Claude組織のモデルアクセス制限とロール別の利用範囲設定
Enterpriseプランで、モデルの利用可否とエフォート上限を組織全体とカスタムロールで絞る手順と、複数ロール所属時の合算、製品ごとの対応、メンバーが選べないときの切り分けを扱います。
Claude組織のモデルアクセス制限で何を絞れるか
モデルアクセス制限は、メンバーが使えるClaudeモデルと、モデルごとに選べるエフォートレベル(思考量)の上限を管理者が決める機能です。Enterpriseプラン限定の機能です。管理できるのは、Primary Owner・Ownerと、カスタムロールで「Identity & Access」権限を持つメンバーです。画面は「Organization settings > Models」です。会話の開始モデルを決める組織のデフォルトモデル設定とは別の軸で、こちらは「そもそも使えるモデルの絞り込み」です。
組織レベルとカスタムロールレベル
組織レベル
モデルごとに有効・無効を切り替えます。無効にしたモデルは、Owner・Adminを含む全メンバーから消えます。有効なモデルには、全メンバーに効くエフォート上限も置けます。
カスタムロールレベル
組織で有効なモデルのうち、そのロールに許可するものを選びます。エフォート上限も、組織の上限以下で設定できます。効くのはロールが「Custom」のメンバーだけです。
初期状態では両階層とも全モデルが有効で、エフォートは各モデルの最高レベルです。調整するまでメンバーの環境は何も変わりません。
User・Admin・Ownerロールのメンバーには、ロール単位の設定が効きません。組織レベルで有効な全モデルを、組織のエフォート上限まで使えます。
設定は「組織で天井、ロールで調整」の順に進める
ロール側の画面は、組織側で有効にしたモデルしか選べません。上から順に進めると、保存時に引っかかりにくくなります。
設定の順番
- 1
組織でモデルを有効・無効にする
「Organization settings > Models」を開き、「Model access」で対象モデルを探します。有効にするならトグルをオンにして、アクセスさせるロールをドロップダウンで選びます。無効にするなら、先にロールの選択を解除してからトグルをオフにし、「Save」を押します。
無効にするモデルをデフォルトにしているカスタムロールがあると、保存前にそのロールのデフォルトを変えるよう求められます。
- 2
組織のエフォート上限を決める
同じ「Model access」で、モデルごとのエフォートレベルのドロップダウンから最大レベルを選び、「Save」を押します。この上限は全メンバーに効きます。
組織の上限より高い上限を持つロールは、その上限が新しい組織の上限まで自動で下がります。
上限を現在のデフォルトエフォートより低くすると、デフォルトエフォートも上限に合わせて下がります。メンバーに適用される上限よりデフォルトエフォートが高い場合、その会話は本人に許されている最高レベルで始まります。
- 3
ロールにモデルを許可する
「Organization settings > Roles」で対象ロールをクリックします(新規なら「Add role」)。「Models」タブの「Model access」でモデルを個別にオン・オフし、「Save」を押します。組織で無効なモデルは表示されますが、有効にできません。
ロールのデフォルトモデルに選べるのは、そのロールが許可されたモデルだけです。
- 4
ロールのエフォート上限を決める
同じ「Models」タブで、モデルの横の歯車アイコンから上限レベルを選び、「Save」を押します。ロールのメンバーのモデルメニューには、この上限以下のレベルだけが並びます。
エフォートレベルは、応答1件にかける計算量の設定です。上のレベルほど丁寧になる代わりに、使用量を多く消費します。選べるレベルの種類はモデルごとに違い、エフォート設定に対応しないモデルもあります。カスタムロールの作成とグループへの紐付けは、Claude CoworkのRBAC運用にあります。
制限をかけた瞬間、メンバーの画面で何が起きるか
対応製品では、モデルピッカーにはメンバーがアクセスできるモデルだけが出ます。上限を超えるエフォートレベルも、エフォートメニューに出ません。
運用中に設定を変えたときのメンバー側の挙動は、次のとおりです。
- 使用中のモデルを無効にすると、その会話は次にメンバーが開いたとき、本人のデフォルトモデルに切り替わります
- 設定の変更中にメッセージを送ると、モデルが使えないというエラーが出て、切り替えを促されます
- メンバーが上限より高いエフォートを選んでいるときは、次のメッセージから新しい上限が使われます
