Claude Code Trusted Devicesで組織のRemote Controlを制限する
Trusted Devicesは、Remote Controlの閲覧・操作を登録済みデバイスと直近のサインインに限定する組織向け設定です。有効化の手順と、想定しておくべき挙動をまとめます。
Remote Controlはアカウントさえサインインしていれば、どの端末からでもローカルのセッションを覗けます。この前提を一段引き締めるのがTrusted Devicesです。組織単位で有効にすると、Remote Controlのセッションを見る・操作するために、登録済みのデバイスと直近のサインインの両方を要求します。アカウントの所有だけでなく、どの端末で・いつ認証したかまで確認するしくみです。
Trusted Devicesが変える範囲
Trusted Devicesが対象にするのはRemote Controlだけです。通常のClaudeチャット、ターミナルのClaude Code、API経由の利用には影響しません。対象範囲を絞っているぶん、有効化しても開発者の日常的なCLI操作が止まることはありません。
設定をオンにすると、Remote Controlのセッションを見たり操作したりするたびに、次の2つが同時に必要になります。
- 登録済みデバイス: 利用するブラウザー・スマホ・デスクトップアプリごとに、それぞれ独立した認証情報を登録します。登録が案内されるのはフルサインインの直後だけなので、バックグラウンドでこっそり登録が進むことはありません
- 直近のサインイン: サインインから18時間以内であることが必要です。毎日サインインし直す代わりに、Face ID・Touch ID・Windows Hello・パスキーで在席確認するだけで、その場でサインインの有効期限が延びます
生体認証そのものはデバイス上のOSやブラウザーが処理し、指紋や顔のデータがAnthropicに送られることはありません。サーバー側に保存されるのは、デバイスの公開鍵と表示名・プラットフォーム・登録日時といった最小限のメタデータだけです。しくみとしてはパスキーによるサインインと同じ土台を使っています。パスワードを何度も入力させるのではなく、端末に紐づいた鍵と生体確認の組み合わせで本人性を確かめるため、フィッシングでアカウントとパスワードを盗まれても、登録済みでない端末からはRemote Controlに入れません。
Trusted Devicesはゼロデータ保持を選んでいる組織には無関係です。ゼロデータ保持の組織はそもそもRemote Control自体を有効化できないため、その上に重ねる設定であるTrusted Devicesも出番がありません。逆に言えば、Remote Controlを使っている組織であれば、追加のインフラなしにOwnerのトグルひとつでこの設定を検討できます。
有効化の手順
Trusted Devicesを有効にできるのはOwnerだけです。TeamとEnterpriseプランで使え、既定はオフです。
- 管理画面を開く: claude.ai/admin-settings/claude-codeにアクセスします。Remote Controlの設定項目の下に「Require trusted devices」のトグルがあります
- トグルをオンにする: 適用範囲は組織の全メンバーと、トグルを入れた後に開始されたRemote Controlセッションです。すでに動いていたセッションはさかのぼって保護されず、そのセッションが終わるまでデバイス要件なしで続きます。チームやプロジェクト単位の部分適用はできません
- 事前にメンバーへ周知する: 有効化後、初めてブラウザー・スマホ・デスクトップアプリでRemote Controlセッションを開いたメンバーには、そのデバイスの登録を促す画面が出ます。前もって伝えておくと、混乱を避けられます
メンバー側の見え方
登録はデバイスごとに一度きりの手続きです。それ以降、目に見える変化はときどきの生体認証プロンプトだけです。
- 各デバイスでの初回利用: 登録を求められます。直近のサインインがなければ、SSOを含む通常のサインインフローを済ませてから登録を確定します
- 日常利用: 登録済みでサインインも新しいメンバーには、何も表示されません。サインインから18時間を超えた次のRemote Control操作で、Face ID・Touch ID・Windows Hello・パスキーのいずれか1回のプロンプトが出ます
- 未登録デバイス: そのデバイスからはRemote Controlのセッションを見ることも操作することもできません。通常のClaudeチャットは影響を受けません
- 生体認証が使えない端末: ハードウェアセキュリティキーを使うか、サインインをやり直します
