cloud environmentの組織共有をTeam/Enterpriseで設定する
Claude CodeのTeam/Enterpriseでは、Ownerが組織共有cloud environmentを作成でき、メンバー全員が同じ設定・認証情報を使えます。設定手順とClaude Tagチャンネルへの適用を解説。
cloud environmentの組織共有とは
Claude Codeのcloud environment(クラウドセッションが動く実行環境)は、既定では個人アカウントごとに作成します。Team/Enterpriseプランでは、この環境をOwner権限を持つ人が組織全体で共有する形で作成できます。共有環境はメンバー全員の環境選択メニューに個人環境と並んで表示され、各自が同じネットワーク設定・環境変数・セットアップスクリプトをそのまま使えるようになります。
この機能はメンバーが毎回同じ設定を作り直す手間を無くすためのものです。チームで使う内部パッケージレジストリへのアクセス許可や、特定のツールチェーンをセットアップスクリプトで揃えておきたい場合に使います。なお、cloud environmentはClaude Code on the web(Pro/Max/Teamはリサーチプレビュー、EnterpriseはpremiumシートまたはChat + Claude Codeシートが必要)を前提とする機能です。
組織共有環境を作成する
組織共有のcloud environmentを作成・編集・アーカイブできるのはOwnerだけです。管理はclaude.ai/admin-settingsの「Cloud environments」ページから行います。このページを開けるロールは、server-managed settingsを管理できるロールと同じ範囲で、Admin権限だけでは開けません。
「Cloud environments」ページでは、組織共有環境に加えてセルフホスト環境も同じ画面で管理します。共有環境1つにつき、名前・ネットワークアクセスレベル・環境変数(.env形式)・セットアップスクリプトの4項目を設定します。
共有環境はclaude.ai/codeの環境選択メニューからも開けます。OwnerはそこからでもAPI認証情報を追加できますが、それ以外のメンバーには読み取り専用で表示されます。組織のどの環境を既定にするかは、この選択メニューとは別にclaude.ai/admin-settings/claude-codeでOwnerが個別に設定します。
Team/Enterpriseのweb onboardingでは、OwnerがQuick web setupを事前に有効にしていない限り、メンバーは初回に「Create your first cloud environment」フォームを操作します。既定値のまま進めても、そこで作られるのは共有環境ではなく各自の個人用Default環境です。組織で1つの環境に揃えたいなら、メンバーがオンボーディングを始める前にOwnerが共有環境を作成し、組織の既定環境に設定しておくと、メンバー側での作り直しが要りません。
ネットワークアクセスレベルを選ぶ
共有環境ごとに、セッションが外部へ到達できる範囲を4段階のいずれかで設定します。
| レベル | 到達できる範囲 |
|---|---|
| None | 到達できる範囲セッションのネットワーク経由での外部アクセスなし |
| Trusted(既定) | 到達できる範囲パッケージレジストリ・GitHub・クラウドSDKなど許可済みドメインのみ |
| Full | 到達できる範囲任意のドメイン |
| Custom | 到達できる範囲自分で指定したドメインリスト(既定リストを含めるかは任意) |
各レベルの詳しい挙動、Customでの許可ドメインの追加手順、アクセスレベルの外側にある3つの抜け道(GitHubプロキシ・MCPコネクタ・API認証情報)はクラウド環境のネットワークアクセス設定にまとめています。組織共有環境でも設定の単位は環境ごとで、組織全体の許可ドメインを一括変更する仕組みはありません。
環境変数とAPI認証情報を設定する
環境変数は.env形式で、1行に1つのKEY=valueペアを書きます。共有環境の環境変数は組織のメンバー全員が読み取れるため、シークレットをそのまま書き込んではいけません。
NODE_ENV=production
LOG_LEVEL=info
DATABASE_URL=postgres://internal-db:5432/app読み取られたくないAPIキーやトークンは、代わりにAPI認証情報として登録します。API認証情報はAnthropicのエージェントプロキシがリクエストへ後から付与する仕組みで、Claude自身にもClaudeが実行するコマンドにも、セッションの環境変数にも値そのものは渡りません。
条件は4つありますが、追加できるかどうかを決める2つと、追加した認証情報が実際に付与されるかを決める2つに分かれます。追加できるかどうかは、自分の組織でOwner権限を持っているか(Team・EnterpriseではOwnerだけが持ち、Adminは持ちません。Pro/Maxでは自分の組織で保持)と、対象がすでに存在するAnthropicホスト型の環境か(セルフホスト環境にはAPI認証情報の仕組み自体がない)で決まります。付与されるかどうかは、対象のAPIがインターネットからの接続を受け付けるか(リクエストはAnthropicのネットワークから発信されるため)と、組織がcustomer-managed encryption keysを使っていないか(使っている場合は保存自体ができない)で決まります。
認証情報はすでに存在する環境の編集画面からしか追加できず、新規作成ダイアログには項目自体がありません。追加は1件ずつで、編集機能もありません。ホストや値を変えたいときは、いったん削除してから登録し直します。既定の種類はBearerで、リクエストヘッダーに載せるAPIキー向けです。ヘッダー名とプレフィックスは変更できるため、X-Api-Keyのように素の値をそのまま渡すヘッダーにも対応できます。ほかの認証方式を使うAPIには別の種類を選べますが、その選択肢はClaude Tag(Team/EnterpriseプランのSlack連携)がconnectionsで提供しているものと同じ一覧です。