Claude Codeでは、制限されたモデルが/modelピッカーから消えます。--model、環境変数ANTHROPIC_MODEL、model設定のいずれかで名前を指定して選んだ場合は、次の通知が出ます。
Model "<name>" is restricted by your organization's settings. Using <model> instead.この通知のあと、代わりのモデルで動きます。アクセスの変更は新しいリクエストに約1分で効き、/modelピッカーへの反映は次にセッションを始めたときです。
セッション中に/model <名前>と直接打った場合は、別の文言で拒否されます。
Model '<name>' is restricted by your organization's settings. Run /model to choose a different model.このときセッションは元のモデルのままです。
opusのようなファミリー別名は、組織が最新のOpusを制限していると、同じファミリーで許可されている最新バージョンに置き換わり、同じ通知が出ます。/model <別名>が拒否されるのは、そのファミリーの全バージョンが制限されているときだけです。v2.1.205より前は、別名の判定が最新バージョンだけで決まり、古いバージョンが許可されていても置き換えや拒否になりました。
Claude Codeでは、組織デフォルトのモデルが、そのメンバーに対して組織の制限で拒否されるモデルだった場合も、同じファミリーで使える最新のモデルに置き換わります。ファミリーのすべてのバージョンが制限されているときは、より低コストのファミリーに落ちます。
Enterpriseの座席料金や従量課金の全体像は、Claude Enterpriseとはにあります。
複数のカスタムロールに入っているメンバーはどうなるか
複数のグループにそれぞれ別のカスタムロールが付いている場合、モデル設定は他のロール権限と同じ考え方で合算されます。
合算の2ルール
モデルは加算
どれか1つのロールが許可したモデルは使えます。ただし、組織で有効なモデルに限ります。
エフォートは最高の上限を採用
モデルごとに、所属ロールの中で最も高い上限が使えます。組織の上限は超えません。
デフォルトモデルは別の決まり方をします。複数ロールが別々のデフォルトを持つと、モデルファミリー(Haiku・Sonnet・Opus)、次にリリース日の順で、より高性能なモデルが選ばれます。詳しくはデフォルトモデル設定の記事にあります。
どの製品でモデルアクセス制限が効くか
対応状況は製品ごとに違います。
| 製品 | モデルアクセス制限 |
|---|---|
| Chat(web・デスクトップ・モバイル) | モデルアクセス制限対応 |
| Claude Cowork | モデルアクセス制限対応 |
| Claude Code(CLI・remote・デスクトップ) | モデルアクセス制限対応(CLIは2.1.199以降) |
| Claude for Microsoft 365 | モデルアクセス制限対応 |
| Claude Tag | モデルアクセス制限対応 |
| Claude Design | モデルアクセス制限対応 |
| Claude in Chrome | モデルアクセス制限未対応(Not yet supported) |
| Claude Security | モデルアクセス制限未対応(Not yet supported) |
製品ごとに扱えるモデルが違うため、組織で有効にしたモデルでも、その製品が扱わないモデルは出ません。Claude Securityの検知対象や料金はClaude Securityとはにまとめています。
Claude Codeでは、組織の制限が届く経路にも限りがあります。制限はClaude Codeが認証するときにアカウントの権限情報と一緒に届き、セッション作成時にはサーバー側でも同じ制限が別に強制されます。届くのはAnthropic APIとLLMゲートウェイ経由のセッションだけで、それ以外のプロバイダーでは代わりにavailableModelsを使います。Claude Consoleにはモデル制限の設定がないため、Enterprise以外の組織は、managed settingsのavailableModelsで制限します。APIで認証するメンバーも同じです。デフォルトのオプションまで覆うにはenforceAvailableModelsを足します。組織サービスキーのような組織単位の認証情報はユーザーに紐付かないため、制限の対象になりません。
Claude Codeのmanaged-settings.jsonと重ねるとどうなるか
