サンドボックス化された Bash ツールを設定する

​

開始方法

/sandbox

​

Linux と WSL2 をセットアップする

• bubblewrap：ファイルシステム分離を実施する非特権サンドボックス化ツール
• socat：サンドボックスプロキシを通じてネットワークトラフィックをルーティングするために使用されるリレー

sudo apt-get install bubblewrap socat

sudo dnf install bubblewrap socat

sudo tee /etc/apparmor.d/bwrap > /dev/null <<'EOF'
abi <abi/4.0>,
include <tunables/global>

profile bwrap /usr/bin/bwrap flags=(unconfined) {
  userns,
  include if exists <local/bwrap>
}
EOF

sudo systemctl reload apparmor

​

サンドボックスモード

• 明示的な 拒否ルールは常に尊重されます
• /、ホームディレクトリ、または他の重要なシステムパスをターゲットにする rm または rmdir コマンドは、依然として許可プロンプトをトリガーします
• コンテンツスコープの ask ルール（Bash(git push *) など）は、サンドボックス化されたコマンドでも強制的にプロンプトを表示します
• 単純な Bash ask ルール、または同等の Bash(*) 形式は、サンドボックス化されて実行されるコマンドではスキップされます。通常の許可フローにフォールバックするコマンドには依然として適用されます

​

サンドボックス化を設定する

{
  "sandbox": {
    "enabled": true,
    "filesystem": {
      "allowWrite": ["~/.kube", "/tmp/build"]
    }
  }
}

{
  "sandbox": {
    "enabled": true,
    "filesystem": {
      "denyRead": ["~/"],
      "allowRead": ["."]
    }
  }
}

​

認証情報を保護する

{
  "sandbox": {
    "enabled": true,
    "credentials": {
      "files": [
        { "path": "~/.aws/credentials", "mode": "deny" },
        { "path": "~/.ssh", "mode": "deny" }
      ],
      "envVars": [
        { "name": "GITHUB_TOKEN", "mode": "deny" },
        { "name": "NPM_TOKEN", "mode": "deny" }
      ]
    }
  }
}

​

サンドボックス化の仕組み

​

ファイルシステム分離

• デフォルトの書き込み動作：現在の作業ディレクトリとそのサブディレクトリへの読み取りおよび書き込みアクセス、加えて $TMPDIR が指すセッション一時ディレクトリへのアクセス
• デフォルトの読み取り動作：特定の拒否ディレクトリを除く、コンピュータ全体への読み取りアクセス。このデフォルトは ~/.aws/credentials や ~/.ssh/ などの認証情報ファイルの読み取りを許可することに注意してください。sandbox.credentials を使用してこれらのファイルの読み取りをブロックし、シークレット環境変数の設定を解除するか、パスを denyRead に追加してください。
• ブロックされたアクセス：明示的な許可なしに現在の作業ディレクトリおよびセッション一時ディレクトリ外のファイルを変更できません。これには ~/.bashrc などのシェル設定ファイルと /bin/ のシステムバイナリが含まれます。
• Git worktrees：作業ディレクトリがリンクされた git worktreeの場合、サンドボックスはメインリポジトリの共有 .git ディレクトリへの書き込みも許可するため、git commit などのコマンドが refs とインデックスを更新できます。そのディレクトリ内の hooks/ と config への書き込みは引き続き拒否されます。
• 設定可能：設定を通じてカスタム許可パスと拒否パスを定義します

​

ネットワーク分離

• ドメイン制限：事前に許可されたドメインはありません。コマンドが新しいドメインにアクセスする必要がある場合、Claude Code はプロンプトを表示します。v2.1.191 以降では、「はい」を選択すると現在のセッションの残りの期間、そのホストが許可されるため、同じホストへの後続の接続はプロンプトを表示しません。allowedDomainsでドメインを事前に許可してプロンプトを回避します。
• 管理ロックダウン：allowManagedDomainsOnlyが管理設定で設定されている場合、許可されていないドメインはプロンプトの代わりに自動的にブロックされ、管理設定からの allowedDomains のみが尊重されます。
• カスタムプロキシサポート：高度なユーザーは発信トラフィックにカスタムルールを実装できます
• 包括的なカバレッジ：制限はすべてのスクリプト、プログラム、およびコマンドによって生成されるサブプロセスに適用されます

​

OS レベルの実施

• macOS：サンドボックス実施に Seatbelt を使用します
• Linux：分離に bubblewrap を使用します
• WSL2：Linux と同じく bubblewrap を使用します

