サンドボックス化された Bash ツールを設定する

​

開始方法

/sandbox

claude --settings '{"sandbox": {"enabled": true, "allowUnsandboxedCommands": false}}'

​

Linux と WSL2 をセットアップする

• bubblewrap：ファイルシステム分離を実施する非特権サンドボックス化ツール
• socat：サンドボックスプロキシを通じてネットワークトラフィックをルーティングするために使用されるリレー

sudo apt-get install bubblewrap socat

sudo dnf install bubblewrap socat

sudo tee /etc/apparmor.d/bwrap > /dev/null <<'EOF'
abi <abi/4.0>,
include <tunables/global>

profile bwrap /usr/bin/bwrap flags=(unconfined) {
  userns,
  include if exists <local/bwrap>
}
EOF

sudo systemctl reload apparmor

​

サンドボックスモード

​

自動許可モード

• 明示的な 拒否ルールは常に尊重されます
• 重要なパスをターゲットにする rm または rmdir コマンドは、依然として通常の許可フローを通じます
• Bash(git push *) のようなコンテンツスコープの ask ルールは、サンドボックス化されたコマンドでも強制的にプロンプトを表示します
• 単純な Bash ask ルール、または同等の Bash(*) 形式は、サンドボックス化されて実行されるコマンドではスキップされます。通常の許可フローにフォールバックするコマンドには依然として適用されます。Plan Mode では、ルールはスキップされません。読み取り専用のものを含む、サンドボックス化されたコマンドのプロンプトを表示します。v2.1.212 より前では、スキップは Plan Mode でも適用されていました

​

通常の許可モード

​

サンドボックス化されていない再試行エスケープハッチ

• バックグラウンドセッション： strict sandbox mode はシェルモードコマンドもカバーします
• CLAUDE_CODE_SUBPROCESS_ENV_SCRUB が設定された Linux セッション： すべてのコマンドがサンドボックス化され、シェルモードコマンドを含みます

​

一時ディレクトリ

​

サンドボックスの設定

{
  "sandbox": {
    "enabled": true,
    "filesystem": {
      "allowWrite": ["~/.kube", "/tmp/build"]
    }
  }
}

{
  "sandbox": {
    "enabled": true,
    "filesystem": {
      "denyRead": ["~/"],
      "allowRead": ["."]
    }
  }
}

​

ファイルシステム分離を無効化

{
  "sandbox": {
    "enabled": true,
    "filesystem": {
      "disabled": true
    },
    "network": {
      "allowedDomains": ["github.com", "*.npmjs.org"]
    }
  }
}

​

どの設定がそれを無効化できるか

• ユーザー設定、管理設定、および --settings CLI フラグはそれを設定できます。.claude/settings.json と .claude/settings.local.json のプロジェクト設定はできないため、チェックアウトされたプロジェクトはファイルシステム分離をオフにすることはできません。
• 管理設定が sandbox.filesystem をまったく設定するか、"mode": "deny" を持つ sandbox.credentials.files エントリをリストする場合、管理設定のみがキーを設定できます。これにより、管理者がデプロイしたファイルシステム制限が有効に保たれます。そのようなデプロイを緩和するには、管理設定で "disabled": true を設定します。
• CLAUDE_CODE_SUBPROCESS_ENV_SCRUB が設定されている場合、Claude Code は管理設定を含むすべてのソースから filesystem.disabled を無視し、ファイルシステム分離をオンに保ちます。

​

ファイルシステム分離がオフの場合に何が変わるか

• サンドボックス化されたコマンドは、セッション一時ディレクトリではなく、シェルの $TMPDIR を継承します。すべての一時ディレクトリは書き込み可能で、Claude Code はコマンドをセッション一時ディレクトリにリダイレクトしなくなるためです。 Linux では、変数は親シェルでしばしば設定されていません。Bash ツールのガイダンスは、$TMPDIR に依存するのではなく、mktemp -d でスクラッチディレクトリを作成するよう Claude に指示します。
• autoAllowBashIfSandboxed は引き続きデフォルトで true であるため、サンドボックス化されたコマンドはプロンプトなしで実行され続けます。プロンプトを表示するには false に設定します。

