Configurar la configuración administrada por servidor

​

Requisitos

• Plan Claude for Teams o Claude for Enterprise
• El rol de Propietario o Propietario Principal en su organización de Claude, para ver y editar la configuración
• Acceso de red a api.anthropic.com

​

Elegir entre configuración administrada por servidor y administrada por endpoint

​

Configurar la configuración administrada por servidor

{
  "permissions": {
    "deny": [
      "Bash(curl *)",
      "Read(./.env)",
      "Read(./.env.*)",
      "Read(./secrets/**)"
    ],
    "disableBypassPermissionsMode": "disable"
  },
  "allowManagedPermissionRulesOnly": true
}

{
  "hooks": {
    "PostToolUse": [
      {
        "matcher": "Edit|Write",
        "hooks": [
          { "type": "command", "command": "/usr/local/bin/audit-edit.sh" }
        ]
      }
    ]
  }
}

​

Verificar la entrega de configuración

• La configuración entregada se cargó
• Su organización no tiene configuración administrada por servidor configurada
• La obtención falló, con la causa y si una política en caché aún se aplica
• Claude Code omitió la obtención, con la razón. Consulte Disponibilidad de plataforma para los proveedores y configuraciones que la omiten

​

Control de acceso

• Primary Owner
• Owner

​

Configuraciones solo administradas

​

Limitaciones actuales

• La configuración se aplica uniformemente a todos los usuarios de la organización. Las configuraciones por grupo aún no son compatibles.
• Un archivo managed-mcp.json no se puede distribuir a través de la configuración administrada por servidor. Entregue las claves de política allowedMcpServers y deniedMcpServers allí en su lugar. Claude Code lee un archivo managed-mcp.json implementado en su ruta del sistema por separado del nivel de configuración administrada, por lo que el archivo aún se aplica cuando la configuración administrada por servidor está en vigor.
• Las configuraciones restringidas a fuentes de políticas a nivel del sistema operativo, como policyHelper y wslInheritsWindowsSettings, no se respetan. Impleméntelas a través de MDM o un archivo managed-settings.json del sistema en su lugar. Un policyHelper implementado de esa manera se ejecuta solo cuando su fuente es la seleccionada en precedencia dentro del nivel administrado.

​

Entrega de configuración

​

Precedencia de configuración

​

Excepciones por clave entre fuentes administradas

• Claves de bloqueo entre fuentes: un pequeño conjunto de claves, como los bloqueos de lista de permitidos de sandbox, enumeradas en la página de configuración administrada. Se respetan cuando cualquier fuente administrada controlada por administrador las establece; el nivel de registro HKCU escribible por el usuario se excluye, y cuando una policyHelper proporciona configuración administrada, su salida es la única fuente que estas comprobaciones leen. La comprobación de inicio forceRemoteSettingsRefresh se ejecuta antes del asistente y lee cualquier fuente de administrador.
• El bloque env: aparte de la unidad de telemetría y las variables de enrutamiento emparejadas con una clave de credencial, ambas cubiertas a continuación, se fusiona por clave entre las fuentes controladas por administrador. Para cada variable de entorno, la fuente de mayor prioridad que la define gana, y las fuentes de administrador inferiores rellenan variables que las fuentes superiores dejan sin establecer. Una entrada env administrada por endpoint se aplica, por lo tanto, siempre que la configuración administrada por servidor deje esa variable sin establecer, o mientras un valor de servidor en caché para ella esté retenido pendiente de confirmación del servidor. Requiere Claude Code v2.1.223 o posterior. Antes de v2.1.223, Claude Code aplica solo el bloque env de la fuente seleccionada.
  • Unidad de telemetría: las claves del exportador OTEL_EXPORTER_OTLP_*, los conmutadores de captura de contenido OTEL_LOG_*, OTEL_LOGS_EXPORTER y las variables de rastreo beta ENABLE_BETA_TRACING_DETAILED y BETA_TRACING_ENDPOINT siguen la fuente más alta que establece cualquiera de ellas como unidad. Una fuente que entrega la clave de credencial otelHeadersHelper reclama la unidad también, pero coloca estas variables solo cuando es la fuente seleccionada: una fuente que no está seleccionada pero entrega la clave no contribuye ninguna de ellas y aún bloquea las fuentes inferiores de rellenarlas. De cualquier forma, un endpoint de exportador de una fuente nunca puede emparejarse con credenciales de otra.
  • Enrutamiento emparejado con credencial: una fuente que empareja variables de enrutamiento con una clave de credencial solo para fuente seleccionada, como apiKeyHelper u otelHeadersHelper, contribuye esas variables de enrutamiento solo cuando gana la ranura.

