権限を設定する

権限システム

権限プロンプトに回答するときにコメントを追加する

• Enter：コメントが添付された状態で回答を送信します。フィールドを空のままにすると、Claude Code はコメントなしで回答を送信します。
• Tab：フィールドを閉じて回答しません。Claude Code は入力したテキストを保持し、そのオプションで回答する場合でも送信します。
• Shift+Tab：ファイルプロンプト（Edit または Write プロンプトなど）では、フィールドを Tab と同じように閉じます。v2.1.235 より前では、フィールド内で Shift+Tab を押すと、セッションの残りの部分のアクションを許可するオプションが選択されたため、Claude Code はセッションの残りの部分のアクションを承認し、コメントを破棄しました。

• はい：Claude Code はアクションを実行し、結果の後に Claude にコメントを送信します。
• いいえ：Claude Code はコメントを Claude に拒否の理由として送信し、Claude は作業を続けます。メインの会話からのプロンプトでコメントなしでいいえを選択すると、Claude Code はターンを停止します。

権限を管理する

• Allow ルールは、Claude Code が手動承認なしで指定されたツールを使用できるようにします。
• Ask ルールは、Claude が指定されたツールを使用しようとしたときに確認を求めます。
• Deny ルールは、Claude Code が指定されたツールを使用することを防止します。

権限モード

権限ルール構文

ツールのすべての使用をマッチさせる

細かい制御のためにスペシファイアを使用する

入力パラメータでマッチさせる

• パラメータ名は Agent ツール上の model など、ツールの入力の直接フィールドである必要があります。オブジェクトまたは配列内にネストされたフィールドはマッチ可能ではありません
• 各ルールは 1 つのパラメータに名前を付けます。model と isolation の両方でゲートするには、1 つのルールで組み合わせるのではなく、Agent(model:opus) と Agent(isolation:worktree) の 2 つのルールを記述します
• 値は * をワイルドカードとしてサポートし、任意の文字シーケンスにマッチするため、Agent(isolation:*) は任意の明示的な isolation 値にマッチします。* がない場合、マッチは正確です
• モデルが省略するパラメータは決してマッチしないため、Agent(model:*) は model が設定されていない呼び出しにはマッチしません
• 値は Claude が送信するリテラル入力と比較され、正規化の前です。Agent(model:opus) は別名 opus にマッチしますが、完全なモデル ID にはマッチしません
• Skill(skill:<name>) 拒否ルールは代わりに スキルをそのいずれかの名前でマッチさせます。別名や表示名など
• --verbose で実行して、各ツール呼び出しの正確なパラメータ名と値を確認してください
• コロンの周りのホワイトスペースは無視されます

ワイルドカードパターン

{
  "permissions": {
    "allow": [
      "Bash(npm run *)",
      "Bash(git commit *)"
    ],
    "deny": [
      "Bash(git push *)"
    ]
  }
}

• * はその場所にあるテキストの代わりになります。 Bash(git * main) では、サブコマンドの代わりになるため、Claude Code はすべての git サブコマンドとその前のすべてのオプションにマッチします。これには -c が含まれます。これは git に名前を付けたプログラムを実行させます。Bash(* --version) では、* はプログラムの代わりになるため、任意のプログラムがマッチします。
• 末尾の * とその前のスペースは、ベアコマンドにもマッチします。 Bash(ls *) は ls にマッチし、Bash(git log *) は git log にマッチします。これは末尾の * がルールの唯一のワイルドカードである場合にのみ成立します。Bash(* --help *) は npm --help x にマッチしますが npm --help にはマッチしません。
• 末尾の * の前のスペースはルールの一部です。 Bash(ls *) は ls の後にスペースが必要であるため、lsof はマッチしません。Bash(ls*) にはスペースがないため、lsof にもマッチします。

ツール名ワイルドカード

{
  "permissions": {
    "deny": [
      "mcp__*"
    ]
  }
}

ツール固有の権限ルール

Bash

複合コマンド

ラッパー

exec ラッパーと find アクション

• exec ラッパー: watch、setsid、ionice、flock など
• find: -exec、-delete、-rm、-fprint など、コマンドを実行する、ファイルを削除する、またはファイルに書き込むアクションを伴うもの、あるいは検索するパスをファイルから受け取る -files0-from を伴うもの