​

認証情報を保護

{
  "sandbox": {
    "enabled": true,
    "credentials": {
      "files": [
        { "path": "~/.aws/credentials", "mode": "deny" },
        { "path": "~/.ssh", "mode": "deny" }
      ],
      "envVars": [
        { "name": "GITHUB_TOKEN", "mode": "deny" },
        { "name": "NPM_TOKEN", "mode": "deny" }
      ]
    }
  }
}

• プロジェクトまたはローカル設定: Claude Code はそれらの credentials エントリを適用しません。Claude Code v2.1.246 以降が必要です。
• ユーザー設定: Claude Code は ~/.claude/settings.json の deny エントリを引き続き適用し、そのファイル mask エントリを制限として保持しますが、その環境変数 mask エントリを削除します。

​

認証情報をマスク

​

環境変数をマスク

{
  "sandbox": {
    "enabled": true,
    "network": {
      "tlsTerminate": {},
      "allowedDomains": ["*.github.com", "registry.npmjs.org"]
    },
    "credentials": {
      "envVars": [
        { "name": "GH_TOKEN", "mode": "mask", "injectHosts": ["api.github.com"] },
        { "name": "NPM_TOKEN", "mode": "mask" }
      ]
    }
  }
}

• network.allowedDomains: ドメインリストが使用する括弧形式（"[::1]" など）。プロキシはこのリストをチェックして接続を許可します。
• injectHosts: 正規の圧縮形式での裸のアドレス（"::1" または "2001:db8::1" など）。プロキシは各エントリをコネクションの裸の宛先アドレスと照合し、ポートを無視するため、括弧で囲まれた、ゾーン ID、または異なる圧縮スペルは一致せず、プロキシはそこで認証情報を注入しません。

• extract: Claude Code が値全体に適用する正規表現。各マッチの 1 グループでキャプチャされたテキストのみを置き換えるため、値を解析するツール（DATABASE_URL 接続文字列など）はサンドボックス内で引き続き機能します。パターンは少なくとも 1 つのキャプチャグループを含む必要があります。
• onExtractNoMatch はパターンが何もマッチしない場合に何が起こるかを制御します。
  • warn（デフォルト）は警告を発し、変数を未マスク状態で渡します
  • deny はサンドボックス内で変数を設定解除します
  • error は設定を修正するまでサンドボックスセットアップを停止します
• decode: "jwt": JSON Web Token（JWT）を保持する変数の場合。Claude Code は値が JWT であることを検証し、それを構造的に有効な偽のトークンに置き換えるため、サンドボックス内のトークンをデコードするコードは機能し続けます。maskClaims を追加して、トークン全体を置き換える代わりに個別にマスクするトップレベルペイロードクレームをリストします。他のクレームは読み取り可能なままです。値が JWT として検証されない場合、またはリストされたクレームが一致しない場合、Claude Code は警告を伴って変数を未マスク状態で渡します。decode は extract と組み合わせることはできません。

​

AWS リクエストに再署名

{
  "sandbox": {
    "credentials": {
      "awsPairs": [
        {
          "accessKeyIdVar": "MY_KEY_ID",
          "secretAccessKeyVar": "MY_SECRET_KEY",
          "sessionTokenVar": "MY_SESSION_TOKEN"
        }
      ]
    }
  }
}

• accessKeyIdVar と secretAccessKeyVar はアクセスキー ID とシークレットキーを保持するマスク済み envVars エントリに名前を付けます。オプションの sessionTokenVar は一時認証情報のセッショントークンを保持するエントリに名前を付けます。設定されている場合、プロキシは再署名されたリクエストで実際のトークンを x-amz-security-token として送信します。
• 名前付きの各変数は、extract または decode なしで全体値をマスクする mask エントリである必要があります。
• プロキシはアクセスキー ID エントリの injectHosts にリストされたホストでリクエストに再署名します。
• ペアで従来の変数のいずれかに名前を付けると、自動ペアリングが置き換えられます。

