Claude Code 管理者設定｜全員に一括で配る方法

Claude Code をチームや会社で使い始めると、「全員に同じ禁止ルールを守らせたい」「確認を飛ばすモードは使わせたくない」といった要望が出てきます。一人ひとりに設定をお願いするのでは、漏れも上書きも防げません。

そのための仕組みが managed settings（管理者が配る設定） です。この記事では、公式ドキュメント「Managed settings」（2026年11月4日確認）にもとづいて、配り方・置き場所・優先順位・固定できる項目・確かめ方を、管理者の目線でまとめます。

結論：配るのは1つ、確かめるのは /status

managed settings は、会社が全員の端末に配る設定で、ほかのどの段よりも強く効きます。 自分用・プロジェクト用の設定ファイルや、起動時の --settings の値では上書きできません。

管理者がやることは3つだけです。

1. 固定したい項目を、ふだんの settings.json と同じ形の JSON に書く
2. 会社で使っている方法（管理画面・MDM・ファイル配布など）で、全員の端末に届ける
3. 1台で /status を開き、Setting sources の行に Enterprise managed settings と出ることを確かめてから全体に広げる

設定ファイルの段の考え方そのものは、settings.json 入門 で説明しています。この記事は、その一番上の段の話です。

4つの配り方を比べる

どの方法で配っても、書ける項目は settings.json と同じです。 違うのは、どこに保存され、いつ読み直されるかです。ふだん端末をどう管理しているかで選びます。

公式は、Jamf・Intune・グループポリシーなどのひな形を GitHub の MDM の例として公開しています。MCP サーバーを会社で決めたものに絞る 仕組みは、managed-mcp.json という別ファイルでも配れます。MCP そのものは MCP 入門 で説明しています。

いちばん手早いのは設定ファイルを置く方法

MDM の準備が無くても、managed-settings.json を各端末の決まった場所に置けば、その日から効きます。 公式の例は、次のような中身です。

{
  "permissions": {
    "deny": [
      "Read(./.env)",
      "Read(./secrets/**)"
    ],
    "disableBypassPermissionsMode": "disable"
  },
  "allowManagedPermissionRulesOnly": true
}

この例では、秘密の値を入れがちな2種類のファイルを読めなくし、確認を飛ばすモードを使えなくし、さらに 管理者が配ったもの以外の許可ルールを無視 させています。許可ルールの書き方は 権限設定（permissions）の基本 で、確認を飛ばすモードは 権限モードの違い で説明しています。

置き場所は OS ごとに決まっています。

Windows の古い置き場所（Cドライブの「ProgramData」の中の「ClaudeCode」）は、もう読まれません。以前の手順書のまま配っている場合は、置き場所を見直します。

部署ごとにファイルを分けて足し合わせる

1つのファイルを複数のチームで書き換えるのが大変なときは、managed-settings.d/ というフォルダに分けて置けます。 managed-settings.json と同じフォルダに作り、10-telemetry.json・20-security.json のように番号を付けると、その順で足し合わされます。

同じ項目が2つのファイルにあるときの扱いは、次のとおりです。

• 1つの値（model など）は、後のファイルの値に置き換わる
• リスト（permissions.deny など）は、両方を合わせて重複を除く
• 入れ子のかたまり（env・sandbox など）は、中の項目ごとに同じ決まりで合わさる

優先順位：配り方が重なったら上の1つだけ

1台の端末に複数の配り方で届いている場合、既定では一番上の1つだけが使われ、残りは無視されます。 しかも、無視したことの警告は出ません。上から順に次のとおりです。

1. サーバーから配る設定（claude.ai の管理画面・ゲートウェイ）
2. MDM・OSのポリシー（macOS の構成プロファイル・Windows の HKLM）
3. 設定ファイル（managed-settings.json と managed-settings.d/）
4. Windows のユーザー用レジストリ（HKCU）

1のサーバーからの設定は、Anthropic の API に対象のログインで直接つないでいるときなどに取りに行きます。ほかのクラウドの契約で使っているときや、ANTHROPIC_BASE_URL を別の宛先に向けているときは、2から数えます。

全部を足し合わせたいときは、一番上の配り方の中に "managedSourcesBehavior": "merge" を書きます。 下の段からは合流を宣言できません。合わせ方は項目の種類で決まっていて、リストは合わさり、allowManagedHooksOnly のような締め付けの項目はいちばん厳しい値が使われます。下の段のリストも足されるので、合流は、どの段も管理者の手の中にあるときだけ にします。

