Konfigurasi alat Bash sandboxed

• Mengaktifkan sandbox dan memilih bagaimana perintah sandboxed disetujui
• Mengonfigurasi jalur dan domain jaringan mana yang dapat dijangkau perintah
• Menggabungkan sandboxing dengan aturan izin dan mode izin
• Memberlakukan sandboxing di seluruh organisasi dengan pengaturan terkelola

​

Memulai

/sandbox

​

Set up Linux dan WSL2

• bubblewrap: alat sandboxing tanpa privilege yang memberlakukan isolasi filesystem
• socat: relay yang digunakan untuk merutekan lalu lintas jaringan melalui proxy sandbox

sudo apt-get install bubblewrap socat

sudo dnf install bubblewrap socat

sudo tee /etc/apparmor.d/bwrap > /dev/null <<'EOF'
abi <abi/4.0>,
include <tunables/global>

profile bwrap /usr/bin/bwrap flags=(unconfined) {
  userns,
  include if exists <local/bwrap>
}
EOF

sudo systemctl reload apparmor

​

Mode sandbox

• Deny rules eksplisit selalu dihormati
• Perintah rm atau rmdir yang menargetkan /, direktori home Anda, atau jalur sistem kritis lainnya masih memicu prompt izin
• Ask rules berlaku untuk perintah yang kembali ke alur izin reguler

​

Konfigurasi sandboxing

{
  "sandbox": {
    "enabled": true,
    "filesystem": {
      "allowWrite": ["~/.kube", "/tmp/build"]
    }
  }
}

{
  "sandbox": {
    "enabled": true,
    "filesystem": {
      "denyRead": ["~/"],
      "allowRead": ["."]
    }
  }
}

​

Cara sandboxing bekerja

​

Isolasi filesystem

• Perilaku penulisan default: akses baca dan tulis ke direktori kerja saat ini dan subdirektorinya
• Perilaku pembacaan default: akses baca ke seluruh komputer, kecuali direktori tertentu yang ditolak. Perhatikan bahwa default ini masih memungkinkan pembacaan file kredensial seperti ~/.aws/credentials dan ~/.ssh/. Tambahkan ke denyRead untuk memblokirnya.
• Akses terblokir: tidak dapat memodifikasi file di luar direktori kerja saat ini tanpa izin eksplisit, termasuk file konfigurasi shell seperti ~/.bashrc dan binari sistem di /bin/
• Git worktrees: ketika direktori kerja adalah linked git worktree, sandbox juga memungkinkan penulisan ke direktori .git bersama dari repositori utama sehingga perintah seperti git commit dapat memperbarui refs dan indeks. Penulisan ke hooks/ dan config di dalam direktori tersebut tetap ditolak.
• Dapat dikonfigurasi: tentukan jalur yang diizinkan dan ditolak khusus melalui pengaturan

​

Isolasi jaringan

• Pembatasan domain: tidak ada domain yang diizinkan sebelumnya. Pertama kali perintah memerlukan domain baru, Claude Code meminta persetujuan. Izinkan domain sebelumnya dengan allowedDomains untuk menghindari prompt.
• Lockdown terkelola: jika allowManagedDomainsOnly diatur dalam pengaturan terkelola, domain yang tidak diizinkan diblokir secara otomatis alih-alih prompt, dan hanya allowedDomains dari pengaturan terkelola yang dihormati.
• Dukungan proxy khusus: pengguna tingkat lanjut dapat menerapkan aturan khusus pada lalu lintas keluar
• Cakupan komprehensif: pembatasan berlaku untuk semua skrip, program, dan subprocess yang dihasilkan oleh perintah

​

Penegakan tingkat OS

• macOS: menggunakan Seatbelt untuk penegakan sandbox
• Linux: menggunakan bubblewrap untuk isolasi
• WSL2: menggunakan bubblewrap, sama seperti Linux

​

Bagaimana sandboxing berhubungan dengan izin dan mode izin

​

Aturan izin

• Aturan izin mengontrol alat mana yang dapat digunakan Claude Code dan dievaluasi sebelum alat apa pun berjalan. Mereka berlaku untuk semua alat: Bash, Read, Edit, WebFetch, MCP, dan lainnya.
• Sandboxing menyediakan penegakan tingkat OS yang membatasi apa yang dapat diakses perintah Bash pada tingkat filesystem dan jaringan. Ini hanya berlaku untuk perintah Bash dan proses anak mereka.

