Claude Code 如何组合托管源

当您的组织向同一台机器交付多个托管源时，managedSourcesBehavior 键决定 Claude Code 对其他源的处理方式：

• "first-wins"，默认值：Claude Code 使用提供至少一个策略键的最高排名源，并忽略其余源，而不是合并它们，除了 从每个管理员源读取的键 中的键。Claude Code 不会对跳过的源显示警告；/status 命名它使用的源和跳过的源。
• "merge"：Claude Code 应用每个提供策略键的管理员源，并按键的类型组合它们：在大多数键上，较高排名源的值适用，列表合并，锁采用最严格的值。组合每个托管源 说明在哪里设置键以及每种键的组合方式。需要 Claude Code v2.1.242 或更高版本。

两种设置以相同的方式对源进行排名。这些术语在本节中重复出现：

• 策略键：除了两个控制键 wslInheritsWindowsSettings 和 managedSourcesBehavior 之外的任何设置键。仅包含这些键的托管设置文件或 MDM 策略不计数，Claude Code 会移至下一个源。
• 管理员源：下面前三个源之一。HKCU 注册表是用户可写的，不是管理员源。

Claude Code 按此顺序检查源，优先级最高的优先：

1. 远程设置，从 claude.ai 作为 服务器管理的设置 或通过 Claude 应用网关 交付。Claude Code 仅在会话使用 符合条件的登录或密钥 直接向 Anthropic 的 API 进行身份验证，或使用 /login 登录网关时才获取此源。在其他提供商上，或当 ANTHROPIC_BASE_URL 指向 Anthropic 的 API 以外的地方时，它从下一个源开始
2. MDM 或操作系统级策略：macOS plist 或 HKLM 注册表键
3. 托管设置文件，managed-settings.d/*.json 和 managed-settings.json 合并在一起
4. HKCU 注册表，在 Windows 上，以及在 WSL 上一旦 HKLM 注册表或 Windows 托管设置文件打开 wslInheritsWindowsSettings 并且 HKCU 值也设置它时。Claude Code 仅在上面没有源提供策略键且没有 主机提供的父设置 提供限制性键时才读取它

此图显示排名，以及 Claude Code 在任一设置下从前三个源读取的跨源键的示例：

从每个管理员源读取的键

在默认的 "first-wins" 设置下，Claude Code 仅从 它选择的源 读取大多数键，即使选定的源未设置该键，也会忽略较低排名源中的值。

少数键的工作方式不同。Claude Code 从每个管理员源读取它们，因此当选定的源不设置时，较低排名的 MDM 策略或托管设置文件仍然可以设置它们。Claude Code 将用户可写的 HKCU 注册表排除在该扫描之外；当 HKCU 是唯一的源且没有主机提供父设置时，HKCU 的应用方式与任何选定的源相同。

跨源键包括：

• sandbox.network.allowManagedDomainsOnly 和 sandbox.filesystem.allowManagedReadPathsOnly：任何管理员源中的 true 都会打开锁。当锁打开时，Claude Code 会合并它锁定的允许列表，sandbox.network.allowedDomains 与 WebFetch(domain:...) 允许规则，或 sandbox.filesystem.allowRead，跨每个管理员源。没有锁时，Claude Code 将允许列表视为任何其他键，因此在 "first-wins" 下，未选定的管理员源的允许列表被忽略

• allowAllClaudeAiMcps

• allowManagedMcpServersOnly：任何管理员源中的 true 都会打开 MCP 允许列表锁。当锁打开时，托管的 allowedMcpServers 列表来自设置一个的最高排名管理员源。服务器管理的列表替换较低源的列表，而不是与其组合。

  如果没有管理员源设置列表，每个通过拒绝列表的服务器都会加载，除非 父设置 提供列表。

  没有锁时，Claude Code 从它应用的托管源读取 allowedMcpServers，因此在 "first-wins" 下，未选定的管理员源的列表被忽略。需要 Claude Code v2.1.273 或更高版本

