Claude Code Desktop SSOとデバイス管理ポリシーの設定
Team・EnterpriseプランのDesktopアプリは、管理コンソール・managed settings・MDM/グループポリシーの3手段とSSOで統制できます。適用範囲の違いが分かります。
TeamプランとEnterpriseプランでは、Desktopアプリの挙動を組織側から統制できます。手段は管理コンソール・managed settingsファイル・デバイス管理ポリシーの3つで、それぞれ効かせられる範囲が違います。SSOの必須化はTeam・Enterprise・Console組織のいずれでも設定可能です。
前提条件
企業導入時のDesktop統制はTeamプランまたはEnterpriseプランが対象です。管理コンソールの操作は組織の管理者権限、managed settingsファイルの配布とMDM/グループポリシーの設定はIT部門の権限が必要です。個人のPro・Maxプランでは、これから説明する統制の仕組みは対象外になります。
ステップ1: 管理コンソールで組織全体の機能を制御する
管理設定コンソール(claude.ai/admin-settings/claude-code)から、組織全体に対して次の4項目を切り替えられます。
| 設定項目 | できること |
|---|---|
| Code in the desktop | できることDesktopアプリのcodeタブへのアクセス可否 |
| Code in the web | できることWeb版セッションの有効・無効 |
| Remote Control | できることRemote Controlの有効・無効 |
| Disable Bypass permissions mode | できることBypass permissionsモードの有効化を組織で禁止 |
ここでの設定はDesktopアプリ機能そのもののオン・オフです。「Code in the desktop」を無効にすると組織のユーザーはDesktopのCodeタブ自体に触れなくなり、CLIやVS Code拡張機能だけが残ります。「Remote Control」は離れた端末からセッションを操作する機能の許可・不許可を切り替えるもので、外出先からの操作を許可したくない組織はここで止めます。より細かい権限ルールやツールの制限は次のmanaged settingsファイルで行います。
ステップ2: managed settingsファイルで細部を統制する
managed settingsはプロジェクト設定・ユーザー設定より優先され、Desktop上のClaude Codeセッションに適用されます。組織のmanaged settingsファイルに書くか、管理コンソールからリモートで配布します。主なキーは次のとおりです。
| キー | 用途 |
|---|---|
permissions.disableBypassPermissionsMode | 用途"disable" でBypass permissionsモードを禁止 |
disableAutoMode | 用途"disable" でAutoモードをモード選択肢から除外 |
autoMode | 用途Autoモード分類器が何を信頼し何をブロックするかを組織単位でカスタマイズ |
browserExternalPageTools | 用途"disabled" でBrowserペインからの外部ページ操作ツールを禁止 |
disableMobileSimulatorTools | 用途true でiOS Simulatorペインの操作ツールをClaudeから禁止 |
disableBrowserExternalNavigation | 用途true でBrowserペインの外部ナビゲーション自体を禁止 |
sshConfigs | 用途環境ドロップダウンに表示するSSH接続をあらかじめ設定 |
sshHostAllowlist | 用途接続を許可するSSHホストのパターンを制限。空配列でSSHセッション自体を無効化 |
managedMcpServers | 用途サードパーティー版Desktopデプロイ限定でMCPサーバー構成を全ユーザーへ配布 |
どのセッション種別に届くかは手段ごとに違う点に注意します。ローカルセッションにはディスク上のmanaged settingsファイルが届きます。加えて、組織ログインまたは直接設定したAPIキーで認証しているセッションであれば、管理コンソールからのリモート配布分も届きます。クラウドセッションはサーバー管理設定(server-managed settings)を受け取り、デバイスに配布したファイルは届きません。SSHセッションはリモートホスト側のmanaged settingsファイルを読み、sshConfigsとsshHostAllowlistだけはローカルマシンの設定から接続時に参照されます。
permissions.disableBypassPermissionsModeとdisableAutoModeはユーザー設定・プロジェクト設定でも書けますが、managed settingsに置くとユーザー側での上書きを防げます。
ステップ3: デバイス管理ポリシーで端末単位を統制する
IT部門はMDMやグループポリシーでDesktopアプリ自体を管理できます。
macOS: com.anthropic.claudefordesktop プリファレンスドメイン
(Jamf / Kandji などのMDMツールで配布)
Windows: レジストリ SOFTWARE\Policies\Claude
(グループポリシーで配布)設定できるのは、Claude Code機能自体の有効・無効、自動更新の制御、カスタムデプロイURLの指定です。managed settingsファイルが「セッションの中で何ができるか」を決めるのに対し、デバイス管理ポリシーは「アプリをインストール・起動させるかどうか」というさらに手前のレイヤーを扱います。
ファイアウォールの許可設定も忘れずに行います。DesktopはAnthropicのCDNホスト(anthropic.com・claude.ai・claude.com・claude.appとそのサブドメイン、*.claudeusercontent.com、*.claudemcpcontent.com)からアプリコードとユーザーコンテンツを読み込みます。ワイルドカード登録数を絞りたい場合は、api.anthropic.comやassets.claude.aiのような個別ホストのリストに切り替える方法もあります。