- ターミナル: CLIを動かすマシンは、開発者がサインインした時点で自動的に自分専用の認証情報を受け取ります。ターミナル側に個別の登録操作はありません
登録済みデバイスの管理
メンバーは自分の登録済みデバイスを、claude.ai/settings/accountの「Trusted devices」セクションからいつでも確認・取り消しできます。表示されるのはデバイス名・プラットフォーム・登録日です。デバイスを削除するとその認証情報は即座に無効化され、再度フルサインインすれば登録し直せます。使われないまま放置されたデバイスの認証情報は、更新されなければ自動的に失効します。
端末を紛失した場合は、このページから本人が削除するのが基本です。サインインできない状態であれば、管理者が管理画面の「Sign out everywhere」でそのメンバーの全セッションと登録済みデバイスを一括で失効できます。その後、メンバーは手元に残っている端末を改めて登録し直します。
導入前に知っておきたい制約
Trusted Devicesはベータ段階の機能で、いくつか運用上の制約があります。
- さかのぼって保護されない: トグルを入れた時点で動いていたRemote Controlセッションは、終了するまでデバイス要件の対象外です。導入初日から全セッションを守りたい場合は、周知に合わせて既存セッションを一度終了させる運用が必要です
- 部分適用ができない: チーム単位・プロジェクト単位でオンオフを分けることはできません。組織全体で一律の適用になります
- 未登録デバイスからのエラー: 該当するデバイスでRemote Controlを開こうとすると「Your organization requires Trusted Devices for Remote Control, but this device is not enrolled」と表示されます。対処は
claudeまたは該当アプリで/loginをやり直すだけで、登録はサインインの一部として自動的に進みます - サインイン期限切れのエラー: 「session expired for trusted-device check」が出た場合は、サインインから18時間を超えています。
/loginをやり直すか、求められた生体認証で在席確認します
よくある質問
SSOを導入済みの組織でもTrusted Devicesは必要ですか
SSOとTrusted Devicesは役割が異なります。SSOは「誰としてサインインするか」を組織のIDプロバイダーに委ねる仕組みで、Trusted Devicesは「サインインした後、その端末でRemote Controlの操作を許すか」を追加で確認する仕組みです。SSO導入済みの組織でも、初回登録時のサインインがSSO経由になるだけで、デバイス登録と18時間ごとの生体認証は別に必要です。
同じ人がブラウザーとスマホの両方を使う場合、登録は1回で済みますか
済みません。登録はデバイス単位です。ブラウザー・スマホアプリ・デスクトップアプリのそれぞれで、初回利用時に個別の登録が必要になります。1人が3台使えば3件の登録がaccount settingsのTrusted devicesセクションに並びます。
Trusted Devicesを有効にすると、Remote Control自体の設定は変わりますか
変わりません。Remote ControlのオンオフやdisableRemoteControlによるデバイス単位の無効化は、Trusted Devicesとは独立した設定です。Trusted Devicesは、すでに有効なRemote Controlに対して閲覧・操作の条件をひとつ追加するだけの機能です。
まとめ
Trusted Devicesは、Remote Controlの閲覧・操作を「登録済みデバイス」と「18時間以内のサインイン」の両方に縛る、Team・Enterprise向けの組織設定です。対象はRemote Controlに限られ、通常のチャットやターミナル操作、API利用は影響を受けません。生体認証はデバイス上で完結し、Anthropicが受け取るのは公開鍵と最小限のメタデータだけです。
有効化はOwnerが管理画面のトグルひとつで完結しますが、適用は有効化後に始まったセッションからで、さかのぼりません。チーム単位の部分適用もできないため、社内で導入する際は既存のRemote Controlセッションの扱いと周知のタイミングをあわせて決めておくと混乱を避けられます。端末の紛失時は、本人によるデバイス削除か、管理者の「Sign out everywhere」で対応します。
Remote Controlそのものの使い方はClaude Code Remote Controlで作業を別デバイスに引き継ぐ、Claude Codeのセキュリティ設計全体はClaude Codeセキュリティ・権限ガイドにまとめています。