• deniedMcpServers 和 disableClaudeAiConnectors：任何管理员源中的条目或 true 都会应用。需要 Claude Code v2.1.273 或更高版本

• 沙箱二进制路径 sandbox.bwrapPath 和 sandbox.socatPath

• 沙箱 ripgrep 二进制文件，sandbox.ripgrep

• sandbox.filesystem.disabled 和 sandbox.network.strictAllowlist

• useAutoModeDuringPlan、syncClaudeAiSkills 和 syncClaudeAiPlugins，其中任何管理员源的 false 都会关闭该行为。开发人员的用户或本地设置中的 false 也会关闭它；每个键只能拒绝

• enableArtifact，其中任何管理员源的 false 都会关闭 Artifact 工具。开发人员的用户、项目或本地设置中的 false 也会关闭它，没有源会将其打开；请参阅 哪些较低级别的值仍然计数。需要 Claude Code v2.1.242 或更高版本

• maxEffortLevel，其中任何管理员源中的最低上限适用。如果开发人员在自己的设置或使用 --settings 中设置了较低的上限，Claude Code 会应用该上限；没有源可以提高上限。需要 Claude Code v2.1.267 或更高版本

• attribution 中的提交预告片选择退出，或在已弃用的 includeCoAuthoredBy 中，来自任何层级

• forceRemoteSettingsRefresh

• env，跨管理员源按变量合并：每个变量来自定义它的最高优先级源，因此较低源填充较高源未设置的变量。少数变量遵循自己的规则；跨托管源的每个键异常 命名每一个。需要 Claude Code v2.1.223 或更高版本。在 v2.1.223 之前，Claude Code 仅应用选定源的整个 env 块

网关登录键 遵循单独的规则。Claude Code 从不从服务器管理的设置读取它们，因此当服务器管理的设置是选定的源时，机器上排名最高的具有策略键的管理员源仍然提供它们。排名低于该源的管理员源中的值，或 HKCU 注册表中的值，被忽略。

当管理员源设置 allowManagedMcpServersOnly 或 allowedMcpServers 列表且该值不是生效的值时，/status 和 claude doctor 命名该源和键。

组合每个托管源

要让 Claude Code 应用您的组织交付的每个管理员源，请在您部署的最高排名源中将 managedSourcesBehavior 设置为 "merge"。Claude Code 仅从具有该键或策略键的最高排名源读取该键，因此较低源无法选择自己与上面的源合并，从不接收服务器管理设置的机器也需要在其 MDM 配置文件中有该键。用户可写的 HKCU 注册表永远不会与另一个源合并。需要 Claude Code v2.1.242 或更高版本。

在 "merge" 下，Claude Code 添加较低源的列表条目，如 permissions.allow 规则和 hooks，到策略中，因此仅当排名低于最高源的每个源都在管理员的控制下时才打开它。

此表显示 Claude Code 在 "merge" 下如何组合每种键。managedSourcesBehavior 条目 命名三行中的每个键：限制允许列表、整体取值和仅从最高排名源读取的键。

要确认机器上组合了哪些源，请 读取 /status 中的 Setting sources 行；该部分说明每个标签的含义。

使用辅助程序计算策略

policyHelper 是您的 MDM 策略或托管设置文件命名的可执行文件，Claude Code 在启动时运行它来计算托管设置。当选定的源配置一个并且辅助程序发出 managedSettings 对象时，该输出改变 Claude Code 读取的内容：

• 发出的 managedSettings 对象是会话的唯一托管设置，包括对于 它否则从每个管理员源读取的键，除了 forceRemoteSettingsRefresh，它有自己的启动规则

对于哪些辅助程序运行失败，以及当一个失败时 Claude Code 做什么，请参阅 辅助程序失败。

{
  "allowManagedPermissionRulesOnly": true,
  "permissions": {
    "allow": [
      "Edit(~/CoworkProjects/**)"
    ]
  }
}

{
  "env": {
    "DISABLE_TELEMETRY": "1"
  }
}