Настройка режима auto

• Добавить контрольную точку человека для отправок и запросов на слияние с помощью permissions.ask
• Выбрать, где устанавливать правила в CLAUDE.md, пользовательских настройках и управляемых настройках
• Определить доверенную инфраструктуру с помощью autoMode.environment
• Переопределить правила блокировки и разрешения когда значения по умолчанию не подходят для вашего конвейера
• Маршрутизировать все команды shell через классификатор с помощью autoMode.classifyAllShell
• Проверить вашу эффективную конфигурацию с помощью подкоманд claude auto-mode
• Просмотреть отказы чтобы знать, что добавить дальше

​

Общие границы

{
  "permissions": {
    "ask": [
      "Bash(git push *)",
      "Bash(gh pr create *)"
    ]
  }
}

​

Где классификатор читает конфигурацию

​

Define trusted infrastructure

• Слоты контекста: описывают вашу организацию, стек и позицию безопасности, чтобы классификатор читал другие правила в вашем контексте. В отличие от двух других видов, слоты контекста не имеют собственных правил, которые их нацеливают. Каждый по умолчанию имеет значение None configured или консервативное предположение, указанное рядом с ним:
  • Organization
  • Primary use of Claude Code: по умолчанию разработка программного обеспечения
  • Cloud provider(s)
  • Repository visibility: репозиторий считается приватным, если его удаленный хост и имя не указывают иное, или проверка видимости ранее в сеансе, которую читает классификатор, показывает, что он является публичным. Классификатор читает ваши сообщения и команды, которые запускает Claude, а не их вывод, поэтому доказательство должно быть чем-то, что он может прочитать, например вашим собственным сообщением, называющим репозиторий как публичный; вывод gh repo view сам по себе не достигает его. Проверка доказательств из стенограммы требует Claude Code v2.1.200 или позже
  • Internal sharing / snippet hosting: публичные сервисы paste и gist рассматриваются как находящиеся вне границы доверия до тех пор, пока вы их не назовете
  • Org-specific CLIs
  • Secrets management
  • Default / protected branches: main и master рассматриваются как защищенные до тех пор, пока вы не назовете другие
  • CI/CD deploy targets
  • Network posture
  • Protected deployment namespaces / environments: возвращается к эвристике Sensitive remote targets до тех пор, пока вы их не назовете
  • Data retention / declassification
• Слоты доверия: называют то, что классификатор рассматривает как находящееся внутри вашей границы. Слоты — это Trusted repo, Source control, Trusted internal domains, Trusted cloud buckets, Key internal services и Internal package registry. Записи repo и source-control по умолчанию указывают на рабочий репозиторий и его настроенные удаленные репозитории. Все остальные слоты доверия по умолчанию имеют значение None configured, поэтому ничего больше не доверяется до тех пор, пока вы это не добавите. Видимость репозитория охватывает только конфиденциальный материал: приватный репозиторий является приемлемым пунктом назначения для конфиденциального материала, но сделание репозитория приватным никогда не очищает секреты, личные данные или доверенные данные в нем, и классификатор рассматривает содержимое, перенесенное, переориентированное или впервые прочитанное из-за пределов рабочего репозитория, как не являющееся собственной работой этого репозитория. Это определение области требует Claude Code v2.1.203 или позже.
• Слоты чувствительности: называют то, что защитные правила рассматривают как высокий риск. Слоты — это Sensitive data locations & audiences, Sensitive remote targets и Protected IaC scopes. Каждый по умолчанию использует широкую эвристику, например рассматривая любой хост или пространство имен, чье имя содержит prod или production, как чувствительную удаленную цель, поэтому защитные правила активны до того, как вы что-либо настроите. Указание конкретных целей в слоте чувствительности заставляет эти правила применяться к названным целям вместо эвристики.

