Claude Code官方文档企业部署管理员组织

Claude Code 组织部署指南 - 管理员配置、权限管控、用量监控

面向管理员的 Claude Code 部署决策地图，涵盖 API 提供商、托管设置、策略执行、使用监控和数据处理。

· 阅读约 11 分钟

Claude Code 通过托管设置强制执行组织策略，这些设置优先于本地开发人员配置。您可以从 Claude 管理控制台、移动设备管理 (MDM) 系统或磁盘上的文件传递这些设置。这些设置控制 Claude 可以访问的工具、命令、服务器和网络目标。

本页按顺序介绍部署决策。每一行都链接到下面的部分和该区域的参考页面。

ℹ️ SSO、SCIM 预配和座位分配在 Claude 账户级别配置。有关这些步骤，请参阅 Claude 企业管理员指南 和 座位分配。

决策您的选择参考
选择您的 API 提供商Claude Code 的身份验证位置和计费方式身份验证、Bedrock、Vertex AI、Foundry
决定设置如何到达设备托管策略如何到达开发人员机器服务器托管配置、设置文件
决定要强制执行的内容允许哪些工具、命令和集成权限、沙箱化
设置使用情况可见性如何跟踪支出和采用情况Analytics、Monitoring、Costs
审查数据处理数据保留和合规性态势Data usage、安全性

选择您的 API 提供商

Claude Code 通过多个 API 提供商之一连接到 Claude。您的选择会影响计费、身份验证和您继承的合规性态势。

提供商何时选择
Claude for Teams / Enterprise您希望 Claude Code 和 claude.ai 在一个按座位订阅下，无需运行基础设施。这是默认建议。
Claude Console您是 API 优先或希望按使用量付费
Amazon Bedrock您希望继承现有的 AWS 合规控制和计费
Google Vertex AI您希望继承现有的 GCP 合规控制和计费
Microsoft Foundry您希望继承现有的 Azure 合规控制和计费

有关涵盖身份验证、区域和功能奇偶性的完整提供商比较，请参阅企业部署概述。每个提供商的身份验证设置在身份验证中。

网络配置中的代理和防火墙要求适用于所有提供商。如果您想要在多个提供商前面有单个端点或集中式请求日志记录，请参阅 LLM gateway。

决定设置如何到达设备

托管设置定义优先于本地开发人员配置的策略。Claude Code 在四个位置查找它们，并使用在给定设备上找到的第一个。

机制传递优先级平台
Server-managedClaude.ai 管理控制台最高全部
plist / registry policymacOS: com.anthropic.claudecode plist
Windows: HKLM\SOFTWARE\Policies\ClaudeCode		高macOS、Windows
File-based managedmacOS: /Library/Application Support/ClaudeCode/managed-settings.json
Linux 和 WSL: /etc/claude-code/managed-settings.json
Windows: C:\Program Files\ClaudeCode\managed-settings.json		中全部
Windows user registryHKCU\SOFTWARE\Policies\ClaudeCode最低仅 Windows

Server-managed 设置在身份验证时到达设备，并在活跃会话期间每小时刷新一次，无需端点基础设施。它们需要 Claude for Teams 或 Enterprise 计划，因此在其他提供商上的部署需要改用基于文件或操作系统级别的机制之一。

如果您的组织混合使用提供商，请为 Claude.ai 用户配置服务器托管配置加上基于文件或 plist/registry 回退，以便其他用户仍然接收托管策略。

plist 和 HKLM 注册表位置适用于任何提供商，并且由于需要管理员权限才能写入，因此可以抵抗篡改。Windows 用户注册表中的 HKCU 可以在没有提升权限的情况下写入，因此将其视为便利默认值而不是执行通道。

无论您选择哪种机制，托管值都优先于用户和项目设置。数组设置（如 permissions.allow 和 permissions.deny）合并来自所有源的条目，因此开发人员可以扩展托管列表但不能从中删除。

