GitHub Enterprise ServerでClaude Codeを使う — 管理者設定とネットワーク要件

GitHub Enterprise ServerでClaude Codeを使うとは

GitHub Enterprise Server(GHES)は組織が自社管理するGitHubインスタンスで、Team / Enterpriseプランで使えます。Claude組織のOwnerが一度GHESインスタンスを接続すれば、開発者側の追加設定なしにクラウドセッション(Webセッション)と自動コードレビューが使えます。

自動コードレビューの中身はgithub.comと共通で、設定方法はClaude Codeコードレビューにまとめています。GHESで増えるのは、接続の手間と一部の機能差です。

機能ごとの対応は次のとおりです。

クラウドプロバイダー経由でActionsを回す構成はGitHub Actions Bedrock連携に書いています。

接続の前に決めること — どの経路で接続するか

接続前に確認しておくと手戻りが減る判断が2つあります。

判断の分かれ目は2つあります。1つ目はネットワーク構成で、リダイレクトがブロックされるなら手動一択です。2つ目は権限の持ち主で、接続するのはClaude組織のOwnerまたはPrimary Ownerであり、さらにGHES上でGitHub Appを作成できる権限も同じ人に要ります。両方を満たす人がいなければ、GHES管理者を同席させる運用になります。

管理者セットアップの手順

ガイド付きセットアップの流れです。画面の入口はclaude.ai/admin-settings/claude-codeです。

GitHub App権限の中身

マニフェストが設定する権限は、クラウドセッション・コードレビュー・Claude Security・プラグインマーケットプレイス・contribution metricsをまとめてカバーします。

購読するwebhookイベントは次の6種類です。

• pull_request
• issue_comment
• pull_request_review_comment
• pull_request_review
• check_run
• status

注意したいのは、GitHubがマニフェストを適用するのはアプリ作成時だけという点です。古いマニフェストで作った既存アプリは、その時点の権限とイベントのままです。不足分はGHES上のアプリ設定に自分で足します。すると各インストールのOwnerに承認が求められ、承認されるまで旧権限で動き続けます。権限追加後に挙動が変わらないときは、承認待ちを疑うのが近道です。

リダイレクトが使えないときの手動セットアップ

ガイド付きフローがネットワーク設定で塞がれている場合は、Add manuallyを使います。GHES上で上の権限とイベントを持つGitHub Appを作り、次の項目をフォームに入力します。

• 表示名、GHESのホスト名とポート
• App ID、クライアントID、クライアントシークレット
• webhookシークレット、秘密鍵
• 任意項目として、カスタムCA証明書とread replicaのホスト名

接続を保存するとClaudeがwebhook URLを生成します。Add configurationを押し、接続のMore optionsメニューからCopy webhook URLを選んで、GHES上のアプリのwebhook設定に貼り付けます。webhookシークレットはフォームに入れたものと同じ値にします。

ネットワーク要件 — どこから到達できれば動くか

セッションの動く場所で、GHESに求められる到達性が変わります。

見落としやすいのが、セッション開始前にAnthropic側で動く処理です。リポジトリ選択画面などがこれにあたり、セッション自体をセルフホスト環境で動かしても、GHESがAnthropicから到達できなければ動きません。SCMコネクタはGHESでは使えないため、社内からしか到達できないGHESホストでは、これらの画面が使えなくなります。

開発者の使い方

Ownerの接続後、開発者側の設定は要りません。Claude Codeは作業ディレクトリのgitリモートからGHESホスト名を自動検出します。

git clone git@github.example.com:platform/api-service.git
cd api-service
claude --cloud "決済webhookハンドラーにリトライ処理を追加して"

セッションはGHESからクローンし、変更をブランチにプッシュして返します。進捗は/tasksまたはclaude.ai/codeで見られます。

手元のv2.1.287でclaude --helpを見ると、--cloudは次の形です。

--cloud [description|session_id|url]  Create a cloud session with the given
                                      description, or attach to an existing
                                      one by session ID or claude.ai/code URL
--teleport [session]                  Resume a teleport session, optionally
                                      specify session ID

引数は新規セッションの説明文だけではありません。既存セッションのIDやclaude.ai/codeのURLを渡すと、そのセッションに接続し直せます。

Teleportでローカルへ引き継ぐ

claude --teleportはWebセッションをローカルのターミナルに引き継ぎます。同じGHESリポジトリのチェックアウト内にいることを確認してから、ブランチとセッション履歴を取得します。要件の全体はClaude Code teleportの使い方にあります。

プラグインマーケットプレイスをGHESで配る

GHES上のマーケットプレイスは、追加する場所ごとに「誰の認証情報で取得するか」が違います。ここを取り違えると、追加したのにプラグインが見つからない状態になります。

クラウドセッションの中でGHES上のマーケットプレイスを入れる方法は、確実ではないとされています。サンドボックスから届くのはセッションのリポジトリと同じインスタンスだけで、同じインスタンスでも失敗しうるためです。CLI、managed settings、claude.aiのいずれかを使います。

