Coworkの有効化とクラウド実行は別トグル — Team/Enterpriseで既定が逆になる理由

Organization settings > Coworkには見た目が似た2つのトグルがあります。「Enable for your organization」はCoworkそのものを使えるかどうかを決めます。「Run Cowork in the cloud」はセッションをクラウドで動かせるかどうかを決めます。この2つは独立した設定で、Team/Enterpriseプランでは既定値が逆になります。管理者がどちらか一方だけ変更したつもりで、もう一方の挙動を見落とすミスが起きやすいポイントです。

2つのトグルは何を制御しているか

公式サポート記事によると、このトグルはCoworkそのものが使えるかどうかを制御するものであり、セッションをクラウドで実行できるかどうかは別の制御になっています。

Coworkは既定でオンになっていて、組織のオーナーが手動で無効化できます。この設定は組織全体に効く単一のスイッチで、有効・無効のどちらかしかありません。Enterpriseプランではグループとカスタムロールを使い、特定のチームだけにCoworkを有効化するような粒度の細かい制御もできます。Teamプランにはこの仕組みがなく、オン・オフの二択のままです。

クラウドで実行するとは具体的に何が変わるか

Coworkのセッションは既定でクラウド実行になっていて、ローカル実行は既存のデスクトップ配備向けに残る形です。クラウド実行は、メンバーが自分のマシンではなくAnthropicのインフラ上でタスクを走らせる方式です。この方式だと、デスクトップ・Web・モバイルをまたいで作業が継続し、ノートPCを閉じてもスケジュールされたタスクがそのまま実行されます。デバイスがどれもオンラインでない状態でも動き続けます。もう1つはローカル実行で、Claudeのエージェントループは利用者の端末上でネイティブに動き、シェルとコード実行だけが隔離された仮想マシンの中で走ります。

Web版とモバイル版のCoworkセッションは、この区別に関係なく常にAnthropicのクラウドで動きます。「Run Cowork in the cloud」トグルが対象にしているのは、デスクトップアプリからのセッションです。

なぜTeamとEnterpriseで既定値が逆なのか

Teamプランはクラウド実行が既定でオンになっていて、オーナーはいつでも「Run Cowork in the cloud」トグルからオフにできます。追加の設定操作なしですぐに使い始められるため、導入のハードルは低くなります。

Enterpriseプランは既定でオフです。有効にするには2段階の操作が必要です。オーナーがまず「Run Cowork in the cloud」をオンにし、次にカスタムロールを使って特定のグループへ「Cowork in the cloudの権限」を付与します。この2段階構成により、規制業種や大規模組織でも段階的なロールアウトとアクセス範囲の絞り込みがしやすくなっていると考えられます。

同じ設定パネルにある他のトグルとの違い

Organization settings > Coworkには、この2つ以外にもいくつかのトグルがあり、それぞれ別の対象を制御します。

• 組み込みブラウザーの有効/無効: Claude Desktopアプリに内蔵されたブラウザーをCoworkから使えるかどうかの設定です。Teamプランでは既定でオン、Enterpriseプランではローンチ時点で既定オフのまま2026年9月10日から既定オンに切り替わります(オフに設定していれば据え置き)
• Automatically approveモードの許可: メンバーがCowork内で自動承認モードを使えるかどうかの設定で、既定はオンです。モードそのものの挙動はCowork自動承認モードとはで扱っています
• コネクタツールの常時許可: 書き込み可能なコネクタツールについて、タスクごとの承認をスキップできるかどうかの設定です。既定はオフで、この設定と組織のツールポリシー、Enterpriseのカスタムロールの間では最も制限の強いものが優先されます。コネクタの権限設計全体はClaude CoworkのConnectors一覧にまとめています

これらはいずれも「Coworkを使えるかどうか」や「クラウドで実行できるかどうか」とは別軸の設定です。同じパネルに並んでいるため、意図した設定だけを変えたつもりが、隣接するトグルの既定値を見落とすことがあります。

アクセス制御はどこまで細かくできるか

Coworkのトグル自体は組織全体に効く設定で、メンバー全員が使えるか誰も使えないかのどちらかです。Enterpriseプランでチームごとに範囲を絞りたい場合は、グループとカスタムロールを使います。個別にCoworkを有効化するか、「Cowork in the cloud」の権限を特定のユーザーやチームに付与する形です。Teamプランにはこの仕組みが無く、全員一括のオン・オフのままです。

プラグインについては、Cowork自体の管理者トグルと同じ権限で制御されていて、Cowork内でのプラグインアクセスを個別に管理する専用設定はありません。プラグインごとのインストール方針(自動インストール・カタログでの自己選択・非表示など)は別途「Manage plugins for your organization」から設定できます。Enterpriseプランではグループ単位で上書きもできます。