Bash ルールがマッチしないもの

読み取り専用コマンド

• 書き込み可能なフラグを持つコマンドでの引用符なしの glob: find、sort、sed、git など、書き込みまたは実行が可能なフラグを持つコマンドは、引用符で囲まれていない glob が存在する場合に確認を求めます。glob が -delete のようなフラグに展開される可能性があるためです。
• 別のデーモンを指す docker: docker の読み取り専用形式は、-H、--context、または Podman の --url や --connection など、別のデーモンを選択するフラグをコマンドが含む場合に確認を求めます。
• パスを開くフラグを伴う file: file は、-m/--magic-file または -f/--files-from を渡す場合に確認を求めます。これらのフラグにより、file がフラグの値で指定されたパスを開くためです。
• 環境変数を出力する可能性のある ps: ps は、ps auxe や ps aux -e のように、引数のいずれかが e オプションとして機能しうる場合に確認を求めます。このオプションはプロセスの環境変数を出力するためです。ps aux と ps -ef は確認なしで実行されます。ps aux -e のようなダッシュ付き形式のチェックには Claude Code v2.1.290 以降が必要です。
• 検索と表示以外のフラグを伴う which: which は、-i/--read-alias や --read-functions などのフラグを渡す場合に確認を求めます。which node と which -a node は確認なしで実行されます。
• Windows 上のネットワークパス: \\server\share\file のようなネットワーク（UNC）パスを引数に含むコマンドは確認を求めます。ネットワークパスへのアクセスにより、Windows の認証情報がそのパスで指定されたホストに送信される可能性があるためです。同じチェックが PowerShell ツールのコマンドにも適用されます。
• 特殊なシェル変数への書き込み: PATH や IFS など、特定の特殊なシェル変数を設定、解除、またはループするコマンドは、コマンドの残りの部分が読み取り専用であっても確認を求めます。
• 解析できないコマンド: Claude Code がコマンドを完全に解析できない場合、そのコマンドを読み取り専用として扱うのではなく承認を求めます。10,000 文字を超えるコマンドは、解析できる範囲を超えるため常に確認を求めます。

• cd と git: cd が別のディレクトリに移動する場合に確認を求めます。新しいディレクトリで git を実行すると、そのディレクトリのフックが実行される可能性があるためです。対象が現在の作業ディレクトリに解決される cd は何もしない操作であり、確認は発生しません。
• cd とリダイレクト: cd の実行後にリダイレクト先がどのディレクトリを基準に解決されるかを Claude Code が判断できない場合に確認を求めます。cd app; grep -r pattern . 2>/dev/null のように、リダイレクト先が /dev/null のみであるコマンドは確認を求めません。/dev/null は作業ディレクトリに依存しないためです。

リダイレクト

• 出力リダイレクト: > file、>> file、2> file の場合、チェックは Edit の許可ルールと拒否ルール、保護されたパス、および作業ディレクトリを対象とします。Bash(git commit *) のようなルールはコマンドを許可するものであり、リダイレクト先を許可するものではありません。~ で始まる、または glob 文字を含むリダイレクト先には承認が必要です。
• 入力リダイレクト: < file の場合、チェックは Read の許可ルールと拒否ルール、および作業ディレクトリを対象とします。作業ディレクトリ外のリダイレクト先には、許可ルールでカバーされていない限り承認が必要です。glob パターンを含むリダイレクト先、または同じコマンド内の cd の後に続く相対パスは、許可ルールでカバーされていても承認が必要です。Claude Code は v2.1.257 以降で入力先をチェックします。

PowerShell

{
  "permissions": {
    "allow": [
      "PowerShell(Get-ChildItem *)",
      "PowerShell(git commit *)"
    ],
    "deny": [
      "PowerShell(Remove-Item *)"
    ]
  }
}

Read と Edit

Read ルールと Edit ルールの対象

• 画像パス: ターミナルでプロンプトに画像のパスを貼り付けたり画像ファイルをドラッグしたりしたときに、ルールがそのパスにマッチする場合、Claude Code は画像を添付しません。貼り付けた内容に他の画像が含まれていない場合、パスはテキストとしてプロンプトに残ります。
• ディレクトリ: Claude が受け取る一覧から、ルールにマッチするファイル名とディレクトリ名が除外されます。

Write(path)、Glob(path)、Grep(path) ルールはマッチしない

• Write、NotebookEdit、または従来の MultiEdit: Write(docs/**) の代わりに Edit(docs/**) を使用します。
• Glob または Grep: Grep(docs/**) の代わりに Read(docs/**) を使用します。確認ルールとしての Read(docs/**) は、Claude がマッチするパスに対して Grep または Glob を呼び出したときに確認を求めますが、その上位にある作業ディレクトリの検索がマッチするファイルを返した場合には確認を求めません。