​

認証情報ファイルをマスク

• Linux と WSL2: サンドボックス化されたコマンドはファイルのセンチネルコピーを読み取ります。シークレットがプレースホルダー値に置き換えられたスタンドイン。サンドボックスプロキシは出力時に実際の値を置き換えます。
• macOS: サンドボックス化されたコマンドはリストされたファイルを読み取ることができません。Claude Code はセンチネルコピーを構築せず、出力時に何も置き換えないため、ファイルで認証するツールはサンドボックス内で機能しません。deny と同じ効果です。deny エントリとは異なり、ファイルシステム分離を無効化した場合でも読み取りブロックは保持されます。

{
  "sandbox": {
    "enabled": true,
    "network": {
      "tlsTerminate": {},
      "allowedDomains": ["*.github.com"]
    },
    "credentials": {
      "files": [
        {
          "path": "~/.config/gh/hosts.yml",
          "mode": "mask",
          "extract": "oauth_token:\\s*(\\S+)",
          "injectHosts": ["api.github.com"]
        }
      ]
    }
  }
}

• onExtractNoMatch はマッチングがファイル内でマスクするものを見つけない場合に何が起こるかを制御します。
  • warn（デフォルト）は警告を発し、エントリをスキップするため、サンドボックス化されたコマンドは実際のファイルを未マスク状態で読み取ることができます。デフォルトは認証情報が合法的に存在しない可能性があるケースに適しています。シークレットが存在する可能性があるがパターンが見落とす可能性がある場合は、deny を使用します
  • deny はファイルを読み取り不可にします
  • error は設定を修正するまでサンドボックスセットアップを停止します
  Claude Code は、読み取りブロックが強制されない場合は常に deny を error として扱います。ファイルシステム分離を無効化した場合、および任意の設定ソースからの filesystem.allowRead エントリがファイルのパスを再度開く場合です。
• maskDuplicates は、マッチした各マスク済み認証情報値（extract キャプチャまたは decode 検証済みトークン）の逐語的コピーも置き換えます。マッチした範囲外で見つかった場合、シークレットが繰り返される場所です。生の部分文字列と照合するため、短いまたは一般的な値はどこでも置き換えられます。長く、高エントロピーのシークレット用に予約します。デフォルト: false。

​

サンドボックス化の仕組み

​

ファイルシステム分離

• デフォルトの書き込み動作：現在の作業ディレクトリとそのサブディレクトリへの読み取りおよび書き込みアクセス、--add-dir、/add-dir、または permissions.additionalDirectories で追加したディレクトリ、加えて $TMPDIR が指すセッション一時ディレクトリへのアクセス
• デフォルトの読み取り動作：特定の拒否ディレクトリを除く、コンピュータ全体への読み取りアクセス。このデフォルトは ~/.aws/credentials や ~/.ssh/ などの認証情報ファイルの読み取りを許可することに注意してください。sandbox.credentials を使用してこれらのファイルの読み取りをブロックし、シークレット環境変数の設定を解除するか、パスを denyRead に追加してください。
• ブロックされたアクセス：明示的な許可なしに作業ディレクトリ、追加されたディレクトリ、およびセッション一時ディレクトリ外のファイルを変更できません。これには ~/.bashrc などのシェル設定ファイルと /bin/ のシステムバイナリが含まれます。
• Git worktrees：作業ディレクトリがリンクされた git worktreeの場合、サンドボックスはメインリポジトリの共有 .git ディレクトリへの書き込みも許可するため、git commit などのコマンドが refs とインデックスを更新できます。そのディレクトリ内の hooks/ と config への書き込みは引き続き拒否されます。
• 設定可能：設定を通じてカスタム許可パスと拒否パスを定義します

