Zum Hauptinhalt springen

​
Authentifizierungsmethoden

Die Einrichtung von Claude Code erfordert Zugriff auf Anthropic-Modelle. Für Teams können Sie Claude Code-Zugriff auf eine von drei Arten einrichten:
  • Claude API über die Claude Console
  • Amazon Bedrock
  • Google Vertex AI

​
Claude API-Authentifizierung

So richten Sie Claude Code-Zugriff für Ihr Team über Claude API ein:
  1. Verwenden Sie Ihr vorhandenes Claude Console-Konto oder erstellen Sie ein neues Claude Console-Konto
  2. Sie können Benutzer auf eine der folgenden Arten hinzufügen:
    • Laden Sie Benutzer in Massen aus der Console ein (Console -> Settings -> Members -> Invite)
    • Richten Sie SSO ein
  3. Beim Einladen von Benutzern benötigen diese eine der folgenden Rollen:
    • Die Rolle „Claude Code” bedeutet, dass Benutzer nur Claude Code API-Schlüssel erstellen können
    • Die Rolle „Developer” bedeutet, dass Benutzer jede Art von API-Schlüssel erstellen können
  4. Jeder eingeladene Benutzer muss diese Schritte ausführen:

​
Cloud-Provider-Authentifizierung

So richten Sie Claude Code-Zugriff für Ihr Team über Bedrock oder Vertex ein:
  1. Folgen Sie der Bedrock-Dokumentation oder Vertex-Dokumentation
  2. Verteilen Sie die Umgebungsvariablen und Anweisungen zum Generieren von Cloud-Anmeldedaten an Ihre Benutzer. Lesen Sie mehr darüber, wie Sie die Konfiguration hier verwalten.
  3. Benutzer können Claude Code installieren

​
Zugriffskontrolle und Berechtigungen

Wir unterstützen granulare Berechtigungen, sodass Sie genau angeben können, was der Agent tun darf (z. B. Tests ausführen, Linter ausführen) und was nicht (z. B. Cloud-Infrastruktur aktualisieren). Diese Berechtigungseinstellungen können in die Versionskontrolle eingecheckt und an alle Entwickler in Ihrer Organisation verteilt werden, sowie von einzelnen Entwicklern angepasst werden.

​
Berechtigungssystem

Claude Code verwendet ein gestuftes Berechtigungssystem, um Leistung und Sicherheit auszugleichen:
WerkzeugtypBeispielGenehmigung erforderlichVerhalten „Ja, nicht mehr fragen”
SchreibgeschütztDateilesevorgänge, LS, GrepNeinN/A
Bash-BefehleShell-AusführungJaDauerhaft pro Projektverzeichnis und Befehl
DateiänderungDateien bearbeiten/schreibenJaBis zum Ende der Sitzung

​
Berechtigungen konfigurieren

Sie können die Werkzeugberechtigungen von Claude Code mit /permissions anzeigen und verwalten. Diese Benutzeroberfläche listet alle Berechtigungsregeln und die settings.json-Datei auf, aus der sie stammen.
  • Allow-Regeln ermöglichen Claude Code, das angegebene Werkzeug ohne weitere manuelle Genehmigung zu verwenden.
  • Ask-Regeln fordern den Benutzer zur Bestätigung auf, wenn Claude Code versucht, das angegebene Werkzeug zu verwenden. Ask-Regeln haben Vorrang vor Allow-Regeln.
  • Deny-Regeln verhindern, dass Claude Code das angegebene Werkzeug verwendet. Deny-Regeln haben Vorrang vor Allow- und Ask-Regeln.
  • Zusätzliche Verzeichnisse erweitern Claudes Dateizugriff auf Verzeichnisse über das ursprüngliche Arbeitsverzeichnis hinaus.
  • Standardmodus steuert Claudes Berechtigungsverhalten bei neuen Anfragen.
Berechtigungsregeln verwenden das Format: Tool oder Tool(optional-specifier) Eine Regel, die nur der Werkzeugname ist, passt auf jede Verwendung dieses Werkzeugs. Wenn Sie beispielsweise Bash zur Liste der Allow-Regeln hinzufügen, würde Claude Code das Bash-Werkzeug ohne Benutzer-Genehmigung verwenden dürfen.