「クラウドで実行」を有効にすると増える組織設定

「Run Cowork in the cloud」をオンにすると、それに紐づく形でクラウド実行専用の組織設定が追加で使えるようになります。ローカルのデスクトップCoworkはそのまま残しつつ、クラウドで動くセッションだけを個別に制御する設定です。

• 信頼済みデバイスの登録と直近サインインの要求: クラウドで実行するセッションには、信頼済みデバイスとしての登録と、直近のサインインを必須にできます。有効にすると、組織内のクラウド実行セッションすべてに一律で適用されます
• 常時許可(persistent "always allow")の無効化: 権限が絡むツール呼び出しについて、毎回の承認を必須にするか、承認プロンプトなしでメンバーがセッションを走らせられるようにするかを選べます

いずれもクラウド実行だけを対象にした設定で、ローカルセッションの挙動やCowork自体の有効/無効には影響しません。信頼済みデバイスの要求と常時許可の無効化を両方オンにすると、クラウド実行の間口は広げつつ、個々の操作は都度確認させるという運用にできます。

ネットワークのアクセス範囲は実行場所で変わらない

Coworkは、組織の既存のネットワークegress(送信)許可設定に従います。この設定はOrganization settings > Capabilitiesの「Code execution」にあり、Coworkを有効化する前に確認しておく設定です。egressの設定は新しいCoworkセッションが作られたタイミングで適用されます。会話がすでに始まったあとにegressモードを変更したり、許可リストにドメインを追加したりしても、その変更は動いている会話には反映されません。設定を反映させるには新しい会話を始める必要があります。この挙動は「クラウドで実行するか、ローカルで実行するか」のどちらを選んでも変わりません。

重要な例外があります。ネットワークegressの許可設定は、web fetchやweb search、Claude in Chromeを含むMCPには適用されません。web fetchはサーバー側で動作し、検索結果とすでに共有されたURLに限定されます。web検索をCoworkとChatで無効にしたい場合は、Organization settings > Capabilitiesから、Claude in ChromeについてはOrganization settings > Claude in Chromeから個別に止められます。egressの許可リストを絞ってもこれらの経路は塞がれません。

後から取れる記録は実行場所で変わる

Team/Enterpriseのオーナーは、Coworkのイベントを自組織のSIEMや監視ツールへOpenTelemetry経由でストリーミングできます。ツール呼び出し、ファイルアクセス、人間による承認判断などがセキュリティチームから可視化されますが、これはコンプライアンス目的の監査ログの代替にはなりません。

Claude、Claude Desktop、Claude MobileのいずれからのCowork利用も、Compliance APIの記録対象です。クラウドで実行したリモートセッションの内容は、Compliance API経由でそのまま取得できます。一方でローカルセッションの会話履歴は利用者の端末に保存され、Anthropicの標準的なデータ保持ポリシーの対象外です。Enterpriseの管理者はCompliance API経由でこのローカルセッションの内容を取得できますが、そこから削除するためのエンドポイントはまだ用意されていません。管理者が一括でエクスポートしたり削除したりする手段も、現時点ではありません。つまり監視・監査の仕組みは両方のトグルの状態にかかわらず一律に用意されているわけではなく、「どこで実行されたセッションか」によって、後から取れる記録の範囲が変わります。データの保存場所や保持期間の全体像はCoworkセキュリティ — データはどこに置かれ誰が触れるかで扱っています。

つまずきやすい点

Coworkを有効化したのにクラウドで実行されない、というのはEnterpriseプランで起きやすい混同です。「Enable for your organization」をオンにしただけでは、クラウドでの実行は許可されません。「Run Cowork in the cloud」を別途オンにしたうえで、カスタムロールで対象グループに権限を付与する必要があります。

Teamプランでチームごとに制限したい

Teamプランにはグループ・カスタムロールの仕組みが無いため、部門単位でCoworkのオン・オフを分けることはできません。この粒度の制御が必要な場合はEnterpriseプランへの移行が前提になります。

ローカルセッションのデータが見当たらない

ローカル実行のセッションは会話履歴が利用者の端末にローカル保存され、Anthropicの標準的なデータ保持ポリシーの対象外になっています。この場合の記録の取得可否は前節のとおりです。

まとめ

Organization settings > Coworkの「Enable for your organization」と「Run Cowork in the cloud」は、名前も見た目も似ていますが制御する対象が違います。前者はCowork自体の利用可否、後者はセッションの実行場所です。Teamはオーナーがオフにしない限りオン、Enterpriseはオーナーが明示的にオンにしない限りオフという、逆向きの既定値になっています。この点を導入時に確認しておくと、意図しない挙動に振り回されずに済みます。組織全体のセットアップやプラン比較はClaude Cowork(クロードコワーク)とは、ロール・権限の設計全体はClaude CoworkのRBAC運用を参考にしてください。