​

保護されたパス

• 作業ディレクトリおよびその上のディレクトリ内：.claude 設定ファイル、.claude/skills、.claude/agents、.claude/commands、.claude/hooks ディレクトリ、.mcp.json、および Claude Code が独自に実行するファイル（.claude/workflows や .claude/scheduled_tasks.json など）
• 作業ディレクトリのみ：.bashrc や .zshrc などのシェルスタートアップファイル、.gitconfig、.vscode および .idea ディレクトリ、.git 内の hooks および config
• 作業ディレクトリをベア git リポジトリに変えるファイル：トップレベルの HEAD、objects、refs、加えて config と hooks（HEAD が隣に存在する場合）。Linux および WSL2 では、サンドボックス化されたコマンドの実行中に表示されるトップレベルの HEAD ファイルまたは objects または refs ディレクトリをサンドボックスが削除します。
• ~/.claude または CLAUDE_CONFIG_DIR が指すディレクトリ内：そのほとんどのコンテンツ、加えて ~/.claude.json および .credentials.json 認証情報ストア

​

ネットワーク分離

• ドメイン制限：Claude Code はデフォルトでドメインを事前に許可しません。コマンドが新しいドメインにアクセスする必要がある場合、Claude Code はプロンプトを表示します。オートモードでは、Claude はPer-command allowed domainsに従って、コマンド自体でコマンドが必要とするホストを指定します。プロンプトで「はい」を選択すると、Claude Code は現在のセッションの残りの期間そのホストを許可し、同じホストへの後続の接続ではプロンプトを表示しません。「はい、今後は聞かない」を選択すると、Claude Code は WebFetch(domain:...) 許可ルールをローカル設定に保存するため、そのホストは今後のセッションで許可されたままになります。
• 事前許可ドメイン：allowedDomains でドメインを事前に許可してプロンプトを完全に回避します。Claude Code は、Permission rules で説明されているように、WebFetch(domain:...) 許可ルールからのドメインも事前に許可します。
• 厳密な許可リスト：ユーザー、管理、または CLI --settings 設定で strictAllowlist を true に設定した場合、Claude Code はプロンプトの代わりに、許可リスト外のホストへのサンドボックス化されたコマンドアクセスを拒否します。許可リストは、サンドボックスが他の方法でプロンプトを表示するのと同じものです。allowedDomains に加えて WebFetch(domain:...) 許可ルールからのドメイン、または allowManagedDomainsOnly が設定されている場合は管理設定エントリのみです。Claude Code はサンドボックス化されたコマンドのみにこれを実施します。WebFetch などのインプロセスツールは引き続き権限ルールに従います。リポジトリの .claude/settings.json または .claude/settings.local.json で設定しても効果はありません。Claude Code v2.1.219 以降が必要です。
• 管理ロックダウン：allowManagedDomainsOnly が管理設定で設定されている場合、許可されていないドメインはプロンプトの代わりに自動的にブロックされ、管理設定からの allowedDomains および WebFetch(domain:...) 許可ルールのみが尊重されます。
• 企業プロキシ：ネットワークが発信トラフィックを企業プロキシを通じて送信する必要がある場合、プロキシ設定で説明されているように、HTTPS_PROXY、HTTP_PROXY、NO_PROXY を設定の env ブロックで設定して、バックグラウンドエージェントもそれらを取得するようにするか、Claude Code を起動する環境で設定します。Claude Code はドメイン許可リストを実施してから、許可されたコネクションをそのアップストリームプロキシを通じてトンネルします。
• カスタムプロキシサポート：高度なユーザーは発信トラフィックにカスタムルールを実装できます
• 包括的なカバレッジ：制限はすべてのスクリプト、プログラム、およびコマンドによって生成されるサブプロセスに適用されます

