Claude Code Trusted Devices(信頼済みデバイス)とパスキーの扱い方
Trusted Devices(信頼済みデバイス)は、Remote Controlの閲覧・操作を登録済みデバイスと18時間以内のサインインに限る設定です。パスキーの役割、有効化、エラーの切り分けを扱います。
Remote Controlはアカウントにサインインしていれば、どの端末からでもローカルのセッションを覗けます。Trusted Devices(信頼済みデバイス)は、この前提に登録済みデバイスと直近のサインインという条件を足す設定です。パスキーは、サインインから18時間を過ぎたときの在席確認に使えます。
設定そのものの説明はRemote Control Trusted Devicesとはにあります。この記事は、組織の管理者がオンにする前後の段取りと、導入後にメンバーから届くエラーの切り分けを扱います。
有効にすると何が止まり、何が止まらないか
対象はRemote Controlだけです。通常のClaudeチャット、ターミナルのClaude Code、API経由の利用は影響を受けません。
要求される条件は、登録済みのデバイスと、18時間以内のサインインの2つです。18時間を過ぎた後の扱いは、次の節で説明します。
有効化の主体はプランで変わります。ベータ機能で、Pro・Max・Team・Enterpriseで使え、既定はオフです。
| プラン | 誰がオンにするか | オンにする場所 |
|---|---|---|
| Team・Enterprise | 誰がオンにするかOwner | オンにする場所管理画面のCapabilities |
| Pro・Max | 誰がオンにするか本人 | オンにする場所CoworkまたはAccountページの設定 |
パスキーは何に使われるのか
パスキーは、サインインから18時間を過ぎたときに、再サインインの代わりに本人確認をする手段です。導入前にメンバー側で準備することはありません。デバイスの登録は、/loginなどのフルサインインの途中で行われます。
Face ID・Touch ID・Windows Hello・パスキーのどれかで本人確認をすると、再サインインなしで期限が延びます。仕組みはパスキーでのサインインと同じで、確認はOSやブラウザー側で完結します。Anthropic側に保存されるのは、デバイスの公開鍵と表示名・プラットフォーム・登録日時だけです。
生体認証を使えない端末では、ハードウェアセキュリティキーか再サインインで代えます。
有効化から周知までの流れ
Team・Enterpriseの手順です。トグルは1つですが、その前後に決めておくことがあります。
Owner が行う 3 ステップ
- 1
管理画面を開く
claude.ai/admin-settings/capabilitiesを開き、「Organization settings > Capabilities > Remote sessions」の節にある「Require trusted devices」を探します。
- 2
トグルをオンにする
適用対象は組織の全メンバーと、オンにした後に始まったセッションです。動いていたセッションは終了するまでデバイス要件なしで続きます。チームやプロジェクト単位の部分適用はできません。
- 3
メンバーに前もって伝える
有効化後、初めてRemote Controlを開いたデバイスで登録を促す画面が出ます。事前に知らせておくと混乱が減ります。
さかのぼって保護されない点は、運用に効きます。導入初日から全セッションを対象にしたいなら、周知のタイミングで長く動いているRemote Controlセッションを一度終わらせてもらう手順が要ります。
Remote Control自体のオンオフは別の場所です。claude.ai/admin-settings/claude-codeの「Remote Control」トグルで、組織全体のサーバー側設定にあたります。Team・EnterpriseではRemote Controlが既定でオフなので、Trusted Devicesを有効にする前に、こちらがオンになっているかを見ます。
端末単位で完全に止めたい場合は、disableRemoteControlを管理設定で使います。Trusted Devicesはすでに有効なRemote Controlに、閲覧・操作の条件を1つ足すだけです。
ゼロデータ保持のようなコンプライアンス要件がある組織は、そもそもRemote Controlを有効にできません。Trusted Devicesもその上に重なる設定なので、対象外になります。
導入後に届く問い合わせを、メッセージ別に切り分ける
Trusted Devicesの導入後に出やすいメッセージと原因は、次のとおりです。
| 画面のメッセージ | 原因 | 対処 |
|---|---|---|
| Your organization requires Trusted Devices for Remote Control, but this device is not enrolled | 原因その端末が未登録 | 対処claude で/loginをやり直す。登録はサインインの一部で、専用コマンドは無い |
| session expired for trusted-device check | 原因サインインから18時間超 | 対処/loginをやり直すか、求められた生体認証で在席確認 |
| Remote Control requires feature-flag evaluation | 原因機能フラグの評価を止める環境変数が設定されている | 対処メッセージが名指しする変数を確認して外す |
disableRemoteControl を含むメッセージ | 原因管理者が管理設定でRemote Controlを無効化 | 対処Trusted Devicesとは別の設定。IT管理者に確認する |
前の2つはTrusted Devices固有のエラーです。後の2つは、導入と同じ時期に別の原因で起きやすいものです。前の2つでなければ、次の各節の順に見ていきます。
テレメトリ無効化の環境変数が原因のとき
3行目のメッセージは、変数によって扱いが変わります。DISABLE_TELEMETRYかDO_NOT_TRACKだけを設定している場合、Remote Controlは通常なら使えます。ただし組織がTrusted Devicesを必須にしていると使えなくなります。この動作は、Claude Codeがv2.1.283以降である場合の話です。v2.1.154からv2.1.282までは、これらの変数だけで同じメッセージが出て使えませんでした。
一方、CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFICとDISABLE_GROWTHBOOKは、Trusted Devicesの有無にかかわらずRemote Controlを使えなくします。企業でプライバシー設定として一括配布している変数の中に、この2種類が入っていないかを導入前に確認しておくと安全です。
v2.1.153以前では、同じ設定が「Remote Control is not yet enabled for your account」というメッセージになります。文言が違うだけで、原因は同じ変数です。