​

Mode izin

​

Konfigurasi sandbox untuk organisasi Anda

​

Memberlakukan sandboxing dengan pengaturan terkelola

{
  "sandbox": {
    "enabled": true,
    "failIfUnavailable": true,
    "allowUnsandboxedCommands": false
  }
}

• failIfUnavailable: dependensi yang hilang seperti bubblewrap di Linux memblokir Claude Code dari memulai daripada menampilkan peringatan dan kembali ke eksekusi unsandboxed
• allowUnsandboxedCommands: false: pintu keluar dangerouslyDisableSandbox diabaikan, sehingga perintah yang gagal di bawah sandbox tidak dapat dicoba kembali di luar itu

​

Cegah pengembang memperluas kebijakan

​

Konfigurasi proxy khusus

• Mendekripsi dan memeriksa lalu lintas HTTPS
• Menerapkan aturan penyaringan khusus
• Mencatat semua permintaan jaringan
• Mengintegrasikan dengan infrastruktur keamanan yang ada

{
  "sandbox": {
    "network": {
      "httpProxyPort": 8080,
      "socksProxyPort": 8081
    }
  }
}

​

Pemecahan masalah

• Perintah gagal dengan kesalahan host-not-allowed: banyak alat CLI perlu menjangkau host tertentu. Memberikan izin saat diminta menambahkan host ke daftar yang diizinkan sehingga alat berjalan di dalam sandbox di masa depan.
• jest hang atau gagal: watchman tidak kompatibel dengan sandbox. Jalankan jest --no-watchman sebagai gantinya.
• Go-based CLIs gagal verifikasi TLS di macOS: alat seperti gh, gcloud, dan terraform mungkin gagal verifikasi TLS di bawah Seatbelt. Daftar alat ini dalam excludedCommands untuk menjalankannya di luar sandbox. Jika Anda menggunakan httpProxyPort dengan proxy MITM dan CA khusus, atur enableWeakerNetworkIsolation ke true sebagai gantinya.
• Perintah docker gagal: docker tidak kompatibel dengan sandbox. Tambahkan docker * ke excludedCommands untuk menjalankannya di luar sandbox.
• Bubblewrap gagal memulai di dalam container: dalam container tanpa privilege, bubblewrap tidak dapat memasang filesystem /proc segar. Atur enableWeakerNestedSandbox ke true sehingga sandbox dalam bind-mount /proc yang ada dari container sebagai gantinya. Hanya gunakan pengaturan ini ketika container luar sudah menyediakan batas isolasi yang Anda butuhkan, karena mengekspos informasi proses ke perintah sandboxed yang mount /proc segar akan menyembunyikan.
• Filter seccomp di Linux: filter seccomp diperlukan untuk memblokir soket domain Unix. Tab Dependencies dalam /sandbox menunjukkan apakah tersedia. Jika hilang, jalankan npm install -g @anthropic-ai/sandbox-runtime untuk menginstal helper.
• --dangerously-skip-permissions gagal sebagai root: flag ini diblokir saat menjalankan sebagai root atau melalui sudo di Linux dan macOS, karena akses root dikombinasikan dengan tidak ada prompt izin dapat memodifikasi file atau layanan apa pun di sistem. Pemeriksaan dilewati secara otomatis di dalam sandbox yang dikenali. Untuk menjalankan secara otonom dalam container, gunakan konfigurasi dev container, yang menjalankan Claude Code sebagai pengguna non-root.

