オートモードの設定

• permissions.askを使用してプッシュおよびプルリクエストの人間チェックポイントを追加する
• CLAUDE.md、ユーザー設定、管理設定全体でルールを設定する場所を選択する
• autoMode.environmentを使用して信頼できるインフラストラクチャを定義する
• /auto-mode-setupを使用して環境エントリを生成する
• デフォルトがパイプラインに適さない場合、ブロックおよび許可ルールをオーバーライドする
• /permissionsからルールを編集する（設定ファイルを開かずに）
• autoMode.classifyAllShellを使用してすべてのシェルコマンドを分類器にルーティングする
• claude auto-modeサブコマンドで有効な設定を検査する
• 拒否を確認して、次に何を追加するかを把握する

​

一般的な境界

​

人間によるチェックポイントを追加する

{
  "permissions": {
    "ask": [
      "Bash(git push *)",
      "Bash(gh pr create *)"
    ]
  }
}

​

分類器が設定を読み込む場所

​

信頼できるインフラストラクチャを定義する

• コンテキストスロット: 組織、スタック、セキュリティ体制を説明し、分類器がコンテキスト内の他のルールを読み取れるようにします。各スロットはデフォルトで None configured または次に示す保守的な仮定に設定されます。
  • Organization
  • Claude Code の主な用途: ソフトウェア開発がデフォルト
  • クラウドプロバイダー
  • リポジトリの可視性: リポジトリはリモートホストと名前が別途示さない限りプライベートと見なされます。または、分類器が読み取る会話の前の可視性チェックでそれがパブリックであることが示されます。分類器はクロード Code が実行するコマンドとメッセージを読み取り、その出力は読み取りません。そのため、証拠はリポジトリをパブリックとして名前を付けるメッセージなど、読み取ることができるものである必要があります。gh repo view の出力だけではそこに到達しません。トランスクリプト証拠チェックには Claude Code v2.1.200 以降が必要です
  • 内部共有 / スニペットホスティング: パブリックペーストおよび gist サービスは、名前を付けるまで信頼境界の外側として扱われます
  • 組織固有の CLI
  • シークレット管理
  • CI/CD デプロイターゲット
  • ネットワークポスチャ
  • ホスト封じ込め: デフォルトは、オープンインターネットを備えた通常の開発者マシンまたは CI ランナーです。Claude Code がエグレス許可リストまたは接触してはいけないネイバーを持つコンテナ、VM、またはポッドで実行される場合は、許可されたホスト、クラウドメタデータエンドポイントに到達可能かどうか、およびタスクが使用するクラウドプロジェクト、クラスタ、またはレジストリとそれが使用する ID を名前付けします。このエントリがその ID を名前付けするまで、分類器は ホストの独自の認証情報のリクエストをブロック します。Claude Code v2.1.257 以降が必要です
  • 保護されたデプロイメント名前空間 / 環境: 名前を付けるまで、機密リモートターゲットヒューリスティックにフォールバックします
  • データ保持 / 機密解除
• 信頼スロット: 分類器が境界内として扱うものを名前付けします。スロットは Trusted repo、Source control、Trusted internal domains、Trusted cloud buckets、Key internal services、および Internal package registry です。リポジトリおよびソース制御エントリはデフォルトで作業リポジトリとその設定されたリモートになります。他のすべての信頼スロットはデフォルトで None configured になるため、追加するまで他に信頼できるものはありません。リポジトリの可視性は機密資料のみをスコープします。プライベートリポジトリは機密資料の許容可能な宛先ですが、リポジトリをプライベートにしてもシークレット、個人データ、または信頼されたデータはクリアされず、分類器は作業リポジトリの外側からポート、リポイント、または最初に読み取られたコンテンツをそのリポジトリ独自の作業として扱いません。このスコーピングには Claude Code v2.1.203 以降が必要です。
• 感度スロット: 保護ルールが高リスクとして扱うものを名前付けします。スロットは Sensitive data locations & audiences、Sensitive remote targets、および Protected IaC scopes です。各スロットはデフォルトで広範なヒューリスティックになります。例えば、名前に prod または production を含むホストまたは名前空間を機密リモートターゲットとして扱うため、保護ルールは何も設定する前にアクティブになります。感度スロットで具体的なターゲットを名前付けすると、これらのルールはヒューリスティックの代わりに名前付けされたターゲットに適用されます。

{
  "autoMode": {
    "environment": [
      "$defaults",
      "Source control: github.example.com/acme-corp and all repos under it",
      "Trusted cloud buckets: s3://acme-build-artifacts, gs://acme-ml-datasets",
      "Trusted internal domains: *.corp.example.com, api.internal.example.com",
      "Key internal services: Jenkins at ci.example.com, Artifactory at artifacts.example.com"
    ]
  }
}