​

Comportamiento de obtención y almacenamiento en caché

• Cuando un desarrollador inicia sesión al inicio, como en una primera ejecución o después de /logout, Claude Code espera hasta cinco segundos para que la obtención se complete antes de abrir la sesión. Cuando la política llega a tiempo, Claude Code la aplica desde la primera pantalla y muestra sus companyAnnouncements en ella. Cuando la carga útil necesita aprobación de seguridad, Claude Code termina la espera y aplica la carga útil una vez que el desarrollador la aprueba
• En cualquier otro inicio, y cuando se agota esa espera de cinco segundos, Claude Code abre la sesión mientras la obtención continúa, por lo que pasa una breve ventana antes de que se cargue la configuración y las restricciones entren en vigor
• Si la obtención falla, Claude Code continúa sin configuración administrada por servidor y advierte en sesiones interactivas que no se aplica ninguna política remota; la configuración administrada por endpoint aún se aplica. Si una fuente administrada establece forceRemoteSettingsRefresh, Claude Code se cierra en su lugar

• La configuración en caché se aplica inmediatamente al inicio, excepto para las variables de entorno retenidas descritas a continuación
• Un modelPricing en caché no se aplica hasta que la obtención de la sesión confirma la carga útil. Hasta entonces, las cifras de costo que los desarrolladores ven en /usage y la línea de estado están al precio de lista
• Claude Code obtiene configuración nueva en segundo plano
• La configuración en caché persiste a través de fallos de red. Si la obtención de inicio falla, Claude Code advierte en sesiones interactivas que la política en caché está en vigor
• Hasta que una obtención se realiza correctamente, las variables de entorno retenidas permanecen retenidas y las cifras de costo permanecen al precio de lista

• Configuración de proxy y TLS, como HTTPS_PROXY, NODE_EXTRA_CA_CERTS y las variables de certificado de cliente mTLS CLAUDE_CODE_CLIENT_CERT y CLAUDE_CODE_CLIENT_KEY
• Enrutamiento de API y selección de proveedor, incluido ANTHROPIC_BASE_URL, las variables de selección de proveedor como CLAUDE_CODE_USE_BEDROCK y CLAUDE_CODE_USE_VERTEX, y las URL de endpoint del proveedor como ANTHROPIC_BEDROCK_BASE_URL
• Credenciales de autenticación, como ANTHROPIC_API_KEY, ANTHROPIC_AUTH_TOKEN y CLAUDE_CODE_OAUTH_TOKEN
• El selector de directorio de configuración CLAUDE_CONFIG_DIR
• Selectores de fuente de credencial y directorio de configuración, en Claude Code v2.1.223 o posterior: las variables de Workload Identity Federation como ANTHROPIC_FEDERATION_RULE_ID e ANTHROPIC_IDENTITY_TOKEN, los selectores de perfil y directorio de configuración ANTHROPIC_PROFILE y ANTHROPIC_CONFIG_DIR, y las variables de directorio del sistema operativo HOME, XDG_CONFIG_HOME, APPDATA y USERPROFILE

​

Entradas inválidas en la configuración entregada

• La caché en ~/.claude/remote-settings.json almacena la carga útil salvada con entradas inválidas eliminadas, aparte de valores cleanupPeriodDays y desktopSessionCleanupPeriodDays inválidos, que permanecen en la copia en caché y nunca se aplican.
• Cuando ningún campo en la carga útil puede salvarse y la carga útil no es solo esas claves de retención, Claude Code rechaza la carga útil, mantiene la última configuración en caché aceptada y escribe Remote settings: Settings validation failed - no fields could be salvaged en el registro de depuración. Con forceRemoteSettingsRefresh establecido, la CLI se cierra en su lugar.
• El diálogo de aprobación de seguridad evalúa la carga útil salvada, por lo que una entrada inválida eliminada nunca se presenta para aprobación y nunca se ejecuta.

​

Aplicar inicio cerrado por fallo

{
  "forceRemoteSettingsRefresh": true
}

​

Diálogos de aprobación de seguridad

• Configuraciones de comandos de shell: configuraciones que ejecutan comandos de shell, como apiKeyHelper, statusLine y otelHeadersHelper
• Configuraciones de binarios de sandbox: sandbox.bwrapPath, sandbox.socatPath y sandbox.ripgrep. Cada una de estas configuraciones apunta a un ejecutable, y Claude Code ejecuta ese ejecutable
• Configuraciones de red y aislamiento de sandbox: configuraciones de sandbox que permiten que el proxy de sandbox lea, redirija o autentique tráfico, o que debiliten el aislamiento del sandbox: sandbox.network.tlsTerminate, sandbox.network.httpProxyPort, sandbox.network.socksProxyPort, sandbox.credentials, sandbox.allowAppleEvents, sandbox.enableWeakerNestedSandbox, sandbox.enableWeakerNetworkIsolation, sandbox.filesystem.disabled, sandbox.network.allowAllUnixSockets, sandbox.network.allowUnixSockets y sandbox.network.allowMachLookup. Un bloque sandbox.credentials que contiene solo reglas deny no necesita aprobación, ya que restringe el sandbox sin dar al proxy una credencial. Antes de v2.1.251, Claude Code aplicaba estas configuraciones sin aprobación
• Variables de entorno personalizadas: variables env entregadas que requieren la aprobación del usuario, como variables de proxy y URL base; consulte Variables de entorno y el diálogo de aprobación
• Configuraciones de hooks: cualquier definición de hook