認証情報を登録すると、その環境のネットワークアクセスレベルが本来許可していないホストでも、登録したホストへは到達できるようになります(次のCalloutにある対象外のリクエストを除く)。一覧でNot sentと表示された認証情報は、その注記に理由と対処が書かれています。ホストが完全一致せず一部だけ重なる認証情報を複数登録した場合はこの注記が付かず、エージェントプロキシは片方だけを送ります。
Claude Tagチャンネルに環境を割り当てる
Claude Tag(Slackで@Claudeを呼び出す機能)のチャンネルセッションは、個人ではなく組織の共有アイデンティティとして動作します。そのため、チャンネルのセッションは組織共有環境かセルフホスト環境しか使えません。個人の環境をチャンネルに割り当てることはできません。
セットアップスクリプトが埋めるのは、セッションのVMに最初から入っているツールチェーンに無いものだけです(一覧はClaude Codeクラウドセッションで使えるツールとリソース制限にまとめています)。.NETはこの一覧に無く、パッケージレジストリが既定の許可リストに含まれていても自動では入りません。こうしたツールチェーンをチャンネルで使いたい場合、Ownerがセットアップスクリプト付きの共有環境を作成し、次のいずれかの方法でチャンネルに紐づけます。
claude.ai/admin-settings/claude-codeでその共有環境(またはセルフホスト環境)を組織の既定環境に設定する- Claude Tagの管理設定で、特定のチャンネルに環境を個別にピン留めする
チャンネルのセッションが想定と違う環境で動いている場合、まずこの2つの設定のどちらが効いているかを確認します。
組織共有環境はどの利用面で効くか
一度作った組織共有環境は、クラウドセッションを開始できるすべての利用面で同じものが使われます。具体的にはClaude Code on the web、ターミナルからのclaude --cloud、Claude Tag、routines、モバイルアプリ、Desktopアプリの6つです。環境の設定を1か所で変えれば、メンバーがどの入口からセッションを始めても同じネットワーク許可・環境変数・セットアップスクリプトが適用されます。個々のメンバーが利用面ごとに設定をコピーし直す必要はありません。
ただし、CLIからclaude --cloudでセッションを開始するときだけは個人の/remote-env設定が優先されます。組織の既定環境が共有環境に設定されていても、メンバーが/remote-envで自分の個人環境を選んでいれば、CLIからのセッションはそちらが使われます。web・Desktop・モバイルの環境選択メニューでは、組織の既定環境がメンバー自身の未選択状態を埋める形で使われます。
セルフホスト環境に限っては、さらにもう1段階の指定方法があります。Claude Code v2.1.224以降、セッションを開始するコマンドにccpool_から始まる環境IDを--environmentフラグで渡すと、その回のセッションだけ/remote-envの選択やフォールバックより優先されます。Anthropicホスト型の共有環境が持つenv_形式のIDはこのフラグに渡せず、そちらを指定したいときは引き続き/remote-envを使います。
組織共有環境のGitHub操作は、専用のGitHubプロキシを経由します。メンバー個々の実際のGitHub認証情報はセッションのVM内に一切渡らず、git pushはセッションの作業ブランチに対してのみ許可されます。組織で共有する環境であっても、GitHubへのアクセス範囲がセッションが紐づくリポジトリに限定される点は個人環境と同じ設計です。
よくあるつまずき
- Admin権限で「Cloud environments」ページを開こうとして開けない: このページはOwner(および同等のロール)専用です。Admin権限しかない場合は表示されず、Ownerに依頼する必要があります。
- 共有環境の環境変数にAPIキーを直書きしてしまう: 環境変数は組織メンバー全員が読み取れます。外部に渡したくない値はAPI認証情報として登録します。
- アーカイブした環境が動いているセッションごと止まると思い込む: アーカイブは新規セッションの開始を止めるだけで、すでに動いているセッションはそのまま継続します。アーカイブ後も動き続けるセッション上の古いAPI認証情報を消し忘れないよう、アーカイブ前に不要な認証情報を削除しておきます。ルーチンのようにその環境を明示的に指定している設定は、アーカイブ後は新規セッションを開始できなくなるため、アーカイブする前に別の環境へ向け直しておく必要があります。
- Claude Tagチャンネルに個人環境を割り当てようとする: チャンネルセッションは組織の共有アイデンティティとして動くため、個人環境という選択肢自体が存在しません。
まとめ
Team/Enterpriseプランでは、Ownerがadmin settingsの「Cloud environments」ページから組織共有のcloud environmentを作成し、ネットワークアクセスレベル・環境変数・セットアップスクリプトをメンバー全員に配布できます。シークレットを扱う場合は環境変数ではなくAPI認証情報を使うのが原則です。Claude Tagのチャンネルセッションは組織共有かセルフホストの環境しか使えないため、チーム全体で同じ実行環境を使わせたい場合はこの仕組みが唯一の経路になります。ネットワークアクセスの許可設定でつまずいたときの具体的なエラーは「Host not allowed in a cloud session」の意味と対処、自社インフラでセッションを動かす選択肢はClaude Code self-hosted-runnerとは、Claude Tag自体の概要はClaude Tagが登場を参照してください。
よくある質問
個人プラン(Pro/Max)でも組織共有環境は使えますか
使えません。組織共有環境の作成はTeam/Enterpriseプランのみの機能です。Pro/Maxでは各自が個人環境を作成します。