managed settings (マネージド設定)

配布には server-managed settings、MDM または OS レベルのポリシー、ファイル、Windows の HKCU レジストリの 4 つの方法があり、どれも settings.json と同じポリシーキーを扱います。一部のキーは管理側のソースからだけ読み込まれ、ユーザーやプロジェクトの設定ファイルに書いても効果はありません。対象は Claude Code だけで、開発者が別のツールから API を呼び出す場合は managed settings の対象外です。

managed settings は、server-managed settings、MDM または OS レベルのポリシー、ファイル、Windows の HKCU レジストリの 4 つの方法で届けられます。同じマシンに複数の方法でポリシーが届いた場合、Claude Code は既定ではそのうち 1 つだけを使い、残りは無視します。組織が配布するすべての管理ソースを適用したい場合は、配布するソースのうち最も優先順位の高いものに managedSourcesBehavior を "merge" として設定します。

• ファイルで配布する場合、managed-settings.json と同じシステムディレクトリにある managed-settings.d/ にチームごとのファイルを置けます。Claude Code は managed-settings.json を最初に、次に managed-settings.d/ 内の *.json をアルファベット順にマージします。
• policyHelper は、MDM ポリシーまたは managed settings ファイルで指定する実行ファイルです。Claude Code は起動時にこれを実行して managed settings を算出します。
• parentSettingsBehavior ('first-wins' または 'merge') を使うと、SDK の managedSettings (parent tier) をポリシーのマージに含められます。
• Windows 上の WSL は、wslInheritsWindowsSettings ポリシーキーで Windows 側の managed settings を継承できます。

• 開発者のマシンで Claude Code の中から /status を実行すると、Setting sources の行に Enterprise managed settings と、Claude Code が選んだソースが括弧付きで表示されます。
• claude doctor は、Claude Code が取り除いた無効なエントリを、ソースとフィールドを添えて一覧にします。
• claude doctor の Organization policy 行は、Claude Code がポリシーをどこから読み込んだか、または読み込めなかった理由を示します。/status の Organization policy 行は、組織のポリシーを読み込めなかった理由 (エンドポイントを通さないプロキシなど) を示します。
• server-managed settings の読み込みに失敗すると起動時に警告が出ます。Bedrock・Vertex・サードパーティのプロバイダーや独自の ANTHROPIC_BASE_URL を使っているために取得されなかった場合も、/doctor と /status に理由が表示されます。
• remote-managed settings に無効なエントリがあっても、ペイロード全体を捨てずに残りの有効なポリシーを適用し、検証エラーを表示します。
• Claude Desktop の Code タブには、組織の remote managed settings がセッションに読み込まれていないときと、読み込まれたときに通知が出ます。

キーごとに、値が無効な場合の扱いが決まっています。

• availableModels が存在するが無効な場合、修正されるまで空の許可リストとして扱われ、Default モデルだけが使えます。
• deniedModels は、文字列でないエントリを除いて残りを適用します。値全体が無効な場合は警告とともに破棄され、修正されるまでどのモデルもブロックしません。
• requiredMinimumVersion と requiredMaximumVersion は設計上 fail open で、無効な値は適用されず破棄されます。requiredMinimumVersion は古いバイナリの起動を止めますが、実行中のセッションは終了させません。
• 組織のサインイン強制は、管理者の managed settings を読めない場合、ホスト提供の設定やユーザーごとの Windows レジストリ設定があっても起動時に終了します。
• Windows/WSL では、管理者ポリシー (HKLM、managed-settings.json) が存在するのに無効または読めない場合、ユーザーが書き込める HKCU と WSL の /etc/claude-code は適用されません。
• Team・Enterprise のセッションと、サインインのプランを判定できないセッションでは、起動時に組織ポリシーを読み込めなかった場合、読み込まれるまで WebFetch を保留します。

server-managed settings では、設定内容によって承認ダイアログの表示が変わります。

• 無害な機能・コストの切り替えや、管理用の CLAUDE.md (claudeMd) では承認ダイアログは出ません。hooks、シェルコマンド、サンドボックス、安全でない env の設定は引き続き承認が必要です。
• 承認ダイアログはエンドポイント URL を表示し、前回承認してから変わった設定だけを並べます。server-managed のサンドボックスバイナリの上書き (sandbox.bwrapPath、sandbox.socatPath、sandbox.ripgrep) には承認を求めます。
• 組織の設定が変わっていなければ、再ログインや組織の切り替えの後に承認プロンプトは再表示されません。
• Team・Enterprise のログインでは、Anthropic の API から取得した server-managed settings が承認プロンプトなしで適用され、検証できない保存済みのコピーは拒否されます。

ここでは、ファイルで managed settings を配布する流れを示します。

1. 強制すると決めたキーを、settings.json と同じ JSON の形で書いた managed-settings.json を作成します。
2. マシンへのファイル配置に使っている既存のツールで、ファイルを managed-settings.json という名前で OS のシステムディレクトリに保存します。macOS は /Library/Application Support/ClaudeCode/、Linux と WSL は /etc/claude-code/、Windows は C:\Program Files\ClaudeCode\ です。
3. まず 1 台のマシンで Claude Code の中から /status を実行し、Setting sources の行に Enterprise managed settings (file) と表示されることを確かめてから、残りのマシンに展開します。