​

Memoria de aprobación

• Un inicio de sesión de claude.ai guardado por /login o claude auth login: una aprobación por organización, mantenida por la cuenta que aprobó más recientemente.
• Un inicio de sesión de puerta de enlace de aplicaciones Claude: una aprobación por puerta de enlace. Si cierra sesión e inicia sesión nuevamente en la misma puerta de enlace, Claude Code no muestra el diálogo nuevamente mientras la configuración que requiere aprobación no cambie. Claude Code lo muestra nuevamente cuando esa configuración cambia, cuando inicia sesión en una puerta de enlace diferente y cuando acepta un nuevo certificado para la misma puerta de enlace. Claude Code no guarda ninguna aprobación para una puerta de enlace de desarrollo de bucle invertido alcanzada a través de HTTP simple, por lo que el diálogo aparece nuevamente después de cada inicio de sesión.
• Cualquier otra credencial, como una clave de API o CLAUDE_CODE_OAUTH_TOKEN: una aprobación para la configuración entregada, mantenida con la copia en caché de la configuración en ese directorio de configuración. Claude Code muestra el diálogo nuevamente cuando la configuración que requiere aprobación cambia, y después de ejecutar /logout o claude auth logout, cualquiera de los cuales elimina la copia en caché.

• Si cierra sesión e inicia sesión nuevamente, o cambia a otra organización y luego regresa, Claude Code no muestra el diálogo nuevamente mientras esa configuración no cambie, a menos que otra cuenta las haya aprobado para esa organización en el mismo directorio de configuración en el medio.
• Si inicia sesión en la misma organización con una cuenta diferente, Claude Code muestra el diálogo nuevamente incluso cuando la configuración no cambia. La aprobación de esa cuenta reemplaza la anterior, por lo que cuando cambia, Claude Code muestra el diálogo una vez más.

• Una sesión interactiva que no puede mostrar el diálogo: Claude Code no aplica la configuración entregada y mantiene la última configuración aprobada. El diálogo aparece en la siguiente sesión que puede mostrarlo. Requiere Claude Code v2.1.211 o posterior.
• claude install o claude update: Claude Code no muestra el diálogo durante ninguno de los comandos. El comando se ejecuta con la última configuración aprobada, y el diálogo aparece en su siguiente sesión interactiva. Si Claude Code espera la obtención de configuración al inicio, como con forceRemoteSettingsRefresh establecido o en una implementación de puerta de enlace de aplicaciones Claude, muestra el diálogo durante el comando en su lugar, y una ejecución de instalación desde una tubería falla; consulte Raw mode is not supported durante la instalación. Antes de v2.1.246, Claude Code intentaba mostrar el diálogo durante estos comandos también.
• Un error cierra el diálogo antes de que responda: Claude Code no aplica la configuración entregada y mantiene la última configuración aprobada. Lo muestra nuevamente en la siguiente sesión que puede mostrarlo.
• Una ejecución no interactiva, como claude -p o una sesión del SDK de Agent: Claude Code no puede mostrar el diálogo, por lo que cuando la configuración entregada requeriría aprobación, la aplica solo para esa ejecución. No la registra como aprobada ni la escribe en la caché local, y la siguiente sesión interactiva muestra el diálogo. Hasta que un usuario apruebe en una sesión interactiva, cada ejecución no interactiva obtiene la configuración nuevamente al inicio. Antes de v2.1.207, una ejecución no interactiva guardaba la configuración como aprobada, por lo que las sesiones interactivas posteriores nunca mostraban el diálogo para ellas.

​

Variables de entorno y el diálogo de aprobación

• Conmutadores de características y comandos
• Configuración de selección y comportamiento del modelo, como ANTHROPIC_MODEL, DISABLE_PROMPT_CACHING y CLAUDE_CODE_EFFORT_LEVEL
• Configuración de ventana de contexto y compactación, como DISABLE_AUTO_COMPACT
• Opciones de interfaz de usuario de terminal y accesibilidad
• Límites numéricos, presupuestos y tiempos de espera

​

Disponibilidad de plataforma

​

Registro de auditoría

​

Consideraciones de seguridad

​

Ver también

• Todos los ajustes: cada clave de configuración
• Configuración administrada por endpoint: configuración administrada implementada en dispositivos por TI
• Autenticación: configurar el acceso de usuarios a Claude Code
• Seguridad: salvaguardas de seguridad y mejores prácticas