オートモードの設定

• permissions.askを使用してプッシュおよびプルリクエストの人間チェックポイントを追加する
• autoMode.environmentを使用して信頼できるインフラストラクチャを定義する
• /auto-mode-setupを使用して環境エントリを生成する
• 拒否を確認して、次に何を追加するかを把握する

​

一般的な境界

​

人間によるチェックポイントを追加する

{
  "permissions": {
    "ask": [
      "Bash(git push *)",
      "Bash(gh pr create *)"
    ]
  }
}

​

分類器が設定を読み込む場所

​

信頼できるインフラストラクチャを定義する

• コンテキストスロット: 組織、スタック、セキュリティ体制を説明し、分類器がコンテキスト内の他のルールを読み取れるようにします。各スロットはデフォルトで None configured または次に示す保守的な仮定に設定されます。
  • Organization（組織）
  • Claude Code の主な用途: ソフトウェア開発がデフォルト
  • クラウドプロバイダー
  • リポジトリの可視性: リポジトリはリモートホストと名前が別途示さない限りプライベートと見なされます。または分類器が会話の前の段階で読み取った可視性チェックでそれがパブリックであることが示されている場合。 Claude Code 自体が送信する分類器リクエストでは、分類器はメッセージと Claude が実行するコマンドを読み取り、その出力は読み取りません。証拠は分類器が読み取ることができるもの（リポジトリをパブリックとして名前を付けた独自のメッセージなど）である必要があります。gh repo view の出力だけではそこに到達しません。
  • 内部共有 / スニペットホスティング: パブリックペーストおよび gist サービスは、名前を付けるまで信頼境界の外側として扱われます
  • 組織固有の CLI
  • シークレット管理
  • CI/CD デプロイターゲット
  • ネットワーク体制
  • ホスト隔離: デフォルトは、オープンインターネットを備えた通常の開発者マシンまたは CI ランナーです。Claude Code がコンテナ、VM、またはポッド内で実行され、エグレス許可リストまたは接触してはいけないネイバーがある場合は、許可されたホスト、クラウドメタデータエンドポイントに到達可能かどうか、およびタスクが使用するクラウドプロジェクト、クラスタ、またはレジストリと使用する ID を名前付けします。このエントリがその ID を名前付けするまで、分類器はホストの独自の認証情報に対するリクエストをブロックします。Claude Code v2.1.257 以降が必要です
  • 保護されたデプロイメント名前空間 / 環境: 名前を付けるまで「機密リモートターゲット」ヒューリスティックにフォールバックします
  • データ保持 / 機密解除
• 信頼スロット: 分類器が境界内として扱うものを名前付けします。スロットは「信頼できるリポジトリ」、「ソース管理」、「信頼できる内部ドメイン」、「信頼できるクラウドバケット」、「主要な内部サービス」、および「内部パッケージレジストリ」です。リポジトリおよびソース管理エントリはデフォルトで作業リポジトリとその設定されたリモートに設定されます。他のすべての信頼スロットはデフォルトで None configured に設定されるため、追加するまで他に信頼できるものはありません。リポジトリの可視性は機密資料のみをスコープします。プライベートリポジトリは機密資料の許容可能な宛先ですが、リポジトリをプライベートにしてもシークレット、個人データ、または信頼されたデータがそこにクリアされることはなく、分類器は作業リポジトリの外側からポート、リポイント、または最初に読み取られたコンテンツをそのリポジトリ独自の作業として扱いません。
• 感度スロット: 保護ルールが高リスクとして扱うものを名前付けします。スロットは「機密データの場所とオーディエンス」、「機密リモートターゲット」、および「保護された IaC スコープ」です。各スロットはデフォルトで広範なヒューリスティック（名前に prod または production を含むホストまたは名前空間を機密リモートターゲットとして扱うなど）に設定されるため、保護ルールは何も設定する前からアクティブです。感度スロットに具体的なターゲットを名前付けすると、これらのルールはヒューリスティックではなく名前付けされたターゲットに適用されます。