テレメトリ変数の挙動が手元のバージョンに当てはまるかは、次のコマンドで確認できます。
claude --version筆者の環境ではv2.1.285と表示されたため、v2.1.283以降の挙動が適用される側です。v2.1.282以前が残っているマシンは、更新してから再確認します。
「disabled by your organization's policy」の4つの原因
Remote Controlをポリシーが止めているときのメッセージ「Remote Control is disabled by your organization's policy」は、Trusted Devicesの導入と重なって届きやすい問い合わせです。原因は次の順に確認します。
- メッセージに
disableRemoteControlが含まれる: IT管理者が管理設定で、その端末のRemote Controlを無効にしています。組織全体のトグルやサインインの仕方には関係しません - プランがPro・Maxなのに、以前のTeam・Enterprise組織でサインインしたまま: 古いログインの組織のポリシーが見られています。
/statusでプランと組織を確認し、claude auth logoutのあとclaude auth loginで入り直します - メッセージに「組織管理者に連絡」の案内が無い: 組織のHIPAA構成がRemote Controlと両立しない状態です。
/statusのCompliance行にHIPAAと出ます。管理画面のRemote Controlトグルはグレーアウトし、Ownerでも切り替えられないため、Anthropicのサポートへの相談になります - 上のどれでもない: OwnerがRemote Controlを組織で有効にしていません。前節で触れた「Remote Control」トグルが対象です
Trusted Devicesのトグルを触っても、この4つは解消しません。問い合わせを受けたら、まずメッセージ文言で4つのどれかに振り分けると、切り分けが早まります。
「Couldn't verify your organization's policy for remote control」が出るとき
このメッセージは、組織のポリシーを取得できず、手元にも保存されたコピーが無いときに出ます。確認が取れるまでRemote Controlはオフのままです。オフラインで起動した、VPNがつながる前に起動した、プロキシが取得を妨げている、といった場面が典型です。回線が遅いと、最初のリクエストが終わる前に出ることもあります。
出方は2通りあります。/remote-control・claude remote-control・claude --remote-controlからは「Check your network connection and try again」と促されます。セッション開始時の自動接続では、通知に「Remote Control failed」、会話に「Remote Control disconnected」が付き、そのセッションはRemote Controlがオフのまま進みます。
対処は、ネットワークを戻して/remote-controlか元のコマンドをもう一度実行することです。試すたびにポリシーを取り直すので、Claude Codeを再起動する必要はありません。それでも出るなら、claude doctorのOrganization policy行を読みます。ポリシーが読み込めなかった理由が、そこに出ます。
v2.1.281より前は、この状態が「disabled by your organization's policy」と表示されていました。古いバージョンが残るマシンでは、先の4つの原因を疑う前に、ポリシー取得の失敗を疑う価値があります。
登録用のコマンドを探されたとき
未登録のエラーが出たメンバーは、登録用のコマンドを探しがちです。v2.1.285のclaude remote-control --helpを実際に見ても、オプションは--name・--continue・--session-id・--permission-mode・--chrome・--debug・--verboseといったセッション用のものだけで、デバイス登録に関するものは並びません。登録の入口は/loginだけです。どの適格性チェックで落ちているかはclaude doctorで確認できます。
メンバー側で起きること
登録はデバイスごとに1回で、あとに目に見える変化はときどきの生体認証だけです。未登録のデバイスからはRemote Controlのセッションを見ることも操作することもできませんが、通常のチャットは使えます。画面の流れはTrusted Devicesの解説記事にあります。
管理者として押さえておく点はターミナルです。CLIを動かすマシンは、開発者がサインインした時点で自分専用の認証情報を自動で受け取ります。ターミナル側の個別登録はありません。
同じ人がブラウザーとスマホの両方を使うなら、登録は台数分です。3台なら、次に説明するTrusted devicesの一覧に3件並びます。
端末の確認・取り消しと紛失時の動き
メンバーは自分の登録済みデバイスを、claude.ai/settings/accountの「Trusted devices」から確認・取り消しできます。表示されるのはデバイス名・プラットフォーム・登録日です。削除すると認証情報はすぐ無効になり、再度フルサインインすれば登録し直せます。更新されないまま放置された端末の認証情報は、自動的に失効します。
紛失の場面は、本人がサインインできるかどうかで分かれます。
端末を失くしたときの対応
本人がサインインできる
上のページから、その端末を削除します。ほかの端末の登録には手を付けません。
サインインできない
管理画面の「Sign out everywhere」で、そのメンバーの全セッションと登録済みデバイスを失効させます。メンバーは、手元に残る端末を登録し直します。
導入を決める前に確認しておくこと
SSOを入れている組織でも、Trusted Devicesは別に必要です。SSOは初回登録時のサインインを担うだけで、デバイス登録と18時間ごとの在席確認は省かれません。
導入前に確認しておきたいのは、次の2点です。
- Remote Controlをすでに全社で使っている: 周知と既存セッションの終了を段取りに入れて有効化できます
- テレメトリ無効化の環境変数を配っている: 有効化と同時にRemote Controlが止まる開発者が出るので、変数の配布状況を先に洗います
なお、初めてclaude remote-controlを起動するディレクトリでは、信頼するかを問うプロンプト(Trust <directory>? [y/N])が先に出ます。ホームディレクトリでは信頼が保存されず、実行のたびに聞かれます。これはTrusted Devicesとは別のワークスペース信頼の確認です。
Remote Controlの使い方そのものはClaude Code Remote Controlで作業を別デバイスに引き継ぐ、Claude Codeのセキュリティ設計全体はClaude Codeセキュリティ・権限ガイドにまとめています。