チームのルールを設定で強制する

しくみ

Claude Code の設定ファイル（settings.json）には、Claude に「何をさせないか」「何を確認させるか」を書けます。公式ドキュメントでは、次の3種類のルールが説明されています。

ルールは「禁止 → 確認 → 許可」の順に調べられ、禁止のルールは、許可のルールで打ち消せません（公式ドキュメントより）。

設定ファイルの例

ひな形の .claude/settings.json は次のとおりです。

{
  "$schema": "https://json.schemastore.org/claude-code-settings.json",
  "permissions": {
    "defaultMode": "default",
    "deny": [
      "Edit(./input/**)",
      "Edit(./logs/**)",
      "Read(./confidential/**)",
      "Read(./.env)",
      "Read(./.env.*)"
    ],
    "ask": [
      "Bash",
      "PowerShell"
    ],
    "disableBypassPermissionsMode": "disable"
  }
}

** は「その中のすべてのファイルとフォルダ」という意味です。なお、Edit(./input/**) のような禁止のルールは、作業用フォルダの直下だけでなく、その下のどこにある「input」という名前のフォルダにも当てはまります（公式ドキュメントより）。別の用途で「input」という名前のフォルダを作らないようにしてください。

設定ファイルを置く場所と、優先順位

設定ファイルは、置く場所によって効く範囲が変わります。公式ドキュメントでは、次の順に優先されるとされています（上ほど強い）。

禁止のルールなどの「一覧」の項目は、上書きではなく足し合わされます（公式ドキュメントより）。管理者向けの設定に書いた項目は、利用者の設定では変えられません。

組織全体に強制する（オーナー向け）

チームプランでは、組織のオーナーが、Claude.ai の組織の設定の「Claude Code」→「Managed settings」から、全員の Claude Code に設定を配れます（公式ドキュメントでは「Server-managed settings」）。利用者の Claude Code は、起動したときや、1時間ごとの確認のときに、この設定を取り込みます。

管理者向けの設定の例（公式ドキュメントの例をもとに、経理向けに変えたもの）：

{
  "permissions": {
    "deny": ["Read(./confidential/**)", "Read(./.env)", "Read(./.env.*)"],
    "disableBypassPermissionsMode": "disable"
  }
}

組織全体に配る設定は、全員の作業に影響します。まず数人の練習用のフォルダで試し、問題がないことを確かめてから配ってください。