GHES上のマーケットプレイスはowner/repoの短縮形が使えません。この形は常にgithub.comへ解決されるので、完全なgit URLを指定します。

claude plugin marketplace add https://github.example.com/platform/claude-plugins.git

SSH URLも使えますが、Claude Codeはgitを非対話で実行するため、known_hostsに無いホストへのSSH接続は拒否されます。HTTPS URLとgit認証情報ヘルパーの組み合わせなら、この問題を避けられます。

v2.1.287のclaude plugin marketplace add --helpには、置き場所を決める--scope <scope>があります。値はuser(既定)・project・localです。モノレポ向けには--sparse <paths...>も使えます。

チーム全員に配るなら、リポジトリの.claude/settings.jsonやmanaged settingsのextraKnownMarketplacesに書く方法もあります。.claude/settings.jsonの場合は、各メンバーがフォルダーを信頼するまで適用されず、それまでプラグインは届きません。

{
  "extraKnownMarketplaces": {
    "internal-tools": {
      "source": {
        "source": "git",
        "url": "https://github.example.com/platform/claude-plugins.git"
      }
    }
  }
}

このキーはどの設定ファイルからでも読まれ、managed settingsなら組織全体に届きます。注意点は、認証情報の無いマシンではマーケットプレイスが登録だけされてインストールされず、プラグインは認証を求められずに「見つからない」と表示されることです。配布前に、対象マシンからGHESをクローンできるか確認します。managed settingsのファイルは配布先のマシンにしか効かないため、MDMなどでの展開も要ります。

追加できるマーケットプレイスを制限している組織もあります。その場合はstrictKnownMarketplacesにhostPatternを足すと、GHESインスタンス上のマーケットプレイスをまとめて許可できます。

{
  "strictKnownMarketplaces": [
    {
      "source": "hostPattern",
      "hostPattern": "^github\\.example\\.com$"
    }
  ]
}

許可リストを使った運用の詳細はGHESプラグインマーケットプレイスを許可リストで運用するにあります。

github.comとの機能差への対処

• /install-github-app: GHESでは使えません。管理者セットアップを使い、GitHub Actionsも欲しい場合はサンプルワークフローを手動で調整します
• GitHub MCPサーバー: GHESでは動きません。GHES向けに設定したgh CLIで代替し、gh auth login --hostname github.example.comで認証すればセッション内でghコマンドが使えます

つまずきを症状から切り分ける

• クラウドセッションがクローンに失敗する: Ownerが対象GHESのセットアップを終えているか、作業中のリポジトリにGitHub Appが入っているかを見ます。Claude設定のホスト名とgitリモートのホスト名が一致しているかも、接続したOwnerに確認してもらいます
• Unable to get organization UUIDでセッションが始まらない: claude.aiアカウントでのサインインが前提です。claude --cloudとclaude --teleportはどちらも該当します。APIキー認証や古いアカウント情報だと失敗するので、/loginでTeamまたはEnterprise組織のアカウントに入り直します。APIキー認証のまま--teleportをセッションID無しで実行すると、このメッセージではなくセッション一覧のError loading Claude Code sessionsが出ます
• レビューやクラウドセッションがタイムアウトする: ファイアウォールがAnthropicのoutbound IPアドレスからの受信を許可しているかを確認します。セルフホスト環境のセッションなら、ランナー自身のネットワーク経路を見ます
• claude.aiで「Marketplace couldn't be added」と出る: 自分のGitHub Enterpriseアカウントが未接続のときに出る汎用エラーです。ダイアログに接続フローへの案内は出ず、Browseタブの「Connect to GitHub」はgithub.comにサインインするだけで、GHESへのアクセスは付きません。claude.ai/codeのリポジトリ選択画面にGHESインスタンスごとの接続オプションがあるので、そこから接続して追加し直します。Ownerに組織プラグイン設定から追加してもらえば、個人接続は不要になります
• /plugin marketplace addがポリシーエラーで止まる: 組織が追加元を制限しています。管理者にGHESホスト名のhostPatternを足してもらいます
• claude.aiの画面にRepository not foundと出る: 非公開リポジトリでGitHubアクセスが必要なときの表示で、上と同じ未接続を示します。Ownerは管理画面のGitHub Enterpriseセクションからも接続できます
• managed settingsや.claude/settings.jsonで配ったのにプラグインが見つからない: そのマシンがGHESをクローンできていません。HTTPS URLとgit認証情報ヘルパーを確認します

まとめ

GHES対応のコストは、Ownerの1回の接続と、到達性・認証情報の経路の見極めに集約されます。接続自体は短い手順ですが、Anthropicホスト型は「GHESがAnthropicから見えるか」、マーケットプレイスは「誰の認証情報で取るか」で成否が決まります。