​

Keterbatasan

​

Keterbatasan keamanan

• Penyaringan jaringan: sistem penyaringan jaringan beroperasi dengan membatasi domain yang diizinkan untuk terhubung oleh proses. Proxy bawaan tidak menghentikan atau melakukan inspeksi TLS pada lalu lintas keluar, sehingga isi koneksi terenkripsi tidak diperiksa. Anda bertanggung jawab untuk memastikan bahwa hanya domain tepercaya yang diizinkan dalam kebijakan Anda.

• Eskalasi privilege melalui soket Unix: konfigurasi allowUnixSockets dapat secara tidak sengaja memberikan akses ke layanan sistem yang kuat yang dapat menyebabkan bypass sandbox. Misalnya, mengizinkan akses ke /var/run/docker.sock secara efektif memberikan akses ke sistem host melalui soket Docker. Pertimbangkan dengan hati-hati soket Unix apa pun yang Anda izinkan melalui sandbox.
• Eskalasi izin filesystem: izin penulisan filesystem yang terlalu luas dapat memungkinkan serangan eskalasi privilege. Mengizinkan penulisan ke direktori yang berisi executable dalam $PATH, direktori konfigurasi sistem, atau file konfigurasi shell pengguna seperti .bashrc atau .zshrc dapat menyebabkan eksekusi kode dalam konteks keamanan yang berbeda ketika pengguna lain atau proses sistem mengakses file ini.
• Kekuatan sandbox Linux: implementasi Linux menyediakan isolasi filesystem dan jaringan yang kuat tetapi mencakup mode enableWeakerNestedSandbox yang memungkinkannya bekerja di dalam lingkungan Docker tanpa namespace istimewa, atau pada host Linux di mana user namespaces tanpa privilege dinonaktifkan oleh sysctl. Opsi ini secara konsiderabel melemahkan keamanan dan hanya boleh digunakan ketika isolasi tambahan sebaliknya diberlakukan.
• File pengaturan dilindungi: sandbox secara otomatis menolak akses tulis ke file settings.json Claude Code di setiap scope dan ke direktori pengaturan terkelola, sehingga perintah sandboxed tidak dapat memodifikasi kebijakan sendiri.

​

Kompatibilitas platform dan alat

• Dukungan platform: mendukung macOS, Linux, dan WSL2. WSL1 dan Windows asli tidak didukung.
• Overhead kinerja: minimal, tetapi beberapa operasi filesystem mungkin sedikit lebih lambat.
• Kompatibilitas alat: beberapa alat yang memerlukan pola akses sistem tertentu mungkin memerlukan penyesuaian konfigurasi, atau mungkin perlu dijalankan di luar sandbox.

​

Cakupan

• Alat file bawaan: Read, Edit, dan Write menggunakan sistem izin secara langsung daripada berjalan melalui sandbox. Lihat permissions.
• Penggunaan komputer: ketika Claude membuka aplikasi dan mengontrol layar Anda, itu berjalan di desktop aktual Anda daripada di lingkungan terisolasi. Prompt izin per-aplikasi membatasi setiap aplikasi. Lihat computer use in the CLI atau computer use in Desktop.
• Variabel lingkungan: perintah Bash sandboxed mewarisi lingkungan proses induk secara default, termasuk kredensial apa pun yang ditetapkan di sana. Untuk menghapus kredensial Anthropic dan penyedia cloud dari subprocess, atur CLAUDE_CODE_SUBPROCESS_ENV_SCRUB.
• Subagents: subagents berjalan dalam proses yang sama dengan sesi induk dan menggunakan konfigurasi sandbox yang sama. Perintah Bash di dalam subagent di-sandbox ketika sandboxing diaktifkan dalam sesi induk.

​

Lihat juga

• Sandbox environments: bandingkan sandbox bawaan dengan dev containers, containers, dan VM
• Security: fitur keamanan komprehensif dan praktik terbaik
• Permissions: konfigurasi izin dan kontrol akses
• Settings: referensi konfigurasi lengkap
• CLI reference: opsi baris perintah