パスパターンのマッチ方法

パターンの基準点

• Edit(/docs/**): <primary working directory>/docs/ 内の編集。/docs/ や <primary working directory>/.claude/docs/ ではありません
• Read(~/.zshrc): ホームディレクトリの .zshrc の読み取り
• Edit(//tmp/scratch.txt): 絶対パス /tmp/scratch.txt の編集
• Read(src/**): 許可ルールとしては <current-directory>/src/ からのみ読み取り、拒否ルールまたは確認ルールとしては現在のディレクトリ配下の任意の深さにある src ディレクトリにマッチ

パターンがマッチする深さ

• 許可ルール: Edit(src/**) は <cwd>/src とその配下のファイルのみにマッチします。任意の深さのディレクトリ名を許可するには、Edit(**/src/**) と書いてください。
• 拒否ルールと確認ルール: Read(secrets/**) は現在のディレクトリ配下の任意の深さにある secrets という名前のディレクトリにマッチするため、ルールはネストされたコピーにも適用されます。

<current-directory>/
├── src/
│   └── app.ts
└── vendor/
    └── pkg/
        └── src/
            └── lib.js

特殊文字と ! による否定

• Claude Code は、! の後に /、~/、// が続く場合でも ! パターンを現在のディレクトリからの相対パスとして読み取るため、パターンはこれらのプレフィックスのいずれかを基準とするルールには及びません。Read(!~/notes/public/**) は Read(~/notes/**) から何も除外しません。
• 除外によって、ルールがディレクトリ全体としてブロックしているディレクトリ内のファイルを再び開くことはできません。Read(secrets/**) と Read(!secrets/public/**) がある場合、Claude Code は secrets の残りの部分と一緒に secrets/public も引き続きブロックします。

シンボリックリンク

ルールがシンボリックリンクされたパスにマッチする仕組み

• 許可ルール: 要求されたパスとその解決先のファイルの両方がマッチする場合にのみ適用されます。許可されたディレクトリ内にあり、その外を指すシンボリックリンクを介した読み取りは、ルールにマッチしません。
• 拒否ルール: 要求されたパスまたはその解決先のファイルのいずれかがマッチする場合に適用されます。拒否されたファイルを指すシンボリックリンクは、それ自体が拒否されます。たとえば、Read(./project/**) が許可され、Read(~/.ssh/**) が拒否されている場合、~/.ssh/id_rsa を指す ./project/key のシンボリックリンクはブロックされます。リンク先が許可ルールを満たさず、拒否ルールにマッチするためです。

シンボリックリンクを介した添付

• @ メンション: プロンプトでメンションしたファイルまたはディレクトリ。拒否されたファイルは会話に何も残さず、ディレクトリの一覧からはルールがカバーする名前が除外されます。
• 貼り付けた画像: ターミナルでプロンプトにパスを貼り付けたりドラッグしたりした画像
• 変更されたファイル: ディスク上で変更された後に Claude Code が再度読み取るファイル
• IDE コンテキスト: 接続された IDE が共有する選択範囲や開いているファイルのコンテキスト

Referenced <path> (not read: could not be examined)

シンボリックリンクを介した書き込み

• 作業ディレクトリ外に解決される場合: 要求されたパスが作業ディレクトリ内にあり、その解決先のファイルが作業ディレクトリ外にある場合、acceptEdits モードでは書き込みは自動承認されません。auto モードでは、許可ルールが書き込みを承認しない限り、分類器が判断するのではなくユーザーに確認が求められます。確認には書き込みの解決先のパスが表示されます。
• 要求されたパスが指定していない保護されたパスに解決される場合: 保護されたパスの表に各権限モードでの結果が示されています。ただし、表で書き込みが分類器に回される場合、この書き込みでは代わりにユーザーに確認が求められます。

解決できない、または変化するパス

ネットワークパス

• 許可ルール: Read のようなツール全体に対するルールを含め、ルールは読み取りを事前承認しません
• PreToolUse フック: "allow" を返すフックは確認をスキップしません
• auto モード: 確認はユーザーに届き、分類器は読み取りを判断しません

• Windows: 作業ディレクトリで説明されているように、共有をドライブ文字にマッピングし、Claude Code の起動時に --add-dir でそのドライブを渡します。Z: にマッピングした共有の場合は、PowerShell で claude --add-dir Z:\ を実行します。
• macOS と Linux: Working directory is a network path で説明されているように、/mnt や /Volumes 配下のディレクトリなどのローカルパスに共有をマウントし、そこからファイルを読み取ります

