Remote Control Trusted Devicesとは — 組織で端末を承認制にする
Team・Enterprise向けのTrusted Devicesは、Remote Controlの操作を「登録済み端末+18時間以内のサインイン」の2条件に縛るベータ機能です。有効化手順とメンバー体験をまとめます。
Remote Control Trusted Devicesとは何をする機能か
Claude CodeのRemote Controlは、外出先の端末からclaude.aiやモバイルアプリ経由でローカルのClaude Codeセッションを操作できる機能です。Trusted Devices(信頼済み端末)は、その操作をさらに一段絞り込むTeam・Enterprise向けの組織全体設定です。サインイン済みのアカウントというだけでは足りず、登録済みの端末であることと、直近のサインインであることの両方を要求します。
Trusted Devicesはベータ機能で、Team・Enterpriseプランで利用でき、Ownerが有効化するまでは既定でオフです。
前提条件
- Team・EnterpriseプランのOwnerロール(有効化操作に必要)
- 対象メンバーがRemote Controlをすでに利用している、または利用予定であること
- Face ID・Touch ID・Windows Hello・パスキーのいずれかに対応した端末(非対応端末はハードウェアセキュリティキーか再サインインで代替できます)
Remote Control自体がZero Data Retentionのようなコンプライアンス要件を持つ組織では利用できません。この場合、Trusted Devicesの設定はそもそも意味を持たないので、有効化を検討する前にRemote Controlが自組織で使える構成かどうかを確認します。
なぜ端末単位の承認が必要になるのか
Remote Controlは、claude.ai・モバイルアプリ・別のブラウザなど、サインインさえしていればどこからでもローカルセッションに接続できる設計です。この利便性の裏返しとして、Trusted Devicesが無い状態では「サインイン済みのアカウント」だけがアクセス条件になります。アカウントのセッションが何らかの形で他人の手に渡れば、その人はサインインし直す手間なくRemote Controlの操作画面にたどり着けてしまいます。
Trusted Devicesは、この条件に「その端末で最近実際に認証したか」を上乗せします。アクセスの根拠を「サインイン済みのアカウント」から「既知の端末と直近の認証」に移す設計です。1台の端末が乗っ取られても、その被害は登録済みの端末の範囲に留まり、未登録の端末からは生体認証やパスキーによる追加の壁を越えない限り操作できません。
このため、Trusted Devicesは新しい暗号方式や通信経路を追加する機能ではありません。「誰が操作しているか」の確認をアカウント単位から端末単位に一段細かくする、アクセス制御側の強化として理解すると分かりやすくなります。
Trusted Devicesが要求する2つの条件
設定がオンのとき、Remote Controlセッションを見る・操作するには次の両方が必要になります。
| 条件 | 内容 |
|---|---|
| 登録済み端末 | 内容ブラウザ・スマホ・デスクトップアプリごとに個別の認証情報を登録(enrollment)。登録はフルサインイン直後のみ提示され、バックグラウンドで静かに追加されることはない |
| 直近のサインイン | 内容サインインから18時間以内であること。日次の再サインインの代わりに、Face ID・Touch ID・Windows Hello・パスキーで即座に再確認できる |
生体認証そのものはデバイス上のOS・ブラウザで完結し、Anthropicに指紋や顔のデータが渡ることはありません。保存されるのは端末の公開鍵と、表示名・プラットフォーム・登録日時といった基本メタデータだけです。
ステップ1: 組織でTrusted Devicesを有効化する
Ownerがclaude.ai/admin-settings/claude-codeを開き、Remote Control設定の下にある「Require trusted devices」トグルをオンにします。有効化後に新規開始されるRemote Controlセッションから適用されます。
設定はチーム・プロジェクト単位のスコープ指定ができず、組織の全メンバーに一括で適用されます。すでに動いているセッションは遡って保護されません。トグルをオンにした時点で走っているセッションは、そのセッションが終わるまで端末登録なしのまま継続します。事前にメンバーへ「次に新しいセッションを開くとき、端末登録を求められる」と周知しておくと混乱を避けられます。
ステップ2: メンバー側の初回体験を把握しておく
有効化後、メンバーがブラウザ・スマホ・デスクトップアプリでRemote Controlセッションを初めて見る・操作するときに、その端末の登録を求められます。サインインが直近でなければ、SSO(設定済みの場合)を含む通常のサインインフローを先に通してから登録を確認します。
登録は端末ごとに1回だけです。登録後の日常では、サインインが18時間を超えて古くなったタイミングでFace ID・Touch ID・Windows Hello・パスキーのいずれか1回の確認が挟まるだけで、それ以外は無音です。プラットフォーム認証機能を持たない端末では、ハードウェアセキュリティキーを使うか、都度サインインし直す形で代替します。
ターミナルでClaude Codeを実行している開発者向けの端末には、CLIサインイン時に自動で専用の認証情報が発行されます。ターミナル側に別途の登録操作はありません。
未登録の端末からはRemote Controlセッションの閲覧・操作ができなくなりますが、その端末での通常のClaude chatは影響を受けません。
ステップ3: 登録済み端末を管理する