​

オートモードでのコマンドごとの許可ドメイン

​

ドメインリスト内の IPv6 アドレス

• 拒否リスト：Claude Code はエントリが解析するすべての読み取りを拒否するため、意図した読み取りがブロックされます。解析可能な読み取りがないエントリの場合、Claude Code は何もブロックしません。
• 許可リスト：Claude Code は記述したもの以上を許可しません。その読み取りが正常に解析される場合、曖昧なエントリをホストとポートの読み取りに書き直し、許可リストを拡大するのではなく、エントリを完全にドロップする可能性があります。

​

OS レベルの実施

• macOS：サンドボックス実施に Seatbelt を使用します
• Linux：分離に bubblewrap を使用します
• WSL2：Linux と同じく bubblewrap を使用します

​

サンドボックスが権限と権限モードにどのように関連するか

​

権限ルール

• 権限ルールは Claude Code が使用できるツールを制御し、ツールが実行される前に評価されます。Bash、Read、Edit、WebFetch、MCP、およびその他のツールを含むすべてのツールに適用されます。ただし、deny ルールまたは ask ルールは、他のツールが残っている間はEndConversationをブロックできません。
• サンドボックスは OS レベルの強制を提供し、シェルコマンドがファイルシステムおよびネットワークレベルでアクセスできるものを制限します。Bash、PowerShell、およびMonitorコマンドとその子プロセスにのみ適用されます。

​

権限モード

​

組織のサンドボックスを設定する

​

管理設定でサンドボックス化を実施する

{
  "sandbox": {
    "enabled": true,
    "failIfUnavailable": true,
    "allowUnsandboxedCommands": false
  }
}

• failIfUnavailable：Linux の bubblewrap などの不足している依存関係は、警告を表示してサンドボックス化されていない実行にフォールバックするのではなく、Claude Code の起動をブロックします
• allowUnsandboxedCommands: false：Claude Code は dangerouslyDisableSandbox エスケープハッチを無視するため、サンドボックス内で失敗するコマンドはサンドボックス外で再試行できません

​

開発者がポリシーを広げるのを防ぐ

​

カスタムプロキシ設定

• HTTPS トラフィックを復号化して検査する
• カスタムフィルタリングルールを適用する
• すべてのネットワークリクエストをログに記録する
• 既存のセキュリティインフラストラクチャと統合する

{
  "sandbox": {
    "network": {
      "httpProxyPort": 8080,
      "socksProxyPort": 8081
    }
  }
}