​

サンドボックス化が許可と許可モードにどのように関連するか

​

許可ルール

• 許可ルールは Claude Code が使用できるツールを制御し、任意のツールが実行される前に評価されます。これらは Bash、Read、Edit、WebFetch、MCP、およびその他のツールを含むすべてのツールに適用されます。
• サンドボックス化は、Bash コマンドがファイルシステムとネットワークレベルでアクセスできるものを制限する OS レベルの実施を提供します。これは Bash コマンドとその子プロセスにのみ適用されます。

​

許可モード

​

組織のサンドボックスを設定する

​

管理設定でサンドボックス化を実施する

{
  "sandbox": {
    "enabled": true,
    "failIfUnavailable": true,
    "allowUnsandboxedCommands": false
  }
}

• failIfUnavailable：Linux の bubblewrap などの不足している依存関係は、警告を表示してサンドボックス化されていない実行にフォールバックするのではなく、Claude Code の起動をブロックします
• allowUnsandboxedCommands: false：dangerouslyDisableSandbox エスケープハッチは無視されるため、サンドボックス内で失敗するコマンドはサンドボックス外で再試行できません

​

開発者がポリシーを広げるのを防ぐ

​

カスタムプロキシ設定

• HTTPS トラフィックを復号化して検査する
• カスタムフィルタリングルールを適用する
• すべてのネットワークリクエストをログに記録する
• 既存のセキュリティインフラストラクチャと統合する

{
  "sandbox": {
    "network": {
      "httpProxyPort": 8080,
      "socksProxyPort": 8081
    }
  }
}

​

トラブルシューティング

• コマンドがホスト許可なしエラーで失敗する：多くの CLI ツールは特定のホストに到達する必要があります。プロンプトが表示されたときに許可を付与すると、ホストが許可リストに追加されるため、ツールは将来サンドボックス内で実行されます。
• jest がハングまたは失敗する：watchman はサンドボックスと互換性がありません。代わりに jest --no-watchman を実行してください。
• Go ベースの CLI が macOS で TLS 検証に失敗する：gh、gcloud、terraform などのツールは Seatbelt の下で TLS 検証に失敗する可能性があります。これらのツールを excludedCommands にリストして、サンドボックス外で実行してください。httpProxyPort を MITM プロキシとカスタム CA で使用している場合は、代わりに enableWeakerNetworkIsolation を true に設定してください。
• open、osascript、またはブラウザベースの認証フローが macOS でエラー -600 で失敗する：サンドボックスはデフォルトで Apple Events をブロックします。ユーザー、管理、または CLI 設定で allowAppleEvents を true に設定して、それらを許可してください。プロジェクト設定はこのキーでは無視されます。これを有効にするとコード実行の分離が削除されます。サンドボックス化されたコマンドはユーザープロンプトなしで他のアプリケーションをサンドボックス化されていない状態で起動でき、macOS オートメーション同意プロンプト（TCC）の対象となる実行中のアプリケーションに AppleScript コマンドを送信できるためです。または、コマンドを excludedCommands に追加して、サンドボックス外で実行してください。
• docker コマンドが失敗する：docker はサンドボックスと互換性がありません。docker * を excludedCommands に追加して、サンドボックス外で実行してください。
• Bubblewrap がコンテナ内で起動に失敗する：非特権コンテナでは、bubblewrap は新しい /proc ファイルシステムをマウントできません。enableWeakerNestedSandbox を true に設定して、内部サンドボックスがコンテナの既存の /proc をバインドマウントするようにしてください。このオプションは、外部コンテナが既に必要な分離境界を提供する場合にのみ使用してください。新しい /proc マウントが隠すサンドボックス化されたコマンドにプロセス情報を公開するためです。
• Linux の Seccomp フィルター：seccomp フィルターは Unix ドメインソケットをブロックするために必要です。/sandbox の Dependencies タブに、それが利用可能かどうかが表示されます。不足している場合は、npm install -g @anthropic-ai/sandbox-runtime を実行してヘルパーをインストールしてください。
• --dangerously-skip-permissions が root として失敗する：このフラグは Linux と macOS で root として実行するか sudo 経由で実行する場合にブロックされます。root アクセスと許可プロンプトなしを組み合わせるとシステム上のあらゆるファイルまたはサービスを変更できるためです。チェックは認識されたサンドボックス内で自動的にスキップされます。コンテナで自律的に実行するには、dev container 設定を使用してください。これは Claude Code を非 root ユーザーとして実行します。