{
  "autoMode": {
    "environment": [
      "$defaults",
      "Source control: github.example.com/acme-corp and all repos under it",
      "Trusted cloud buckets: s3://acme-build-artifacts, gs://acme-ml-datasets",
      "Trusted internal domains: *.corp.example.com, api.internal.example.com",
      "Key internal services: Jenkins at ci.example.com, Artifactory at artifacts.example.com"
    ]
  }
}

• Organization（組織）: 会社名と Claude Code が主に使用される用途（ソフトウェア開発、インフラストラクチャオートメーション、データエンジニアリングなど）
• ソース管理: 開発者がプッシュするすべての GitHub、GitLab、または Bitbucket 組織
• クラウドプロバイダーと信頼できるバケット: Claude が読み取りおよび書き込みできるバケット名またはプレフィックス
• 信頼できる内部ドメイン: *.internal.example.com のようなネットワーク内の API、ダッシュボード、サービスのホスト名
• 主要な内部サービス: CI、アーティファクトレジストリ、内部パッケージインデックス、インシデント対応ツール
• 内部パッケージレジストリ: インストールがルーティングされるプライベート npm、PyPI、またはその他のレジストリ。パブリックレジストリをバイパスするインストールがブロックされるようにします
• 機密データの場所とオーディエンス: 個人データ、機密ビジネスデータ、認証情報、規制データ、または同様に機密性の高い資料を保持するバケット、データベース、またはパス、および各場所のデータが共有される可能性があるオーディエンス。分類器がコンテンツから推測する代わりにこれらの場所を保護します。
• 機密リモートターゲット: 本番環境としてカウントされる名前空間、ホスト、またはコンテナ。リモートシェルおよびポートフォワードにはユーザーの明示的な承認が必要です
• 保護された IaC スコープ: 適用または破棄が常にユーザーが変更を名前付けする必要があるインフラストラクチャリソース
• 追加コンテキスト: 規制業界の制約、マルチテナントインフラストラクチャ、または分類器がリスクとして扱うべきことに影響するコンプライアンス要件

{
  "autoMode": {
    "environment": [
      "$defaults",
      "Organization: {COMPANY_NAME}. Primary use: {PRIMARY_USE_CASE, e.g. software development, infrastructure automation}",
      "Source control: {SOURCE_CONTROL, e.g. GitHub org github.example.com/acme-corp}",
      "Cloud provider(s): {CLOUD_PROVIDERS, e.g. AWS, GCP, Azure}",
      "Trusted cloud buckets: {TRUSTED_BUCKETS, e.g. s3://acme-builds, gs://acme-datasets}",
      "Trusted internal domains: {TRUSTED_DOMAINS, e.g. *.internal.example.com, api.example.com}",
      "Key internal services: {SERVICES, e.g. Jenkins at ci.example.com, Artifactory at artifacts.example.com}",
      "Additional context: {EXTRA, e.g. regulated industry, multi-tenant infrastructure, compliance requirements}"
    ]
  }
}

​

/auto-mode-setup で環境エントリを生成する

​

/auto-mode-setup が読み込むもの

• このプロジェクトの CLAUDE.md、README.md、設定ファイル、および git リモート
• autoMode および permissions.allow 設定
• Claude がこのプロジェクトの最近のセッションで実行したコマンドのホスト、バケット、コマンド名（メッセージは含まない）

• シェル履歴内の各コマンドの最初の単語
• ホームディレクトリ下のリポジトリのリモートホストと名前

​

ドラフトを確認して保存する

• Claude Code は "$defaults" なしで environment リストを書き込みます。ドラフトが変更されていない組み込みエントリを明示しているため
• Claude Code は、ドラフトがエントリを追加する allow、soft_deny、および hard_deny リストのそれぞれに "$defaults" を含めます。ただし、既に allow リストを "$defaults" なしで作成している場合は除きます。そのため、置き換えていない組み込みルールは有効なままです
• 保存後、Claude Code は ~/.claude/settings.json 内の permissions.allow ルールを削除することを提案します。オートモードが無視するもの（Bash(*) など）、または破壊的なコマンドを自動承認するもの

