Serververwaltete Einstellungen konfigurieren

​

Anforderungen

• Claude for Teams oder Claude for Enterprise Plan
• Die Rolle „Owner“ oder „Primary Owner“ in Ihrer Claude-Organisation, um die Konfiguration anzuzeigen und zu bearbeiten
• Netzwerkzugriff auf api.anthropic.com

​

Wählen Sie zwischen serververwalteten und endpunktverwalteten Einstellungen

​

Serververwaltete Einstellungen konfigurieren

{
  "permissions": {
    "deny": [
      "Bash(curl *)",
      "Read(./.env)",
      "Read(./.env.*)",
      "Read(./secrets/**)"
    ],
    "disableBypassPermissionsMode": "disable"
  },
  "allowManagedPermissionRulesOnly": true
}

{
  "hooks": {
    "PostToolUse": [
      {
        "matcher": "Edit|Write",
        "hooks": [
          { "type": "command", "command": "/usr/local/bin/audit-edit.sh" }
        ]
      }
    ]
  }
}

​

Einstellungsbereitstellung überprüfen

• Die bereitgestellten Einstellungen wurden geladen
• Ihre Organisation hat keine serververwalteten Einstellungen konfiguriert
• Der Abruf ist fehlgeschlagen, mit der Ursache und ob eine zwischengespeicherte Richtlinie noch gilt
• Claude Code hat den Abruf übersprungen, mit dem Grund. Siehe Plattformverfügbarkeit für die Anbieter und Konfigurationen, die ihn überspringen

​

Zugriffskontrolle

• Primärer Eigentümer
• Eigentümer

​

Nur verwaltete Einstellungen

​

Aktuelle Einschränkungen

• Einstellungen gelten einheitlich für alle Benutzer in der Organisation. Konfigurationen pro Gruppe werden noch nicht unterstützt.
• Eine managed-mcp.json Datei kann nicht über serververwaltete Einstellungen verteilt werden. Stellen Sie stattdessen die Richtlinienschlüssel allowedMcpServers und deniedMcpServers dort bereit. Ab Claude Code v2.1.259 können Sie auch Remote-Server mit managedMcpServers bereitstellen, das nur http- und sse-Server akzeptiert und nicht die exklusive Kontrolle übernimmt, wie die Datei es tut. Claude Code liest eine managed-mcp.json, die in seinem Systempfad bereitgestellt wird, separat von der Ebene der verwalteten Einstellungen, sodass die Datei weiterhin gilt, wenn serververwaltete Einstellungen in Kraft sind.
• Einstellungen, die auf OS-Ebene-Richtlinienquellen beschränkt sind, wie policyHelper und wslInheritsWindowsSettings, werden nicht berücksichtigt. Stellen Sie sie stattdessen über MDM oder eine System-Datei managed-settings.json bereit. Ein policyHelper, der auf diese Weise bereitgestellt wird, wird nur ausgeführt, wenn seine Quelle die unter Vorrang innerhalb der verwalteten Ebene ausgewählte ist.

​

Einstellungsbereitstellung

​

Einstellungspriorität

​

Ausnahmen pro Schlüssel über verwaltete Quellen hinweg

• Quellübergreifende Sperreschlüssel: eine kleine Menge von Schlüsseln, wie die Sandbox-Zulassungslisten-Sperren, aufgelistet auf der Seite für verwaltete Einstellungen. Claude Code berücksichtigt sie, wenn eine beliebige admin-kontrollierte verwaltete Quelle sie setzt; die benutzerbare HKCU-Registry-Ebene ist ausgeschlossen. Wenn ein policyHelper verwaltete Einstellungen bereitstellt, ist seine Ausgabe die einzige Quelle, die diese Überprüfungen lesen, mit Ausnahme von forceRemoteSettingsRefresh, das Claude Code beim Start direkt aus den Admin-Quellen liest.
• Der env-Block: mit Ausnahme der Telemetrie-Einheit und Routing-Variablen, die mit einem Anmeldedatenschlüssel gekoppelt sind, beide unten behandelt, wird er pro Schlüssel über die admin-kontrollierten Quellen hinweg zusammengeführt. Für jede Umgebungsvariable gewinnt die höchstpriorisierte Quelle, die sie definiert, und niedrigere Admin-Quellen füllen Variablen aus, die die höheren Quellen ungesetzt lassen. Ein Endpunkt-verwalteter env-Eintrag gilt daher, wenn die server-verwaltete Konfiguration diese Variable ungesetzt lässt, oder während ein zwischengespeicherter Serverwert dafür ausstehend der Serverbestätigung zurückgehalten wird. Erfordert Claude Code v2.1.223 oder später. Vor v2.1.223 wendet Claude Code nur den env-Block der ausgewählten Quelle an.
  • Telemetrie-Einheit: die OTEL_EXPORTER_OTLP_*-Exporterschlüssel, die OTEL_LOG_*-Inhaltserfassungs-Umschalter, OTEL_LOGS_EXPORTER und die Beta-Tracing-Variablen ENABLE_BETA_TRACING_DETAILED und BETA_TRACING_ENDPOINT folgen der höchsten Quelle, die eine davon als Einheit setzt. Eine Quelle, die den otelHeadersHelper-Anmeldedatenschlüssel bereitstellt, beansprucht die Einheit auch, landet diese Variablen aber nur, wenn sie die ausgewählte Quelle ist: eine Quelle, die nicht ausgewählt ist, aber den Schlüssel bereitstellt, trägt keine davon bei und blockiert dennoch niedrigere Quellen davon, sie auszufüllen. In jedem Fall kann ein Exporterendpunkt aus einer Quelle niemals mit Anmeldedaten aus einer anderen gekoppelt werden.
  • Anmeldedaten-gekoppeltes Routing: eine Quelle, die Routing-Variablen mit einem nur-ausgewählte-Quelle-Anmeldedatenschlüssel, wie apiKeyHelper oder otelHeadersHelper, koppelt, trägt diese Routing-Variablen nur bei, wenn sie den Slot gewinnt.
• allowedProviders: eine auf dem Computer gesetzte Liste und eine server-verwaltete Liste kombinieren sich wie der Scope-Hinweis des Eintrags besagt. Erfordert Claude Code v2.1.285 oder später
• Gateway-Anmeldeschlüssel: Claude Code liest forceLoginGatewayUrl, gatewayInternalNetworks oder den "gateway"-Wert von forceLoginMethod niemals aus server-verwalteten Einstellungen, daher gilt ein Wert dort weder noch verbirgt er einen in einer MDM-Richtlinie oder verwalteten Einstellungsdatei gesetzten Wert. Der managedSourcesBehavior-Eintrag sagt, welche Admin-Quelle auf dem Computer sie bereitstellt.