Claude Codeをmanaged-settings.jsonでも統制する組織では、両方が同時に効きます。availableModelsとモデルアクセス制限の関係はこうです。CLIとIDEのメンバーに見えるのは、availableModelsに含まれ、かつモデルアクセス制限でも有効なモデルだけです。どちらかが外したモデルは使えません。
デフォルトモデルの扱いは、これと違います。
| 設定 | managed-settings.jsonとの関係 |
|---|---|
| モデルアクセス制限 | managed-settings.jsonとの関係availableModelsとの積集合になる |
| 組織のデフォルトモデル | managed-settings.jsonとの関係managed-settings.jsonのmodelが優先され、組織画面のデフォルトは無視される |
デフォルトモデルがavailableModelsに入っていない場合、CLIはavailableModelsを迂回してそのデフォルトで起動します。enforceAvailableModelsを設定したときは、この迂回が起きません。組織デフォルトが許可リストの外にある場合も、許可リストの最初のエントリに置き換わります。
enforceAvailableModels: trueは、managed settingsで空でないavailableModelsと一緒に置きます。必要なのはClaude Code v2.1.175以降です。availableModels: []のときは名前指定のモデル選択がすべて止まり、enforceAvailableModelsは何も変えません。
managed-settings.jsonによるモデル制御は、Claude Code CLIとIDEにだけ効き、Claude Code on webやデスクトップには及びません。全利用形態で挙動を揃えるなら、モデルアクセス制限だけで管理する構成になります。配信経路を含む管理者設定の全体像はClaude Code組織管理ガイドにあります。
メンバーから「モデルが選べない」と言われたときの切り分け
| 症状 | 確認すること |
|---|---|
| 特定モデルがピッカーに出ない | 確認すること組織で無効か、所属ロールが許可していないか。ロールが「Custom」でなければロール設定は無関係 |
| 組織で有効なのに、ある製品にだけ出ない | 確認することその製品がそのモデルに対応しているか |
| Claude Codeでだけ出ない | 確認することavailableModelsに含まれているか |
| エフォートの上位レベルが出ない | 確認すること組織の上限、所属ロールの上限、モデル自体のエフォート対応 |
| ピッカーに出るのに送信すると拒否される | 確認することCLIが2.1.199より前でないか |
opusと打ったのに古いOpusで動く | 確認すること最新のOpusが組織で制限され、同じファミリーで許可された最新版に置き換わっていないか |
/model <名前>が「restricted by your organization's settings」で拒否される | 確認することそのモデルが組織またはロールで無効か。セッションは元のモデルのまま |
バージョン差のつまずきは、「ピッカーに出るのに拒否される」行です。2.1.199より前のCLIは、無効なモデルやエフォートレベルをピッカーに出し続けたままリクエストを拒否し、組織デフォルトも反映しません。「選べるのに使えない」状態になるので、CLIの更新を案内します。
公式ページ同士で対応版の書き方が違います。Claude Codeのモデル設定ページは、組織のモデル制限をv2.1.187以降、組織デフォルトをv2.1.196以降としています。管理者向けのヘルプ記事は、CLI 2.1.199以降を対応版としています。制限そのものはv2.1.187から届き、ピッカー表示と組織デフォルトが揃うのは2.1.199です。さらに2.1.196から2.1.198には、特定のモデルを組織デフォルトにすると、他の有効なモデルがCLIとVS Code拡張のピッカーから消えるバグがありました。Claude Code v2.1.187の解説には、組織のモデル制限が/modelや--modelにも効くようになった経緯があります。
まとめ
組織の上限を先に決めてからロールを作ると、ロールの上限が自動で下がる事態を避けられます。Claude Codeをmanaged-settings.jsonでも統制している組織では、効くのは両方の積なので、availableModelsとの突き合わせが要ります。