SSOとデバイス管理ポリシーの適用範囲を早見表で確認する
| 手段 | 適用範囲 | 設定できること |
|---|---|---|
| 管理コンソール | 適用範囲組織全体 | 設定できること機能アクセスのオン・オフ(Code in desktop等) |
| managed settingsファイル | 適用範囲セッション単位(ローカル/クラウド/SSHで届き方が違う) | 設定できること権限ルール・Autoモード・SSH接続先の制限 |
| MDM / グループポリシー | 適用範囲端末単位 | 設定できることアプリの有効化・自動更新・デプロイURL |
| SSO | 適用範囲組織のサインイン全体 | 設定できること全ユーザーへのSSO必須化 |
SSOを設定する
SSOはTeamプラン・Enterpriseプラン・Claude Console組織のいずれでも利用できます。「Organization and access」ページのトグルでSSOを必須化するかどうかを設定でき、これはTeamプランでもEnterpriseプランでも同じ操作です。必須化すると全ユーザーが「Continue with SSO」経由でしかログインできなくなり、必須化しなければメールログインとの選択制のままになります。SAML方式の設定手順はサポートセンターの「Setting up Single Sign-On (SSO)」記事に、OIDC方式は「Claude Enterprise Administrator Guide」にまとまっています。
SSOはサインイン方法そのものの統制、managed settingsはサインイン後のセッションでの挙動の統制です。ステップ2で見たとおり、ローカルセッションへの管理コンソールからのリモート配布は組織ログイン・直接設定したAPIキーのどちらで認証していても届きます。そのため、SSO必須化の有無とmanaged settingsの配布方式は独立して検討できます。
配布方法とデータの扱いを確認する
Desktopアプリ自体の配布は、macOSでは.dmgインストーラーをMDM(Jamf・Kandjiなど)経由で、WindowsではMSIXパッケージ経由で行います。Windowsではサイレントインストールを含む企業向けデプロイオプションも用意されています。ステップ3のデバイス管理ポリシー(プリファレンスドメイン・レジストリ)はアプリ配布後の挙動制御、こちらはアプリそのものの配布経路という違いです。
処理されるコードの扱いも、セッションの実行環境によって変わります。ローカルセッションとSSHセッションはコードをローカルで処理し、クラウドセッションはAnthropic管理のインフラ上で処理します。組織が自己ホスト環境へルーティングしている場合を除き、クラウドセッションは会話とコードのコンテキストをAnthropicのAPIへ送信します。ローカル・SSHセッションが送信する先は、デプロイで設定したモデルプロバイダー(既定はAnthropicのAPI)です。コンプライアンス上どこにコードが渡るかを確認したい場合は、この実行環境の区別がまず論点になります。
よくあるつまずき
サードパーティー版のDesktopデプロイにmanagedMcpServersが届かない
3P(third-party)デプロイは管理コンソールの設定を受け取りません。managed settingsファイル・MDM経由の配布・Claude apps gatewayのdesktopブロックのいずれかで届ける必要があり、gateway経由で配布する場合はgatewayサーバー側のClaude Codeバージョンがv2.1.232以降であることも条件になります。
クラウドセッションにデバイス側のmanaged settingsが反映されない
クラウドセッションはAnthropic管理のVM上で動くため、デバイスに配布したファイルは届きません。self-hosted-runner経由でクラウドセッションを自社マシンで動かしている場合は、サーバー管理設定にキーが無いときだけランナーイメージに置いたmanaged settingsファイルへフォールバックする設計です。
モデル制限が効いていないように見える
availableModelsのようなモデル制限系の設定は、CLIと同じ精度でDesktopのClaude Codeセッションにも強制されます。反映されない場合は、そのセッションがどの認証経路で動いているかを先に確認します。
よくある質問
managed settingsファイルの設定は、ユーザーが自分の設定で上書きできるか
permissions.disableBypassPermissionsModeとdisableAutoModeはユーザー設定・プロジェクト設定でも同じキーを書けますが、managed settingsに置いた場合はユーザー側の値より優先されるため実質的に上書きできません。それ以外のキーも、managed settingsは設定の優先順位で最上位に位置づけられています。
SSHセッションのmanaged settingsはどこに置けばよいか
接続先のリモートホスト側です。Desktopアプリ自身が読むのはsshConfigsとsshHostAllowlistだけで、これは接続候補を作るためにローカルマシンの設定から参照します。セッションの中身に適用される権限ルールは、あくまで接続先ホストのmanaged settingsファイルが持っています。
SSO必須化とmanaged settingsによる認証制限は同時に使えるか
使えます。SSOはサインイン方法そのものの統制、managed settingsはサインイン後のセッションでの挙動の統制なので、独立して重ねて設定できます。
まとめ
Desktopアプリの企業統制は、組織全体を切り替える管理コンソール、セッション単位で細部を制御するmanaged settingsファイル、端末単位で管理するMDM・グループポリシーの3層構造です。SSOはTeam・Enterprise・Console組織のいずれでも設定でき、必須化のトグルもプランを問わず同じ操作で切り替えられます。managed settingsがどのセッション種別まで届くかはローカル・クラウド・SSHで異なるため、統制がうまく効かないときはまずセッションの実行環境を確認してください。managed settingsの使い方全般はClaude Code組織管理ガイドに、TeamとEnterpriseの契約形態の違いはClaude法人プランの契約ガイドにまとめています。設定を1つずつ検証しながら進め、意図した範囲に反映されているかをセッション種別ごとに確かめてください。