​

Abruf- und Zwischenspeicherungsverhalten

• Wenn sich ein Entwickler beim Start anmeldet, z. B. beim ersten Lauf oder nach /logout, wartet Claude Code bis zu fünf Sekunden auf den Abruf, bevor die Sitzung geöffnet wird. Wenn die Richtlinie rechtzeitig ankommt, erzwingt Claude Code sie vom ersten Bildschirm an und zeigt Ihre companyAnnouncements darauf an. Wenn die Nutzlast Sicherheitsgenehmigung benötigt, beendet Claude Code das Warten und wendet die Nutzlast an, sobald der Entwickler sie genehmigt
• Bei jedem anderen Start und wenn das fünf-Sekunden-Warten abläuft, öffnet Claude Code die Sitzung, während der Abruf fortgesetzt wird, daher vergeht ein kurzes Fenster, bevor die Einstellungen geladen werden und die Einschränkungen wirksam werden
• Wenn der Abruf fehlschlägt, wird Claude Code ohne server-verwaltete Einstellungen fortgesetzt und warnt in interaktiven Sitzungen, dass keine Remote-Richtlinie gilt; Endpunkt-verwaltete Einstellungen gelten weiterhin. Wenn eine verwaltete Quelle forceRemoteSettingsRefresh setzt, beendet Claude Code stattdessen

• Zwischengespeicherte Einstellungen gelten sofort beim Start, mit Ausnahme der zwischengespeicherten modelPricing- und managedMcpServers-Werte und der Umgebungsvariablen, die Claude Code zurückhält, bis der Server die Nutzlast bestätigt
• Ein zwischengespeichertes modelPricing gilt nicht, bis der Abruf der Sitzung die Nutzlast bestätigt. Bis dahin sind die Kostenzahlen, die Entwickler in /usage und in der Statuszeile sehen, zum Listenpreis
• Ein zwischengespeicherter managedMcpServers-Block gilt nicht, bis der Abruf der Sitzung die Nutzlast bestätigt. Claude Code wartet bis zu 30 Sekunden auf diesen Abruf, bevor MCP-Server verbunden werden. Wenn der Abruf fehlschlägt oder das Zeitlimit überschritten wird, startet die Sitzung ohne die Server der Organisation, /status sagt dies, und sie verbinden sich, sobald ein späterer Abruf sie bestätigt. Siehe Wenn bereitgestellte Server verbunden werden für das vollständige Verhalten, einschließlich des ersten Starts. Erfordert Claude Code v2.1.259 oder später
• Claude Code ruft frische Einstellungen im Hintergrund ab
• Zwischengespeicherte Einstellungen bleiben durch Netzwerkfehler bestehen. Wenn der Start-Abruf fehlschlägt, warnt Claude Code in interaktiven Sitzungen, dass die zwischengespeicherte Richtlinie wirksam ist
• Bis ein Abruf erfolgreich ist, bleiben die beim Start zurückgehaltenen Werte zurückgehalten

• Proxy- und TLS-Konfiguration, wie HTTPS_PROXY, NODE_EXTRA_CA_CERTS und die mTLS-Client-Zertifikatvariablen CLAUDE_CODE_CLIENT_CERT und CLAUDE_CODE_CLIENT_KEY
• API-Routing und Anbieterauswahl, einschließlich ANTHROPIC_BASE_URL, der Anbieterauswahlvariablen wie CLAUDE_CODE_USE_BEDROCK und CLAUDE_CODE_USE_VERTEX und der Anbieter-Endpunkt-URLs wie ANTHROPIC_BEDROCK_BASE_URL
• Authentifizierungsanmeldedaten, wie ANTHROPIC_API_KEY, ANTHROPIC_AUTH_TOKEN und CLAUDE_CODE_OAUTH_TOKEN
• Der Konfigurationsverzeichnis-Selektor CLAUDE_CONFIG_DIR
• Anmeldedaten-Quellen- und Konfigurationsverzeichnis-Selektoren, in Claude Code v2.1.223 oder später: die Workload Identity Federation-Variablen wie ANTHROPIC_FEDERATION_RULE_ID und ANTHROPIC_IDENTITY_TOKEN, die Profil- und Konfigurationsverzeichnis-Selektoren ANTHROPIC_PROFILE und ANTHROPIC_CONFIG_DIR und die Betriebssystem-Verzeichnisvariablen HOME, XDG_CONFIG_HOME, APPDATA und USERPROFILE