WebFetch

• WebFetch(domain:example.com) は example.com へのリクエストのみにマッチします。api.example.com のようなサブドメインもカバーするには、WebFetch(domain:*.example.com) ルールを追加してください
• WebFetch(domain:*.example.com) は、api.example.com や a.b.example.com など任意の深さのサブドメインにマッチしますが、example.com 自体にはマッチしません
• WebFetch(domain:*) はすべてのドメインにマッチします。これは単独の WebFetch ルールとは異なります。すべての取得を許可または拒否するを参照してください

すべての取得を許可または拒否する

{
  "permissions": {
    "allow": ["WebFetch"]
  }
}

MCP

• mcp__puppeteer は puppeteer サーバーが提供する任意のツールにマッチします
• mcp__puppeteer__* はワイルドカード構文を使用し、同じく puppeteer サーバーのすべてのツールにマッチします
• mcp__puppeteer__puppeteer_navigate は puppeteer サーバーが提供する puppeteer_navigate ツールにマッチします

• . やスペースなどの文字を含む名前: これらの文字は _ になるため、my.server として設定したサーバーには mcp__my_server__* と書きます
• プラグインが提供するサーバー: <server> はプラグインスコープの形式をとるため、my-plugin という名前のプラグイン内の database-tools サーバーには mcp__plugin_my-plugin_database-tools__* と書きます
• __ を含む、または _ で終わる <server>: 名前全体を使ったワイルドカード形式 mcp__<server>__* を書きます。reports__v2 という名前のサーバーには、mcp__reports__v2__* と書きます。単独の mcp__reports__v2 や短い mcp__reports は、Claude Code がどちらも reports という名前のサーバーに対するルールとして読み取るため、許可ルールとしてはそのツールにマッチしません。 一方、拒否ルールまたは確認ルールとしては、これら 2 つの名前はいずれも reports__v2 サーバーのすべてのツールもカバーします。reports という名前のサーバーだけをカバーするには、mcp__reports__<tool> 形式でツールごとに 1 つのルールを書くか、いずれかのサーバーの名前を変更してください。

Agent（サブエージェント）

• Agent(Explore) は Explore サブエージェントにマッチします
• Agent(Plan) は Plan サブエージェントにマッチします
• Agent(my-custom-agent) は my-custom-agent という名前のカスタムサブエージェントにマッチします

{
  "permissions": {
    "deny": ["Agent(Explore)"]
  }
}

Cd

フックで権限を拡張する

ルール、フック、mod の間の優先順位

• 拒否ルールが拒否するコールは拒否されたままです。
• 確認ルールがプロンプトを表示するコールでは、引き続きプロンプトが表示されます。
• PreToolUse フックまたは permissions.blockReadsOutsideWorkingDirectories がプロンプトを表示するコールでは、引き続きプロンプトが表示されます。
• PreToolUse フックがブロックしたコールは、フックがどの設定ファイルに由来するかにかかわらず、ブロックされたままです。
• --permission-prompt-tool または Agent SDK の canUseTool コールバックに確認が求められるコールは、引き続きそのツールまたはコールバックに渡されます。

• auto モード: mod が承認したコールは分類器チェックなしで実行されます。ただし、mod が権限プロンプトツールや Agent SDK の権限コールバックをバイパスできない場合は除きます。その場合は、分類器が先にコールをチェックします。
• plan モード: mod は、ファイル編集や書き込みを行うシェルコマンドなど、読み取り専用でないコールを承認できません。
• dontAsk モード: mod は、モード以外に拒否するものがないコールを承認できます。

plan モードでのフックによる承認

作業ディレクトリ

• 起動時：--add-dir <path> CLI 引数を使用します
• セッション中：/add-dir コマンドを使用します
• 永続的な設定：設定ファイルの additionalDirectories に追加します

作業ディレクトリ外でのファイルツールの読み取りと書き込みをブロックする

• permissions.blockReadsOutsideWorkingDirectories：ファイルツールは、Claude Code 自体が必要とするファイルを除き、作業ディレクトリ外での読み取りを拒否します。auto モードでは、Claude が作業ディレクトリの外側を読み取る最初の時点で、Claude Code がこれをオンにするよう提案します。
• permissions.blockWritesOutsideWorkingDirectories：Write、Edit、NotebookEdit ツールは、プランファイルなど Claude Code 自身の一部のファイルを除き、作業ディレクトリ外への書き込みを拒否します。このキーはシェルコマンド、MCP ツール、フックが実行するプログラムを制限しないため、シェルコマンドが書き込む場所を制限するにはサンドボックス化を使用してください。Claude Code v2.1.314 以降が必要です。

セッションを別のディレクトリに移動する

• プロジェクト設定（権限ルールとhooksを含む）
• .mcp.json サーバー（起動時と同じサーバー承認の対象であり、それに登録したローカルスコープ MCP サーバー）
• 設定が有効にするプラグイン、そのスキル、およびそのサブエージェント
• env 値（前のディレクトリの設定から適用された環境変数の上に適用され、有効なままです）