例外として、env の環境変数や、サンドボックスの締め付けなど一部の項目は、既定のままでも管理者用のすべての段から読まれます。

管理者だけが固定できる項目

いくつかの項目は、管理者が配る設定からしか読まれません。 自分用やプロジェクトの設定に書いても効きません。多くは「管理者の決めた値だけを使わせる鍵」です。

フックとプラグインの基本は、フック入門 と プラグイン入門 で説明しています。サンドボックスで通信先を絞る考え方は サンドボックス の記事にまとめています。

固定ではなく「初期値」になるもの

model は初期値であって鍵ではありません。 管理者が配っても、--model や ANTHROPIC_MODEL でその回のモデルは変えられます。使えるモデルを絞りたいときは availableModels を配ります。同じく、自動圧縮の幅（autoCompactWindow）も初期値扱いです。モデルの選び方は モデルの切り替え方 で説明しています。

ほかにも、次の点は公式が明記している限界です。

• 端末の管理者権限を持つ人は、配られたファイル自体を書き換えられる。MDM で定期的に配り直す理由はここにある
• サーバーから配る設定の手元の控えを書き換えても、次に取得できた時点で元に戻る
• 縛られるのは Claude Code だけ。ほかの道具から API を呼ぶ人は対象外

配った設定が届く範囲

ターミナル、VS Code と JetBrains の拡張、デスクトップアプリの Code タブ、Agent SDK のセッションは、どれも同じように読みます。 一方で、届かない場所もあります。

• Anthropic の環境で動くクラウドのセッションは、端末の MDM やファイルを読まない。サーバーから配る設定で届ける（クラウドの使い方は クラウドで動かす方法）
• デスクトップアプリの Cowork のセッションは、管理画面の設定を取りに行かない。端末側の MDM やファイルで配る

動いているセッションにも、たいていは上の表の間隔で再起動なしに反映されます。ただし、何週間も開きっぱなしのセッションは遅れることがあります。

効いているかを確かめる

確かめる道具は /status と claude doctor の2つです。 /status の Setting sources の行に Enterprise managed settings と出て、かっこの中にどこから読んだかが書かれます。

行そのものが無いときは、ファイルの置き場所か中身を疑います。 制御用の項目だけを書いたファイルは「配られていない」扱いになります。行はあるのに自分が配ったものと違う名前なら、より上の段に負けています。そのときは Skipped sources の行に、使われなかった配り方が出ます。

一方、配ったファイルが JSON として壊れていると、Claude Code は起動を拒否します。 一部の項目だけが間違っている場合は、その項目を落として警告し、claude doctor で一覧にできます。allowManagedPermissionRulesOnly のような締め付けの項目が読めない値のときは、締め付けた側の値として扱われます。設定が効かない時の全体の調べ方は、設定が効かない時の確かめ方 を見てください。

よくある質問

一部の部署だけ違う決まりにできますか？

できます。ファイルや MDM のプロファイルを、部署ごとに別のものとして配ります。claude.ai の管理画面からは、まだグループごとに分けて配れません。自社で動かすゲートウェイなら、ログインのグループごとに配れます。

社員が自分の設定で上書きしたらどうなりますか？

管理者の値が勝ちます。自分の設定、プロジェクトの設定、--settings のどれでも上書きできません。例外は、下の段の方が厳しい値のときだけ、その厳しい値も効く一部の項目です。

会社の全員の利用データ送信を止められますか？

止められます。配る設定の env に "DISABLE_TELEMETRY": "1" を入れると、届いた全員で止まります。ただし、組織の利用状況の集計画面にもその人たちの数字が届かなくなります。送られるデータの中身は データの使われ方 で説明しています。

まとめ

• managed settings は 会社が配る一番強い設定。自分の設定や --settings では上書きできない
• 配り方は4つ。重なったら既定では 上の1つだけ が使われ、足し合わせるなら一番上に merge を書く
• model は鍵ではなく初期値。配ったら /status の Setting sources で必ず確かめる

出典

• Claude Code 公式ドキュメント「Managed settings」

この記事はAIを使って下書きし、著者が事実確認・加筆しています。ツールの機能や料金は変わることがあるため、最新の情報は各社の公式ページでご確認ください。