Claude Code の管理者設定(managed settings)を全社に配る方法

公開: 2026年10月17日 ・ 中小DXラボ ・ 内容は執筆時点(2026年10月)の公式ドキュメントなどの出典にもとづきます(各節の末尾に出典を記載)

何ができるか:管理者設定と4つの配布方法

Claude Code(Anthropic 社が提供する、ターミナルで動く AI コーディングエージェント)には、管理者が端末にポリシーを配る managed settings(管理者設定)があります。公式ドキュメントによると、どの配布方法でも settings.json と同じポリシーのキーを使えます。本記事は執筆時点(2026年10月)の公式ドキュメントだけを根拠にしています。導入前に最新の内容を公式ドキュメントで確認してください。

配布方法は次の四つです。

• サーバー管理:claude.ai の管理コンソール、または自社運用の Claude apps gateway で配ります。起動時に取得し、1時間ごとに確認します。各端末に触れず一か所で変更したい場合向けです。
• MDM または OS レベルのポリシー:macOS の構成プロファイルや Windows の HKLM レジストリ値を、Jamf、Intune、グループポリシーなどで配ります。起動時に読み、30分ごとに変更を確認します。
• ファイル:各端末のシステムディレクトリに managed-settings.json を置きます。起動時に読み、ファイルが変わると再読み込みします。MDM のない端末、Linux、自作イメージ向けです。
• HKCU レジストリ(Windows と WSL):HKLM に書き込めない場合の選択肢です。上位に管理者ドキュメントがないなど、条件が合うときだけ使われます。

MDM プロファイル、ファイル、claude.ai の管理コンソールは、届いた全員に同じポリシーを適用します。グループごとに変えたい場合は、そのグループに別のファイルやプロファイルを配ります。claude.ai の管理コンソールはまだグループを指定できません。自社運用の Claude apps gateway は IdP グループごとに配れます。

複数の方式が同じ端末に届くと、既定では一つだけが使われ、残りは無視されます。優先順位は公式ドキュメントで確認してください。

出典: Deploy managed settings

ファイルで配る手順

公式ドキュメントによると、各端末にポリシーを置く最も手早い方法が managed-settings.json です。手順は三つです。

1. ファイルを書く

強制したいキーを、settings.json と同じ JSON の形で書きます。次の例は、二つのファイルの読み取りを拒否し、bypass モードを無効にします。さらに、ユーザー、プロジェクト、ローカルの各ファイルと --allowedTools の権限ルールを Claude Code に無視させます。

{
  "permissions": {
    "deny": [
      "Read(./.env)",
      "Read(./secrets/**)"
    ],
    "disableBypassPermissionsMode": "disable"
  },
  "allowManagedPermissionRulesOnly": true
}

2. 各端末に置く

OS ごとのシステムディレクトリに、managed-settings.json の名前で保存します。配置には、すでに使っているファイル配布の仕組みを使えます。

• macOS:/Library/Application Support/ClaudeCode/managed-settings.json
• Linux と WSL:/etc/claude-code/managed-settings.json
• Windows:C:\Program Files\ClaudeCode\managed-settings.json

3. 適用を確認する

まず1台で、Claude Code 内で /status を実行します。Setting sources の行に Enterprise managed settings (file) と表示されます。確認できてから、残りの端末に展開します。

出典: Deploy managed settings

チームごとにファイルを分ける

複数のチームがポリシーの一部ずつを持つ場合は、共有ファイルを編集する代わりに、managed-settings.json と同じディレクトリの managed-settings.d/ に部分ごとのファイルを置けます。Claude Code は managed-settings.json を先に、次に *.json を英数字順に統合します。10-telemetry.json と 20-security.json のように数字の接頭辞で順序を決められます。

同じキーが複数のファイルにある場合の扱いは次のとおりです。

• 単一の値:後のファイルの値が前の値を置き換えます。
• リスト(permissions.deny など):二つのリストが、重複を除いて結合されます。
• 入れ子のブロック(env や sandbox):キーごとに統合され、中のキーも同じ規則に従います。
• fallbackModel と modelPicker:後のものが全体を置き換えます。

出典: Deploy managed settings

反映の確認と、うまくいかないとき

公式ドキュメントでは、端末で /status を実行して Setting sources の行を読むこと、claude doctor で破棄された項目を見ることを案内しています。Enterprise managed settings の後ろの括弧で、選ばれたソースが分かります。

• (remote):claude.ai またはゲートウェイのサーバー管理設定
• (plist) または (HKLM):MDM または OS のポリシー
• (file)、(drop-ins)、(file + drop-ins):ファイル、ドロップインのディレクトリ、またはその両方

行が出ない場合は、ポリシーを配るキーを持つ管理ソースが見つかっていません。ファイルが OS ごとの場所にあるか、制御キーだけでなくポリシーのキーを含んでいるかを確認します。別のソース名が出る場合は、優先順位の高いソースが使われています。Skipped sources の行に名前が出ます(Claude Code v2.1.242 以降が必要です)。

管理設定ファイルが有効な JSON でない場合、Claude Code は起動を拒否します。他の管理ソースが正しいポリシーを配っていても同じです。展開前に JSON の構文を確認してください。

出典: Deploy managed settings

配る前に知っておく注意点

• クラウドセッション:Anthropic が運用する環境のセッションは、端末の MDM プロファイルやファイルを読みません。そのポリシーはサーバー管理から届ける必要があります。
• Cowork:Claude Desktop の Cowork のセッションは、Team や Enterprise アカウントでサインインしていても、claude.ai の管理コンソールからサーバー管理設定を取得しません。端末上で動く場合は、その端末の MDM とファイルが読まれます。
• 長く開いたままのセッション:requiredMinimumVersion は古いバイナリの起動を止めますが、すでに動いているセッションは終了させません。
• 無効な値:管理設定の値が検証に失敗すると、直せる項目は除かれて警告され、直せない値は破棄されます。ただし allowManagedPermissionRulesOnly のような制限的なキーは、読めないとその制限の値として扱われます(Claude Code v2.1.282 以降が必要です)。
• 管理者専用キー:strictKnownMarketplaces など一部のキーは管理ソースからだけ読まれ、ユーザー設定に書いても効果がありません。
• 旧パス:Windows の C:\ProgramData\ClaudeCode\managed-settings.json は読まれません。

出典: Deploy managed settings

参考(執筆時点)

• Deploy managed settings(公式ドキュメント)

この記事は、上の出典の内容を中小DXラボが要約・再構成したものです。仕様は変わることがあります。社内で使う・配る前に、公式ドキュメントで最新の情報を確認してください。