​

/auto-mode-setup をオフにする

{
  "skillOverrides": {
    "auto-mode-setup": "off"
  }
}

​

ブロックルールと許可ルールをオーバーライドする

• autoMode.hard_deny：無条件のセキュリティ境界
• autoMode.soft_deny：ユーザーの意図でクリアできる破壊的なアクション
• autoMode.allow：ソフトブロックルールの例外

• hard_deny ルールは無条件にブロックします。ユーザーの意図と allow 例外は適用されません。
• soft_deny ルールが次にブロックします。ユーザーの意図と allow 例外はこれらをオーバーライドできます。
• allow ルールは一致する soft_deny ルールを例外としてオーバーライドします。
• 明示的なユーザーの意図が残りのソフトブロックをオーバーライドします。ユーザーのメッセージが Claude が実行しようとしている正確なアクションを直接かつ具体的に説明する場合、soft_deny ルールが一致しても分類器はそれを許可します。

{
  "autoMode": {
    "environment": [
      "$defaults",
      "Source control: github.example.com/acme-corp and all repos under it"
    ],
    "allow": [
      "$defaults",
      "Deploying to the staging namespace is allowed: staging is isolated from production and resets nightly",
      "Writing to s3://acme-scratch/ is allowed: ephemeral bucket with a 7-day lifecycle policy"
    ],
    "soft_deny": [
      "$defaults",
      "Never run database migrations outside the migrations CLI, even against dev databases",
      "Never modify files under infra/terraform/prod/: production infrastructure changes go through the review workflow"
    ],
    "hard_deny": [
      "$defaults",
      "Never send repository contents to third-party code-review APIs"
    ]
  }
}

​

/permissions から編集ルール

​

すべてのシェルコマンドを分類器を通してルーティングする

{
  "autoMode": {
    "classifyAllShell": true
  }
}

​

デフォルトと有効な設定を確認する

claude auto-mode defaults

claude auto-mode config

{
  "allow": [
    ...
    "Test Artifacts: Hardcoded test API keys, placeholder credentials in examples, or hardcoding test cases. Placeholder means authored as a placeholder — a file or value copied from a real secret or sensitive path is never a test artifact (see Sensitive-Source Provenance).",
    ...
  ],
  "soft_deny": [
    "Git Destructive [named+specifics — **must name:** the destructive operation and its target]: Force pushing (`git push --force`), deleting remote branches, tags, or releases, or rewriting remote history. Also `git commit --amend` when the commit being rewritten is not the agent's own unpushed work: either no prior `git commit` is visible (HEAD pre-dates the session), or a `git push` of the current branch is visible after the most recent commit (it has been pushed). Clears when the user asked to amend/reword/fixup, or when it is a message-only reword (`--amend -m …`, nothing newly staged) of a commit the agent visibly created this session.",
    ...
  ],
  "hard_deny": [...],
  "environment": [
    ...
    "**Trusted repo**: The git repository the agent started in (its working directory) and its configured remote(s). When the repo's public/private visibility is given — by the Repository visibility entry or the user's own message — use it to scope what is OK to commit or push there: confidential material is fine in a private repo; in a public one, only that repo's own work is — and content ported, repointed, or first read from outside this session's repo is not its own work, whoever directed the port. Visibility scopes confidential material only: secrets and sensitive data (personal & entrusted) are never cleared into any repo by its visibility (see Definitions).",
    ...
  ]
}

claude auto-mode critique

claude auto-mode reset

​

拒否の確認

​

許可ルール、環境エントリ、またはリトライで拒否を修正する

• タスク全体を通じて Claude が必要とする宛先（パッケージレジストリ、内部ドメイン、リポジトリホストなど）：autoMode.environment に追加します。
• これからレビューなしで実行したいコマンド：allow ルールを追加します。
• 実際に意図した 1 回限りのアクション：次のメッセージでその意図を述べて、Claude に再試行させます。

​

繰り返される拒否を修正する

​

関連項目

• 権限モード：auto モードとは何か、デフォルトでブロックされるもの、およびどのセッションがそれで開始されるか
• マネージド設定：組織全体に autoMode 設定をデプロイする
• 権限：分類器が実行される前に適用される許可、確認、および拒否ルール
• すべての設定：autoMode を含むすべての設定キー