追加ディレクトリはファイルアクセスを許可し、設定ではありません

出力スタイル、フック、ローカル設定の読み込み元

• ユーザーレベルの設定：~/.claude/agents/、~/.claude/output-styles/、または ~/.claude/settings.json にファイルを配置して、すべてのプロジェクトで利用可能にします
• プラグイン：設定をプラグインとしてパッケージ化および配布し、チームがインストールできるようにします
• 設定ディレクトリから起動する：使用する .claude/ 設定を含むディレクトリから Claude Code を実行します

権限とサンドボックス化の相互作用

• 権限は、Claude Code が使用できるツールと、アクセスできるファイルやドメインを制御します。権限は Bash、Read、Edit、WebFetch、MCP をはじめとするすべてのツールに適用されます。ただし、他のツールが 1 つでも残っている間は、拒否ルールや確認ルールで EndConversation をブロックすることはできません。
• サンドボックス化は、シェルコマンドのファイルシステムおよびネットワークへのアクセスを制限する OS レベルの強制を提供します。これは Bash、PowerShell、Monitor ツールのコマンドとその子プロセスに適用されます。

• Bash(git push *) のような内容を限定した確認ルールは、引き続き確認を強制します
• 自動許可モードで説明されているように、その他のサンドボックス化されたコマンドも通常の権限フローを経由する場合があります

管理設定

設定の優先順位

プロジェクトの許可ルールとワークスペーストラスト

• リポジトリ内では、Claude Code は git リポジトリルートをキーとしてトラストを保存するため、トラストはリポジトリ全体をカバーします。ただし、サブモジュールなどのネストされた git リポジトリは除きます。worktree では、保存されたルールの場合と同様にメインチェックアウトのルートを使用します。
• リポジトリ外では、Claude Code はそれを起動したディレクトリをキーとしてトラストを保存し、そのディレクトリのサブディレクトリをカバーします。ただし、クローンなどのネストされた git リポジトリは除きます。カバーされた各サブディレクトリは、その親を信頼したフォルダとしてカウントされます。
• ホームディレクトリから起動した場合、Claude Code はトラストを現在のセッションのみ保持し、ディスクに書き込みません。追加のセーフガードに関する注記を参照してください。

ローカル設定ファイルがトラストを必要とする場合

• 設定ホーム内： Claude Code は git を実行せずにそのフォルダの .claude/settings.local.json をすぐに適用します。設定ホームはホームディレクトリ、または .claude サブディレクトリを CLAUDE_CONFIG_DIR として設定したディレクトリです。その CLAUDE_CONFIG_DIR ディレクトリが git リポジトリ内にあり、Claude Code がリポジトリルートでローカル設定を保持する場合、他の場所と同様にルールを保持します。
• その他の場所： Claude Code はプロジェクト設定と同様にファイルのルールを保持します。チェックが実行されると、Claude Code は追跡されていないファイルのルール、またはどの git リポジトリの外にあるディレクトリ内のファイルのルールを適用します。その正確なフォルダを信頼していなくても同様です。

フォルダを信頼する前に実行されるもの

• --setting-sources user を渡すか、SDK の settingSources をプロジェクト設定なしで設定して、Claude Code がプロジェクトの設定ファイルも .mcp.json も読み込まないようにします
• --bare で起動して、Claude Code がプロジェクトからフック、スキル、カスタムコマンド、サブエージェント、プラグイン、または .mcp.json サーバーを読み込まないようにします。プロジェクトの env ブロックと、その設定ファイル内の awsAuthRefresh などのヘルパーは依然として適用され、Claude Code は apiKeyHelper を --settings からのみ読み込みます
• --settings '{"disableAllHooks": true}' を渡して、その実行のフックをオフにします。ユーザー設定のみで設定するのは十分ではありません。リポジトリのプロジェクト設定がユーザーの設定より優先され、それを false に戻すことができるためです
• disabledMcpjsonServers エントリを追加して、すべてのセッションタイプで .mcp.json サーバーを名前で拒否します

設定例

関連項目

• すべての設定：権限キーを含むすべての設定キー
• auto モードを設定する：auto モード分類器に組織が信頼するインフラストラクチャを伝えます
• サンドボックス：Bash コマンドの OS レベルのファイルシステムとネットワーク分離
• 認証：Claude Code へのユーザーアクセスを設定します
• セキュリティ：セキュリティ保護とベストプラクティス
• フック：ワークフローを自動化し、権限評価を拡張します