​
Berechtigungsmodi

Claude Code unterstützt mehrere Berechtigungsmodi, die als defaultMode in Einstellungsdateien festgelegt werden können:
ModusBeschreibung
defaultStandardverhalten - fordert bei der ersten Verwendung jedes Werkzeugs eine Berechtigung an
acceptEditsAkzeptiert automatisch Dateiberechtigungen für die Sitzung
planPlan-Modus - Claude kann Dateien analysieren, aber nicht ändern oder Befehle ausführen
bypassPermissionsÜberspringt alle Berechtigungsaufforderungen (erfordert sichere Umgebung - siehe Warnung unten)

​
Arbeitsverzeichnisse

Standardmäßig hat Claude Zugriff auf Dateien in dem Verzeichnis, in dem es gestartet wurde. Sie können diesen Zugriff erweitern:
  • Beim Start: Verwenden Sie das CLI-Argument --add-dir <path>
  • Während der Sitzung: Verwenden Sie den Schrägstrich-Befehl /add-dir
  • Persistente Konfiguration: Fügen Sie zu additionalDirectories in Einstellungsdateien hinzu
Dateien in zusätzlichen Verzeichnissen folgen den gleichen Berechtigungsregeln wie das ursprüngliche Arbeitsverzeichnis - sie werden lesbar ohne Aufforderungen, und Dateiberechtigungen folgen dem aktuellen Berechtigungsmodus.

​
Werkzeugspezifische Berechtigungsregeln

Einige Werkzeuge unterstützen granularere Berechtigungskontrollen: Bash
  • Bash(npm run build) Passt auf den genauen Bash-Befehl npm run build
  • Bash(npm run test:*) Passt auf Bash-Befehle, die mit npm run test beginnen
  • Bash(curl http://site.com/:*) Passt auf curl-Befehle, die genau mit curl http://site.com/ beginnen
Claude Code ist sich Shell-Operatoren (wie &&) bewusst, daher gibt eine Präfix-Match-Regel wie Bash(safe-cmd:*) ihm nicht die Berechtigung, den Befehl safe-cmd && other-cmd auszuführen
Wichtige Einschränkungen von Bash-Berechtigungsmustern:
  1. Dieses Werkzeug verwendet Präfix-Matches, keine Regex- oder Glob-Muster
  2. Der Platzhalter :* funktioniert nur am Ende eines Musters, um jede Fortsetzung zu entsprechen
  3. Muster wie Bash(curl http://github.com/:*) können auf viele Arten umgangen werden:
    • Optionen vor URL: curl -X GET http://github.com/... passt nicht
    • Anderes Protokoll: curl https://github.com/... passt nicht
    • Umleitungen: curl -L http://bit.ly/xyz (leitet zu github um)
    • Variablen: URL=http://github.com && curl $URL passt nicht
    • Zusätzliche Leerzeichen: curl http://github.com passt nicht
Für zuverlässigere URL-Filterung sollten Sie erwägen:
  • Verwendung des WebFetch-Werkzeugs mit WebFetch(domain:github.com)-Berechtigung
  • Anweisung von Claude Code über Ihre zulässigen curl-Muster über CLAUDE.md
  • Verwendung von Hooks für benutzerdefinierte Berechtigungsvalidierung
Read & Edit Edit-Regeln gelten für alle integrierten Werkzeuge, die Dateien bearbeiten. Claude wird sich bemühen, Read-Regeln auf alle integrierten Werkzeuge anzuwenden, die Dateien lesen, wie Grep, Glob und LS. Read & Edit-Regeln folgen beide der gitignore-Spezifikation mit vier unterschiedlichen Mustertypen:
MusterBedeutungBeispielPasst auf
//pathAbsoluter Pfad vom Dateisystem-RootRead(//Users/alice/secrets/**)/Users/alice/secrets/**
~/pathPfad vom Home-VerzeichnisRead(~/Documents/*.pdf)/Users/alice/Documents/*.pdf
/pathPfad relativ zur EinstellungsdateiEdit(/src/**/*.ts)<settings file path>/src/**/*.ts
path oder ./pathPfad relativ zum aktuellen VerzeichnisRead(*.env)<cwd>/*.env
Ein Muster wie /Users/alice/file ist KEIN absoluter Pfad - es ist relativ zu Ihrer Einstellungsdatei! Verwenden Sie //Users/alice/file für absolute Pfade.
  • Edit(/docs/**) - Bearbeitungen in <project>/docs/ (NICHT /docs/!)
  • Read(~/.zshrc) - Liest die .zshrc Ihres Home-Verzeichnisses
  • Edit(//tmp/scratch.txt) - Bearbeitet den absoluten Pfad /tmp/scratch.txt
  • Read(src/**) - Liest aus <current-directory>/src/
WebFetch
  • WebFetch(domain:example.com) Passt auf Abrufanfragen an example.com
MCP
  • mcp__puppeteer Passt auf jedes Werkzeug, das vom puppeteer-Server bereitgestellt wird (Name in Claude Code konfiguriert)
  • mcp__puppeteer__puppeteer_navigate Passt auf das puppeteer_navigate-Werkzeug, das vom puppeteer-Server bereitgestellt wird
Im Gegensatz zu anderen Berechtigungstypen unterstützen MCP-Berechtigungen KEINE Platzhalter (*).Um alle Werkzeuge von einem MCP-Server zu genehmigen:
  • ✅ Verwenden Sie: mcp__github (genehmigt ALLE GitHub-Werkzeuge)
  • ❌ Verwenden Sie nicht: mcp__github__* (Platzhalter werden nicht unterstützt)
Um nur bestimmte Werkzeuge zu genehmigen, listen Sie jedes einzeln auf:
  • ✅ Verwenden Sie: mcp__github__get_issue
  • ✅ Verwenden Sie: mcp__github__list_issues

