オートモードの設定

• permissions.askを使用してプッシュおよびプルリクエストの人間チェックポイントを追加する
• CLAUDE.md、ユーザー設定、管理設定全体でルールを設定する場所を選択する
• autoMode.environmentを使用して信頼できるインフラストラクチャを定義する
• デフォルトがパイプラインに適さない場合、ブロックおよび許可ルールをオーバーライドする
• autoMode.classifyAllShellを使用してすべてのシェルコマンドを分類器にルーティングする
• claude auto-modeサブコマンドで有効な設定を検査する
• 拒否を確認して、次に何を追加するかを把握する

​

一般的な境界

{
  "permissions": {
    "ask": [
      "Bash(git push *)",
      "Bash(gh pr create *)"
    ]
  }
}

​

分類器が設定を読み込む場所

​

信頼できるインフラストラクチャを定義する

• コンテキストスロット：分類器が他のルールをコンテキストで読み込むように、組織、スタック、セキュリティ体制を説明します。他の 2 種類と異なり、コンテキストスロットはそれらをターゲットにする独自のルールはありません。各スロットはデフォルトで None configured または次に記載されている保守的な仮定になります。
  • Organization
  • Primary use of Claude Code：デフォルトはソフトウェア開発
  • Cloud provider(s)
  • Repository visibility：リポジトリはリモートホストと名前が別途示さない限り、プライベートと見なされます。または、会話内で分類器が読み込む前のトランスクリプト内の可視性チェックがそれが公開されていることを示している場合。分類器はメッセージと Claude が実行するコマンドを読み込みますが、その出力は読み込みません。そのため、証拠はリポジトリを公開として指定するあなた自身のメッセージなど、読み込める何かである必要があります。gh repo view の出力だけではそこに到達しません。トランスクリプト証拠チェックには Claude Code v2.1.200 以降が必要です
  • Internal sharing / snippet hosting：パブリックペーストおよび gist サービスは、指定するまで信頼境界の外側として扱われます
  • Org-specific CLIs
  • Secrets management
  • Default / protected branches：main と master は、他を指定するまで保護されたものとして扱われます
  • CI/CD deploy targets
  • Network posture
  • Protected deployment namespaces / environments：指定するまで、機密リモートターゲットヒューリスティックにフォールバックします
  • Data retention / declassification
• 信頼スロット：分類器が境界内として扱うものを指定します。スロットは「信頼できるリポジトリ」、「ソース管理」、「信頼できる内部ドメイン」、「信頼できるクラウドバケット」、「主要な内部サービス」、および「内部パッケージレジストリ」です。リポジトリとソース管理エントリはデフォルトで作業リポジトリとその設定されたリモートになります。他のすべての信頼スロットはデフォルトで None configured になるため、追加するまで他には何も信頼されません。リポジトリの可視性は機密情報のみをスコープします。プライベートリポジトリは機密情報の許容可能な宛先ですが、リポジトリをプライベートにしても、秘密、個人データ、または信頼されたデータをそこにクリアすることはなく、分類器は、作業リポジトリの外から移植、再ポイント、または最初に読み込まれたコンテンツを、そのリポジトリ自体の作業として扱いません。このスコープには Claude Code v2.1.203 以降が必要です。
• 感度スロット：保護ルールが高リスクとして扱うものを指定します。スロットは「機密データの場所とオーディエンス」、「機密リモートターゲット」、および「保護された IaC スコープ」です。各スロットはデフォルトで広いヒューリスティックになります。例えば、名前に prod または production を含むホストまたはネームスペースを機密リモートターゲットとして扱うため、保護ルールは何も設定する前にアクティブになります。感度スロットで具体的なターゲットを指定すると、これらのルールはヒューリスティックではなく指定されたターゲットに適用されます。

{
  "autoMode": {
    "environment": [
      "$defaults",
      "Source control: github.example.com/acme-corp and all repos under it",
      "Trusted cloud buckets: s3://acme-build-artifacts, gs://acme-ml-datasets",
      "Trusted internal domains: *.corp.example.com, api.internal.example.com",
      "Key internal services: Jenkins at ci.example.com, Artifactory at artifacts.example.com"
    ]
  }
}