メンバー本人はclaude.ai/settings/accountの「Trusted devices」欄から、自分が登録した端末を名前・プラットフォーム・登録日で一覧確認し、いつでも取り消せます。取り消すとその端末の認証情報は即座に失効し、あとで新たにサインインし直せば再登録できます。使われなくなった端末の認証情報は、更新されないまま一定期間が過ぎると自動的に信頼リストから外れます。
紛失・盗難端末への対応は2段階です。本人がサインインできるなら、この画面から該当端末を削除するだけで済みます。本人がサインインできない状況なら、管理コンソールの「Sign out everywhere」で該当メンバーの全セッション・全登録端末を一括失効させ、本人が復帰後に必要な端末を登録し直します。
よくあるつまずき
- 「Your organization requires Trusted Devices for Remote Control, but this device is not enrolled」と出る:
/loginを実行してサインインをやり直します。登録はサインインの一部として行われ、別途の登録コマンドはありません - 「session expired for trusted-device check」と出る: サインインから18時間を超えています。
/loginを実行するか、claude.aiやモバイルアプリのプロンプトでFace ID・Touch ID・Windows Hello・パスキーによる確認に応じます - 設定をオンにしたのに古いセッションが端末登録なしで動いている: 想定どおりの挙動です。設定は有効化後に新規開始されたセッションにのみ適用され、既存セッションは終了まで保護対象外のままです
- チームごとに適用範囲を変えたい: 現状サポートされていません。Trusted Devicesは組織の全メンバーに一括適用されるオン・オフの設定です
Remote Controlの他の管理設定との関係
Trusted DevicesはRemote Controlという機能の中の一設定です。Remote Control自体を完全に止めたいだけなら、managed settingsのdisableRemoteControlをtrueにする方法もあります。この設定はclaude remote-controlコマンド・--remote-controlフラグ・自動起動・セッション内トグルのすべてを一括で塞ぐもので、Trusted Devicesのような端末単位の絞り込みではなく機能そのもののオン・オフです。MDM経由で端末ごとに強制することもできます。
Desktopアプリ自体のオン・オフや管理コンソールでのRemote Controlトグルは、Claude Code Desktop SSOとデバイス管理ポリシーの設定で扱っている別レイヤーの管理項目です。Remote Controlそのものを止めたいのか、動かした上で端末を絞りたいのかで、触る設定が変わる点を切り分けます。
Remote Controlの利用条件そのもの(対応プラン・利用できないAPI構成)でつまずいている場合は、Remote Controlが使えない「requires the Anthropic API」の意味を先に確認します。Trusted Devicesはこれらの利用条件をすべて満たしたうえでの、追加の一段です。
よくある質問
Trusted DevicesはRemote Control自体をオフにする設定と同じですか
いいえ、別の設定です。Remote Control自体の許可・不許可は管理コンソールの別トグルで切り替えます。Trusted Devicesは、Remote Controlが許可されている前提のうえで「誰がその操作をできるか」をさらに絞る追加のレイヤーです。両方を混同すると、Remote Controlを止めたいのにTrusted Devicesだけを設定してしまう、といった行き違いが起きます。
18時間ルールは生体認証でなく再サインインでもリセットできますか
できます。Face ID・Touch ID・Windows Hello・パスキーは、フルサインインをやり直さずに即座に「直近のサインイン」を更新する近道です。手元に生体認証手段がない端末では、通常どおり /login でサインインし直すことでも同じように条件を満たせます。
Zero Data Retentionの組織でも設定できますか
できません。Zero Data Retentionのようなコンプライアンス要件を持つ組織は、Trusted Devices以前にRemote Control自体を有効化できません。Remote Controlを使える構成かどうかを先に確認します。
有効化前から動いていた既存セッションはいつまで保護対象外ですか
そのセッションが終了するまでです。Trusted Devicesは遡って適用されないため、トグルをオンにした時点で走っているRemote Controlセッションは端末登録なしのまま継続し、次にメンバーが新しいセッションを開いたタイミングで初めて登録が求められます。
端末を機種変更したら登録はどうなりますか
新しい端末では改めて登録が必要です。登録は端末ごとの認証情報にひも付くため、機種変更後はclaude.ai/settings/accountの「Trusted devices」欄で古い端末を取り消したうえで、新しい端末からサインインして登録し直します。
まとめ
Trusted Devicesは、Remote Controlの「サインインしていれば誰でも操作できる」状態を、「登録済み端末+18時間以内のサインイン」という2条件に縛るTeam・Enterprise向けの追加防御です。生体認証はデバイス側で完結しAnthropicには渡らないため、プライバシー面の負担は小さく、日常の操作感も登録後はほぼ無音です。チーム・プロジェクト単位の細かい適用範囲指定ができない点と、有効化前からの既存セッションは保護対象外になる点だけ、導入前に周知しておきます。