请参阅服务器托管配置和设置文件和优先级。

决定要强制执行的内容

托管设置可以锁定工具、沙箱执行、限制 MCP 服务器和插件源，以及控制哪些 hooks 运行。每一行都是一个控制表面，具有驱动它的设置键。

控制它的作用关键设置
权限规则允许、询问或拒绝特定工具和命令permissions.allow、permissions.deny
权限锁定仅托管权限规则适用；禁用 --dangerously-skip-permissionsallowManagedPermissionRulesOnly、permissions.disableBypassPermissionsMode
沙箱化具有域允许列表的操作系统级文件系统和网络隔离sandbox.enabled、sandbox.network.allowedDomains
托管策略 CLAUDE.md在每个会话中加载的组织范围指令，无法排除托管策略路径处的文件
MCP 服务器控制限制用户可以添加或连接的 MCP 服务器allowedMcpServers、deniedMcpServers、allowManagedMcpServersOnly
插件市场控制限制用户可以添加和安装的市场来源strictKnownMarketplaces、blockedMarketplaces
Hook 限制仅托管 hooks 加载；限制 HTTP hook URLallowManagedHooksOnly、allowedHttpHookUrls
版本下限防止自动更新安装低于组织范围最小值的版本minimumVersion

权限规则和沙箱覆盖不同的层。拒绝 WebFetch 会阻止 Claude 的 fetch 工具，但如果允许 Bash，curl 和 wget 仍然可以到达任何 URL。沙箱通过在操作系统级别强制执行的网络域允许列表来弥补这一差距。

有关这些控制防御的威胁模型，请参阅安全性。

设置使用情况可见性

根据您需要报告的内容选择监控。

功能您获得的内容可用性从何处开始
Usage monitoring会话、工具和令牌的 OpenTelemetry 导出所有提供商Monitoring usage
Analytics dashboard每用户指标、贡献跟踪、排行榜仅 AnthropicAnalytics
Cost tracking支出限制、速率限制和使用情况归属仅 AnthropicCosts

云提供商通过 AWS Cost Explorer、GCP Billing 或 Azure Cost Management 公开支出。Claude for Teams 和 Enterprise 计划在 claude.ai/analytics/claude-code 包含使用情况仪表板。

审查数据处理

在 Team、Enterprise、Claude API 和云提供商计划上，Anthropic 不会在您的代码或提示上训练模型。您的 API 提供商决定保留和合规性态势。

主题需要了解的内容从何处开始
Data usage policyAnthropic 收集的内容、保留多长时间、永远不会用于训练的内容Data usage
Zero Data Retention (ZDR)请求完成后不存储任何内容。在 Claude for Enterprise 上可用Zero data retention
Security architecture网络模型、加密、身份验证、审计跟踪安全性

如果您需要请求级别的审计日志或按数据敏感性路由流量，请在开发人员和您的提供商之间放置 LLM gateway。有关监管要求和认证，请参阅 Legal and compliance。

验证和入职

配置托管设置后，让开发人员在 Claude Code 中运行 /status。输出包括以 Enterprise managed settings 开头的一行，后跟括号中的源，为 (remote)、(plist)、(HKLM)、(HKCU) 或 (file) 之一。请参阅验证活跃设置。

分享这些资源以帮助开发人员入门：

  • 快速入门：从安装到使用项目的首次会话演练
  • 常见工作流：代码审查、重构和调试等日常任务的模式
  • Claude 101 和 Claude Code in Action：自定进度的 Anthropic Academy 课程

对于登录问题，请将开发人员指向身份验证故障排除。最常见的修复是：

  • 运行 /logout 然后 /login 以切换账户
  • 如果缺少企业身份验证选项，运行 claude update
  • 更新后重启终端

如果开发人员看到”您还没有被添加到您的组织”，他们的座位不包括 Claude Code 访问权限，需要在管理控制台中更新。

后续步骤

选择提供商和传递机制后，继续进行详细配置：

本文翻译自 Anthropic Claude Code 官方文档，最近一次同步：2025-05-01。