• 組織：会社名と Claude Code が主に使用される用途（ソフトウェア開発、インフラストラクチャ自動化、データエンジニアリングなど）
• ソース管理：開発者がプッシュするすべての GitHub、GitLab、または Bitbucket 組織
• クラウドプロバイダーと信頼できるバケット：Claude が読み取りおよび書き込みできるバケット名またはプレフィックス
• 信頼できる内部ドメイン：ネットワーク内の API、ダッシュボード、サービスのホスト名（*.internal.example.com など）
• 主要な内部サービス：CI、アーティファクトレジストリ、内部パッケージインデックス、インシデント対応ツール
• 内部パッケージレジストリ：インストールがルーティングされるべき private npm、PyPI、またはその他のレジストリ。パブリックレジストリをバイパスするインストールはブロックされます
• 機密データの場所とオーディエンス：個人データ、機密ビジネスデータ、認証情報、規制対象データ、または同様に機密性の高い情報を保持するバケット、データベース、またはパス。各場所のデータが共有される可能性があるオーディエンス。分類器がコンテンツから推測する代わりにこれらの場所を保護します。Claude Code v2.1.195 から v2.1.197 はこのエントリを PII / 規制対象データの場所として指定し、オーディエンスディメンションなしで個人データまたは規制対象データを保持する場所のみをカバーします
• 機密リモートターゲット：本番環境としてカウントされるネームスペース、ホスト、またはコンテナ。リモートシェルとポートフォワードはこれらへの明示的な承認が必要です
• 保護された IaC スコープ：apply または destroy が常にあなたが変更を指定する必要があるインフラストラクチャリソース
• 追加コンテキスト：規制業界の制約、マルチテナントインフラストラクチャ、または分類器がリスクとして扱うべき内容に影響するコンプライアンス要件

{
  "autoMode": {
    "environment": [
      "$defaults",
      "Organization: {COMPANY_NAME}. Primary use: {PRIMARY_USE_CASE, e.g. software development, infrastructure automation}",
      "Source control: {SOURCE_CONTROL, e.g. GitHub org github.example.com/acme-corp}",
      "Cloud provider(s): {CLOUD_PROVIDERS, e.g. AWS, GCP, Azure}",
      "Trusted cloud buckets: {TRUSTED_BUCKETS, e.g. s3://acme-builds, gs://acme-datasets}",
      "Trusted internal domains: {TRUSTED_DOMAINS, e.g. *.internal.example.com, api.example.com}",
      "Key internal services: {SERVICES, e.g. Jenkins at ci.example.com, Artifactory at artifacts.example.com}",
      "Additional context: {EXTRA, e.g. regulated industry, multi-tenant infrastructure, compliance requirements}"
    ]
  }
}

​

ブロックルールと許可ルールをオーバーライドする

• autoMode.hard_deny：無条件のセキュリティ境界
• autoMode.soft_deny：ユーザーの意図でクリアできる破壊的なアクション
• autoMode.allow：ソフトブロックルールの例外

• hard_deny ルールは無条件にブロックします。ユーザーの意図と allow 例外は適用されません。
• soft_deny ルールが次にブロックします。ユーザーの意図と allow 例外はこれらをオーバーライドできます。
• allow ルールは一致する soft_deny ルールを例外としてオーバーライドします。
• 明示的なユーザーの意図が残りのソフトブロックをオーバーライドします。ユーザーのメッセージが Claude が実行しようとしている正確なアクションを直接かつ具体的に説明する場合、soft_deny ルールが一致しても分類器はそれを許可します。

{
  "autoMode": {
    "environment": [
      "$defaults",
      "Source control: github.example.com/acme-corp and all repos under it"
    ],
    "allow": [
      "$defaults",
      "Deploying to the staging namespace is allowed: staging is isolated from production and resets nightly",
      "Writing to s3://acme-scratch/ is allowed: ephemeral bucket with a 7-day lifecycle policy"
    ],
    "soft_deny": [
      "$defaults",
      "Never run database migrations outside the migrations CLI, even against dev databases",
      "Never modify files under infra/terraform/prod/: production infrastructure changes go through the review workflow"
    ],
    "hard_deny": [
      "$defaults",
      "Never send repository contents to third-party code-review APIs"
    ]
  }
}

​

すべてのシェルコマンドを分類器にルーティングする

{
  "autoMode": {
    "classifyAllShell": true
  }
}

​

デフォルトと有効な設定を確認する

claude auto-mode defaults

claude auto-mode config

claude auto-mode critique

​

拒否を確認する

​

関連項目

• 権限モード：オートモードとは何か、デフォルトでブロックされる内容、有効にする方法
• 管理設定：組織全体に autoMode 設定をデプロイ
• 権限：分類器が実行される前に適用される許可、質問、拒否ルール
• 設定：autoMode キーを含む完全な設定リファレンス