• Organization: 会社名と Claude Code が主に使用される用途（ソフトウェア開発、インフラストラクチャオートメーション、データエンジニアリングなど）
• Source control: 開発者がプッシュするすべての GitHub、GitLab、または Bitbucket org
• クラウドプロバイダーと信頼できるバケット: Claude が読み取りと書き込みを行うことができるバケット名またはプレフィックス
• 信頼できる内部ドメイン: *.internal.example.com のようなネットワーク内の API、ダッシュボード、サービスのホスト名
• 主要な内部サービス: CI、アーティファクトレジストリ、内部パッケージインデックス、インシデントツール
• 内部パッケージレジストリ: インストールがルーティングする必要があるプライベート npm、PyPI、またはその他のレジストリ。パブリックレジストリをバイパスするインストールはブロックされます
• Sensitive data locations & audiences: 個人データ、機密ビジネスデータ、認証情報、規制データ、または同様に機密性の高い資料を保持するバケット、データベース、またはパス、および各場所のデータが共有される可能性のあるオーディエンス。分類器はコンテンツから推測する代わりにこれらの場所を保護します。Claude Code v2.1.195 から v2.1.197 はこのエントリを PII / regulated-data locations として名前付けし、オーディエンス次元なしで個人データまたは規制データを保持する場所のみをカバーします
• Sensitive remote targets: 本番環境としてカウントされる名前空間、ホスト、またはコンテナ。リモートシェルとポートフォワードはそれらへの明示的な承認が必要です
• Protected IaC scopes: 適用または破棄が常に変更を名前付けることを要求する必要があるインフラストラクチャリソース
• 追加コンテキスト: 規制業界の制約、マルチテナントインフラストラクチャ、または分類器がリスクとして扱うべきことに影響するコンプライアンス要件

{
  "autoMode": {
    "environment": [
      "$defaults",
      "Organization: {COMPANY_NAME}. Primary use: {PRIMARY_USE_CASE, e.g. software development, infrastructure automation}",
      "Source control: {SOURCE_CONTROL, e.g. GitHub org github.example.com/acme-corp}",
      "Cloud provider(s): {CLOUD_PROVIDERS, e.g. AWS, GCP, Azure}",
      "Trusted cloud buckets: {TRUSTED_BUCKETS, e.g. s3://acme-builds, gs://acme-datasets}",
      "Trusted internal domains: {TRUSTED_DOMAINS, e.g. *.internal.example.com, api.example.com}",
      "Key internal services: {SERVICES, e.g. Jenkins at ci.example.com, Artifactory at artifacts.example.com}",
      "Additional context: {EXTRA, e.g. regulated industry, multi-tenant infrastructure, compliance requirements}"
    ]
  }
}

​

/auto-mode-setup で環境エントリを生成する

​

/auto-mode-setup が読み込むもの

• このプロジェクトの CLAUDE.md、README.md、設定ファイル、および git リモート
• autoMode および permissions.allow 設定
• Claude がこのプロジェクトの最近のセッションで実行したコマンドのホスト、バケット、コマンド名（メッセージは含まない）

• シェル履歴内の各コマンドの最初の単語
• ホームディレクトリ下のリポジトリのリモートホストと名前

​

ドラフトを確認して保存する

• Claude Code は "$defaults" なしで environment リストを書き込みます。ドラフトが変更されていない組み込みエントリを明示しているため
• Claude Code は、ドラフトがエントリを追加する allow、soft_deny、および hard_deny リストのそれぞれに "$defaults" を含めます。ただし、既に allow リストを "$defaults" なしで作成している場合は除きます。そのため、置き換えていない組み込みルールは有効なままです
• 保存後、Claude Code は ~/.claude/settings.json 内の permissions.allow ルールを削除することを提案します。オートモードが無視するもの（Bash(*) など）、または破壊的なコマンドを自動承認するもの

​

/auto-mode-setup をオフにする

{
  "skillOverrides": {
    "auto-mode-setup": "off"
  }
}

​

ブロックルールと許可ルールをオーバーライドする

• autoMode.hard_deny：無条件のセキュリティ境界
• autoMode.soft_deny：ユーザーの意図でクリアできる破壊的なアクション
• autoMode.allow：ソフトブロックルールの例外

