CONNECT` к проверенному IP-адресу через прокси. К сборщику телеметрии, указанному в `NO_PROXY`, шлюз обращается напрямую | Имя хоста передаётся прокси |

194| Обнаружение IdP, JWKS, токен и userinfo | Прямо, если не [`oidc.use_proxy: true`](#idp-requests-through-a-forward-proxy), затем `CONNECT` к проверенному IP адресу | Имя хоста передано прокси, если не `oidc.use_proxy: false` держит внутренний IdP прямым |194| Обнаружение IdP, JWKS, токены и userinfo | Напрямую, если не задано [`oidc.use_proxy: true`](#idp-requests-through-a-forward-proxy); в этом случае `CONNECT` к проверенному IP-адресу | Имя хоста передаётся прокси, если только `oidc.use_proxy: false` не оставляет внутренний IdP прямым |

195| Amazon Bedrock, Claude Platform on AWS, Agent Platform Google Cloud и Microsoft Foundry upstream; поиск групп Google | Имя хоста передано прокси | Без изменений |195| Upstream Amazon Bedrock, Claude Platform on AWS, Google Cloud's Agent Platform и Microsoft Foundry; поиск групп Google | Имя хоста передаётся прокси | Без изменений |

196 196 

197Прокси-только egress остаётся выключенным, если окружение gateway не соответствует всем трём из этих условий:197Исходящий трафик только через прокси остаётся выключенным, если окружение шлюза не удовлетворяет всем трём условиям:

198 198 

199* `HTTPS_PROXY` или `HTTP_PROXY` установлены.199* Задан `HTTPS_PROXY` или `HTTP_PROXY`.

200* `NO_PROXY` и `no_proxy` пусты. Если ваша платформа вводит любой из них в pods, установите оба на пустое значение на контейнере gateway. Указание сборщика телеметрии в `NO_PROXY` держит прокси-только egress выключенным.200* `NO_PROXY` и `no_proxy` пусты. Если ваша платформа внедряет любую из них в поды, задайте обеим пустое значение в контейнере шлюза. Если указать сборщик телеметрии в `NO_PROXY`, исходящий трафик только через прокси останется выключенным.

201* `CLAUDE_GATEWAY_ALLOW_LOOPBACK` не включен. Сборщик или IdP на собственном loopback пода не может быть объединён с прокси-только egress, потому что адрес loopback, переданный прокси, будет собственным хостом прокси, поэтому дайте этим сервисам адрес, который прокси может достичь вместо этого. По той же причине gateway отказывает имена в стиле `localhost` полностью пока прокси-только egress активен.201* `CLAUDE_GATEWAY_ALLOW_LOOPBACK` не включена. Сборщик или IdP на собственном loopback пода нельзя сочетать с исходящим трафиком только через прокси, потому что loopback-адрес, переданный прокси, указывал бы на сам хост прокси, поэтому дайте этим сервисам адрес, доступный для прокси. По той же причине, пока исходящий трафик только через прокси активен, шлюз полностью отклоняет имена вида `localhost`.