​
Zusätzliche Berechtigungskontrolle mit Hooks

Claude Code Hooks bieten eine Möglichkeit, benutzerdefinierte Shell-Befehle zu registrieren, um die Berechtigungsevaluierung zur Laufzeit durchzuführen. Wenn Claude Code einen Werkzeugaufruf tätigt, werden PreToolUse Hooks vor dem Berechtigungssystem ausgeführt, und die Hook-Ausgabe kann bestimmen, ob der Werkzeugaufruf anstelle des Berechtigungssystems genehmigt oder abgelehnt wird.

​
Enterprise-verwaltete Richtlinieneinstellungen

Für Enterprise-Bereitstellungen von Claude Code unterstützen wir Enterprise-verwaltete Richtlinieneinstellungen, die Vorrang vor Benutzer- und Projekteinstellungen haben. Dies ermöglicht es Systemadministratoren, Sicherheitsrichtlinien durchzusetzen, die Benutzer nicht außer Kraft setzen können. Systemadministratoren können Richtlinien bereitstellen für:
  • macOS: /Library/Application Support/ClaudeCode/managed-settings.json
  • Linux und WSL: /etc/claude-code/managed-settings.json
  • Windows: C:\ProgramData\ClaudeCode\managed-settings.json
Diese Richtliniendateien folgen dem gleichen Format wie reguläre Einstellungsdateien, können aber nicht durch Benutzer- oder Projekteinstellungen außer Kraft gesetzt werden. Dies gewährleistet konsistente Sicherheitsrichtlinien in Ihrer gesamten Organisation.

​
Einstellungspriorität

Wenn mehrere Einstellungsquellen vorhanden sind, werden sie in der folgenden Reihenfolge angewendet (höchste bis niedrigste Priorität):
  1. Enterprise-Richtlinien
  2. Befehlszeilenargumente
  3. Lokale Projekteinstellungen (.claude/settings.local.json)
  4. Gemeinsame Projekteinstellungen (.claude/settings.json)
  5. Benutzereinstellungen (~/.claude/settings.json)
Diese Hierarchie stellt sicher, dass Organisationsrichtlinien immer durchgesetzt werden, während gleichzeitig Flexibilität auf Projekt- und Benutzerebene ermöglicht wird, wo dies angemessen ist.

​
Verwaltung von Anmeldedaten

Claude Code verwaltet Ihre Authentifizierungsanmeldedaten sicher:
  • Speicherort: Auf macOS werden API-Schlüssel, OAuth-Token und andere Anmeldedaten im verschlüsselten macOS Keychain gespeichert.
  • Unterstützte Authentifizierungstypen: Claude.ai-Anmeldedaten, Claude API-Anmeldedaten, Bedrock Auth und Vertex Auth.
  • Benutzerdefinierte Anmeldedaten-Skripte: Die Einstellung apiKeyHelper kann so konfiguriert werden, dass ein Shell-Skript ausgeführt wird, das einen API-Schlüssel zurückgibt.
  • Aktualisierungsintervalle: Standardmäßig wird apiKeyHelper nach 5 Minuten oder bei HTTP 401-Antwort aufgerufen. Legen Sie die Umgebungsvariable CLAUDE_CODE_API_KEY_HELPER_TTL_MS für benutzerdefinierte Aktualisierungsintervalle fest.