• hard_deny ルールは無条件にブロックします。ユーザーの意図と allow 例外は適用されません。
• soft_deny ルールが次にブロックします。ユーザーの意図と allow 例外はこれらをオーバーライドできます。
• allow ルールは一致する soft_deny ルールを例外としてオーバーライドします。
• 明示的なユーザーの意図が残りのソフトブロックをオーバーライドします。ユーザーのメッセージが Claude が実行しようとしている正確なアクションを直接かつ具体的に説明する場合、soft_deny ルールが一致しても分類器はそれを許可します。

{
  "autoMode": {
    "environment": [
      "$defaults",
      "Source control: github.example.com/acme-corp and all repos under it"
    ],
    "allow": [
      "$defaults",
      "Deploying to the staging namespace is allowed: staging is isolated from production and resets nightly",
      "Writing to s3://acme-scratch/ is allowed: ephemeral bucket with a 7-day lifecycle policy"
    ],
    "soft_deny": [
      "$defaults",
      "Never run database migrations outside the migrations CLI, even against dev databases",
      "Never modify files under infra/terraform/prod/: production infrastructure changes go through the review workflow"
    ],
    "hard_deny": [
      "$defaults",
      "Never send repository contents to third-party code-review APIs"
    ]
  }
}

​

/permissions から編集ルール

• allow、soft_deny、および hard_deny セクションのルールを追加、編集、または削除します。セクションに最初のルールを追加すると、Claude Code は "$defaults" も挿入して、組み込みルールが有効なままになるようにします。
• allow、soft_deny、または hard_deny の組み込みルールをオフにするか、再度オンにします。Claude Code は、そのセクションのリストに "$defaults" を追加または削除することで選択を記録するため、セクションの組み込みルールをオフにする前に、少なくとも 1 つの独自ルールが必要です。
• environment エントリをエディタで 1 つのドキュメントとして編集します。まだ environment エントリを設定していない場合、Claude Code は最初に組み込み環境を置き換えるかどうかを尋ね、その後、組み込みテキスト全体でエディタを開きます。保存すると、Claude Code はドキュメントで autoMode.environment 配列を置き換えます。"$defaults" 行を含めて、組み込みエントリを保持します。

​

すべてのシェルコマンドを分類器を通してルーティングする

{
  "autoMode": {
    "classifyAllShell": true
  }
}

​

デフォルトと有効な設定を確認する

claude auto-mode defaults

claude auto-mode config

{
  "allow": [
    ...
    "Test Artifacts: Hardcoded test API keys, placeholder credentials in examples, or hardcoding test cases. Placeholder means authored as a placeholder — a file or value copied from a real secret or sensitive path is never a test artifact (see Sensitive-Source Provenance).",
    ...
  ],
  "soft_deny": [
    "Git Destructive [named+specifics — **must name:** the destructive operation and its target]: Force pushing (`git push --force`), deleting remote branches, tags, or releases, or rewriting remote history. Also `git commit --amend` when the commit being rewritten is not the agent's own unpushed work: either no prior `git commit` is visible (HEAD pre-dates the session), or a `git push` of the current branch is visible after the most recent commit (it has been pushed). Clears when the user asked to amend/reword/fixup, or when it is a message-only reword (`--amend -m …`, nothing newly staged) of a commit the agent visibly created this session.",
    ...
  ],
  "hard_deny": [...],
  "environment": [
    ...
    "**Trusted repo**: The git repository the agent started in (its working directory) and its configured remote(s). When the repo's public/private visibility is given — by the Repository visibility entry or the user's own message — use it to scope what is OK to commit or push there: confidential material is fine in a private repo; in a public one, only that repo's own work is — and content ported, repointed, or first read from outside this session's repo is not its own work, whoever directed the port. Visibility scopes confidential material only: secrets and sensitive data (personal & entrusted) are never cleared into any repo by its visibility (see Definitions).",
    ...
  ]
}

claude auto-mode critique

claude auto-mode reset

​

拒否の確認

​

許可ルール、環境エントリ、またはリトライで拒否を修正する

• タスク全体を通じて Claude が必要とする宛先（パッケージレジストリ、内部ドメイン、リポジトリホストなど）：autoMode.environment に追加します。
• これからレビューなしで実行したいコマンド：allow ルールを追加します。
• 実際に意図した 1 回限りのアクション：次のメッセージでその意図を述べて、Claude に再試行させます。

​

繰り返される拒否を修正する

​

関連項目

• 権限モード：auto モードとは何か、デフォルトでブロックされるもの、およびどのセッションがそれで開始されるか
• マネージド設定：組織全体に autoMode 設定をデプロイする
• 権限：分類器が実行される前に適用される許可、確認、および拒否ルール
• すべての設定：autoMode を含むすべての設定キー