​

制限事項

​

セキュリティ上の制限

• ネットワークフィルタリング：ネットワークフィルタリングシステムは、プロセスが接続を許可されるドメインを制限することで動作します。組み込みプロキシは発信トラフィックを終了または TLS 検査を実行しないため、暗号化された接続の内容は検査されません。許可リストに含まれるドメインのみが信頼できることを確認する責任があります。

• Unix ソケットを通じた権限昇格：allowUnixSockets 設定は、サンドボックスバイパスにつながる可能性のある強力なシステムサービスへのアクセスを不注意に付与する可能性があります。たとえば、/var/run/docker.sock へのアクセスを許可すると、Docker ソケットを通じてホストシステムへのアクセスが効果的に付与されます。サンドボックスを通じて許可する Unix ソケットを慎重に検討してください。
• ファイルシステム許可昇格：過度に広いファイルシステム書き込み許可は権限昇格攻撃を有効にする可能性があります。$PATH の実行可能ファイルを含むディレクトリ、システム設定ディレクトリ、またはユーザーシェル設定ファイル（.bashrc または .zshrc）への書き込みを許可すると、他のユーザーまたはシステムプロセスがこれらのファイルにアクセスするときに異なるセキュリティコンテキストでコード実行につながる可能性があります。
• Linux サンドボックス強度：Linux 実装は強力なファイルシステムとネットワーク分離を提供しますが、特権のない名前空間なしで Docker 環境内で動作できるようにする enableWeakerNestedSandbox モードが含まれています。このオプションはセキュリティを大幅に弱め、追加の分離が別の方法で実施される場合にのみ使用する必要があります。
• macOS での Apple Events：macOS サンドボックスはデフォルトで Apple Events をブロックします。allowAppleEvents 設定はこの制限を解除して、open や osascript などのツールが動作するようにしますが、コード実行分離を削除します。サンドボックス化されたコマンドは、ユーザープロンプトなしで他のアプリケーションをサンドボックス化されていない状態で起動でき、実行中のアプリケーションに AppleScript コマンドを送信できます。これはアプリごとの macOS オートメーション同意プロンプト（TCC）の対象です。これはユーザー、管理、または CLI 設定からのみ有効です。プロジェクト設定では有効にできません。
• 設定ファイルが保護されている：サンドボックスは自動的に Claude Code の settings.json ファイルのすべてのスコープと管理設定ディレクトリへの書き込みアクセスを拒否するため、サンドボックス化されたコマンドは独自のポリシーを変更できません。

​

プラットフォームとツールの互換性

• プラットフォームサポート：macOS、Linux、WSL2 をサポートします。WSL1 とネイティブ Windows はサポートされていません。
• パフォーマンスオーバーヘッド：最小限ですが、一部のファイルシステム操作はわずかに遅くなる可能性があります。
• ツール互換性：特定のシステムアクセスパターンを必要とするツールの中には、設定調整が必要な場合や、サンドボックス外で実行する必要がある場合があります。

​

スコープ

• 組み込みファイルツール：Read、Edit、Write はサンドボックスを通じて実行するのではなく、許可システムを直接使用します。permissionsを参照してください。
• コンピュータ使用：Claude がアプリを開いてスクリーンを制御する場合、分離された環境ではなく実際のデスクトップで実行されます。アプリごとの許可プロンプトが各アプリケーションをゲートします。CLI でのコンピュータ使用または Desktop でのコンピュータ使用を参照してください。
• 環境変数：サンドボックス化された Bash コマンドはデフォルトで親プロセス環境を継承します。そこに設定されたすべての認証情報を含みます。サブプロセスから Anthropic とクラウドプロバイダーの認証情報を削除するには、CLAUDE_CODE_SUBPROCESS_ENV_SCRUBを設定してください。
• サブエージェント：subagentsは親セッションと同じプロセスで実行され、同じサンドボックス設定を使用します。親セッションでサンドボックス化が有効な場合、サブエージェント内の Bash コマンドはサンドボックス化されます。

​

関連項目

• Sandbox environments：組み込みサンドボックスと dev コンテナ、コンテナ、VM を比較する
• Security：包括的なセキュリティ機能とベストプラクティス
• Permissions：許可設定とアクセス制御
• Settings：完全な設定リファレンス
• CLI reference：コマンドラインオプション