​

トラブルシューティング

• コマンドがホスト許可なしエラーで失敗する：多くの CLI ツールは特定のホストに到達する必要があります。プロンプトが表示されたときに許可を付与すると、ホストが許可リストに追加されるため、ツールは将来サンドボックス内で実行されます。
• jest がハングまたは失敗する：watchman はサンドボックスと互換性がありません。代わりに jest --no-watchman を実行してください。
• Go ベースの CLI が macOS で TLS 検証に失敗する：gh、gcloud、terraform などのツールは Seatbelt の下で TLS 検証に失敗する可能性があります。これらのツールを excludedCommands にリストしてください。httpProxyPort を MITM プロキシとカスタム CA で使用している場合は、代わりに enableWeakerNetworkIsolation を true に設定してください。
• open、osascript、またはブラウザベースの認証フローが macOS でエラー -600 で失敗する：サンドボックスはデフォルトで Apple Events をブロックします。ユーザー、管理、または CLI 設定で allowAppleEvents を true に設定して、それらを許可してください。プロジェクト設定はこのキーでは無視されます。これを有効にするとコード実行の分離が削除されます。サンドボックス化されたコマンドはユーザープロンプトなしで他のアプリケーションをサンドボックス化されていない状態で起動でき、macOS オートメーション同意プロンプト（TCC）の対象となる実行中のアプリケーションに AppleScript コマンドを送信できるためです。または、コマンドを excludedCommands に追加してください。
• docker コマンドが失敗する：docker はサンドボックスと互換性がありません。docker * を excludedCommands に追加してください。
• pbcopy、xclip、または wl-copy がクリップボードを更新しない：これらのクリップボードユーティリティはサンドボックス内からシステムクリップボードに到達できず、パイプされたテキストが到達しない場合があります。 Claude の出力をクリップボードに配置するには、Claude にレスポンスで出力するよう依頼してから、/copy を実行してください。/copy はサンドボックス化されたコマンドではなく Claude Code プロセスからクリップボードに書き込みます。 Claude がテキストをこれらのツールの 1 つにパイプする場合、ツールを excludedCommands に追加しても、その呼び出しをサンドボックス外に出すわけではありません。
• git コマンドが unable to unlink old で失敗する：git merge、git checkout などのコマンドは、サンドボックスが書き込みを拒否するファイルを置き換える必要がある場合にこのように失敗します。そのファイルが .claude/skills などの保護されたパスの下にあるか、denyWrite エントリの 1 つの下にあるか、またはサンドボックスがコマンドに書き込みを許可するディレクトリの外にあるかどうかです。Linux と WSL2 ではエラーは Read-only file system で終わります。 失敗後、Claude はコマンドをサンドボックス外で再実行することを提案する場合があります。その再試行を承認するか、別のターミナルで git コマンドを自分で実行してください。allowUnsandboxedCommands を false に設定している場合、Claude は再試行を提案できないため、コマンドを自分で実行してください。同じ git コマンドが頻繁に失敗する場合は、excludedCommands に追加してください。
• Bubblewrap がコンテナ内で起動に失敗する：非特権コンテナでは、bubblewrap は新しい /proc ファイルシステムをマウントできないため、サンドボックス化されたコマンドは bwrap エラー（Can't mount proc on /newroot/proc: Operation not permitted など）で失敗します。enableWeakerNestedSandbox を true に設定して、内部サンドボックスがコンテナの既存の /proc をバインドマウントするようにしてください。このオプションは、外部コンテナが既に必要な分離境界を提供する場合にのみ使用してください。新しい /proc マウントが隠すサンドボックス化されたコマンドにプロセス情報を公開するためです。
• 0 バイトの読み取り専用ファイルが .claude 設定パスに表示され、「はい、今後は聞かない」が保存されない：Linux と WSL2 では、サンドボックスはサンドボックス化されたコマンドが実行されている間に、まだ存在しないファイルに対する書き込み拒否を保持するために、そこに 0 バイトの読み取り専用プレースホルダーを作成します。サンドボックスはその後プレースホルダーを削除します。SIGKILL などによってセッションがそのクリーンアップが実行される前に強制終了された場合、プレースホルダーは残ります。後のセッションは毎回起動時にそれらを読み取り専用で再度バインドするため、プレースホルダーが残っている箇所では、権限の選択を保存するなどの設定書き込みが失敗します。 claude doctor を実行して、残されたプレースホルダーファイルをリストアップしてください。Stale sandbox mask files left by a killed session 警告は最大 3 つの名前を表示し、残りをカウントします。そのプロジェクトで他の Claude Code セッションが実行されていない間に、rm で各ファイルを削除してください。v2.1.257 より前では、Claude Code は同じプレースホルダーを残していましたが、フラグを立てていませんでした。
• --dangerously-skip-permissions が root として失敗する：このフラグは Linux と macOS で root として実行するか sudo 経由で実行する場合にブロックされます。root アクセスと許可プロンプトなしを組み合わせるとシステム上のあらゆるファイルまたはサービスを変更できるためです。チェックは認識されたサンドボックス内で自動的にスキップされます。コンテナで自律的に実行するには、dev container 設定を使用してください。これは Claude Code を非 root ユーザーとして実行します。

​

制限事項

​

セキュリティ上の制限

• ネットワークフィルタリング：サンドボックスは、プロセスが接続できるドメインを制限します。デフォルトでは、組み込みプロキシは発信トラフィックを終了または検査しないため、暗号化された接続の内容は検査されません。実験的な network.tlsTerminate 設定は、mask 認証情報置換のためにプロキシで TLS を終了しますが、コンテンツフィルタリングは追加しません。ポリシーで許可されるのは信頼できるドメインのみであることを確認する責任があります。

• Unix ソケットを通じた権限昇格：allowUnixSockets 設定は、サンドボックスバイパスにつながる可能性のあるシステムサービスへのアクセスを不注意に付与する可能性があります。たとえば、/var/run/docker.sock へのアクセスを許可すると、Docker ソケットを通じてホストシステムへのアクセスが効果的に付与されます。サンドボックスを通じて許可する Unix ソケットを慎重に検討してください。
• ファイルシステム権限昇格：過度に広いファイルシステム書き込み権限は権限昇格攻撃を有効にする可能性があります。$PATH の実行可能ファイルを含むディレクトリ、システム設定ディレクトリ、またはユーザーシェル設定ファイル（.bashrc または .zshrc）への書き込みを許可すると、他のユーザーまたはシステムプロセスがこれらのファイルにアクセスするときに異なるセキュリティコンテキストでコード実行につながる可能性があります。
• Linux サンドボックス強度：Linux 実装は強力なファイルシステムとネットワーク分離を提供しますが、特権付き名前空間のない Docker 環境内、または特権のないユーザー名前空間が sysctl で無効化されている Linux ホスト上で動作できるようにする enableWeakerNestedSandbox モードが含まれています。このオプションはセキュリティを大幅に弱め、追加の分離が別の方法で実施される場合にのみ使用する必要があります。
• macOS での Apple Events：macOS サンドボックスはデフォルトで Apple Events をブロックします。allowAppleEvents 設定はこの制限を解除して、open や osascript などのツールが動作するようにしますが、コード実行分離を削除します。サンドボックス化されたコマンドは、ユーザープロンプトなしで他のアプリケーションをサンドボックス化されていない状態で起動でき、実行中のアプリケーションに AppleScript コマンドを送信できます。これはアプリごとの macOS オートメーション同意プロンプト（TCC）の対象です。これはユーザー、管理、または CLI 設定からのみ有効です。プロジェクト設定では有効にできません。

​

プラットフォームとツールの互換性

• プラットフォームサポート：macOS、Linux、WSL2 をサポートします。WSL1 とネイティブ Windows はサポートされていません。
• パフォーマンスオーバーヘッド：最小限ですが、一部のファイルシステム操作はわずかに遅くなる可能性があります。
• ツール互換性：特定のシステムアクセスパターンを必要とするツールの中には、設定調整が必要な場合や、サンドボックス外で実行する必要がある場合があります。

​

スコープ

• 組み込みファイルツール：Read、Edit、Write はサンドボックスを通じて実行するのではなく、権限システムを直接使用します。permissionsを参照してください。
• コンピュータ使用：Claude がアプリを開いてスクリーンを制御する場合、分離された環境ではなく実際のデスクトップで実行されます。アプリごとの権限プロンプトが各アプリケーションをゲートします。CLI でのコンピュータ使用または Desktop でのコンピュータ使用を参照してください。
• 環境変数：サンドボックス化された Bash コマンドはデフォルトで親プロセス環境を継承します。そこに設定されたすべての認証情報を含みます。サンドボックス化されたコマンドの特定の変数を設定解除またはマスクするには sandbox.credentialsを使用するか、すべてのサブプロセスから認証情報を削除するには CLAUDE_CODE_SUBPROCESS_ENV_SCRUBを設定してください。
• サブエージェント：subagentsは親セッションと同じプロセスで実行され、同じサンドボックス設定を使用します。親セッションでサンドボックス化が有効な場合、サブエージェント内の Bash コマンドはサンドボックス化されます。

​

関連項目

• Sandbox environments：組み込みサンドボックスと dev コンテナ、コンテナ、VM を比較する
• Security：包括的なセキュリティ機能とベストプラクティス
• Permissions：許可設定とアクセス制御
• All settings：すべての設定キー
• CLI reference：コマンドラインオプション