{
  "autoMode": {
    "environment": [
      "$defaults",
      "Source control: github.example.com/acme-corp and all repos under it",
      "Trusted cloud buckets: s3://acme-build-artifacts, gs://acme-ml-datasets",
      "Trusted internal domains: *.corp.example.com, api.internal.example.com",
      "Key internal services: Jenkins at ci.example.com, Artifactory at artifacts.example.com"
    ]
  }
}

• Организация: название вашей компании и для чего в основном используется Claude Code, например разработка программного обеспечения, автоматизация инфраструктуры или инженерия данных
• Исходный контроль: каждая организация GitHub, GitLab или Bitbucket, в которую ваши разработчики отправляют код
• Облачные провайдеры и доверенные бакеты: имена бакетов или префиксы, из которых Claude должен иметь возможность читать и писать
• Доверенные внутренние домены: имена хостов для API, панелей управления и сервисов внутри вашей сети, например *.internal.example.com
• Ключевые внутренние сервисы: CI, реестры артефактов, внутренние индексы пакетов, инструменты для инцидентов
• Внутренний реестр пакетов: приватный npm, PyPI или другой реестр, через который должны проходить установки, поэтому установки, которые обходят его для публичного реестра, блокируются
• Sensitive data locations & audiences: бакеты, базы данных или пути, которые содержат личные данные, конфиденциальные бизнес-данные, учетные данные, регулируемые данные или аналогичный чувствительный материал, и аудитории, с которыми данные в каждом местоположении могут быть общими, поэтому классификатор защищает эти местоположения вместо того, чтобы угадывать из содержимого. Claude Code v2.1.195 через v2.1.197 называют эту запись PII / regulated-data locations и охватывают только местоположения, которые содержат личные или регулируемые данные, без измерения аудитории
• Sensitive remote targets: пространства имен, хосты или контейнеры, которые считаются production, поэтому удаленные оболочки и port-forwards в них требуют вашего явного одобрения
• Protected IaC scopes: ресурсы инфраструктуры, чьи apply или destroy всегда должны требовать от вас назвать изменение
• Дополнительный контекст: ограничения регулируемой отрасли, многопользовательская инфраструктура или требования соответствия, которые влияют на то, что классификатор должен рассматривать как рискованное

{
  "autoMode": {
    "environment": [
      "$defaults",
      "Organization: {COMPANY_NAME}. Primary use: {PRIMARY_USE_CASE, e.g. software development, infrastructure automation}",
      "Source control: {SOURCE_CONTROL, e.g. GitHub org github.example.com/acme-corp}",
      "Cloud provider(s): {CLOUD_PROVIDERS, e.g. AWS, GCP, Azure}",
      "Trusted cloud buckets: {TRUSTED_BUCKETS, e.g. s3://acme-builds, gs://acme-datasets}",
      "Trusted internal domains: {TRUSTED_DOMAINS, e.g. *.internal.example.com, api.example.com}",
      "Key internal services: {SERVICES, e.g. Jenkins at ci.example.com, Artifactory at artifacts.example.com}",
      "Additional context: {EXTRA, e.g. regulated industry, multi-tenant infrastructure, compliance requirements}"
    ]
  }
}

​

Override the block and allow rules

• autoMode.hard_deny: безусловные границы безопасности
• autoMode.soft_deny: деструктивные действия, которые намерение пользователя может отменить
• autoMode.allow: исключения из правил мягкой блокировки

• Правила hard_deny блокируют безусловно. Намерение пользователя и исключения allow не применяются.
• Правила soft_deny блокируют далее. Намерение пользователя и исключения allow могут переопределить эти правила.
• Правила allow затем переопределяют совпадающие правила soft_deny как исключения.
• Явное намерение пользователя переопределяет оставшиеся мягкие блокировки: если сообщение пользователя прямо и конкретно описывает точное действие, которое Claude собирается выполнить, классификатор разрешает его даже когда совпадает правило soft_deny.

{
  "autoMode": {
    "environment": [
      "$defaults",
      "Source control: github.example.com/acme-corp and all repos under it"
    ],
    "allow": [
      "$defaults",
      "Deploying to the staging namespace is allowed: staging is isolated from production and resets nightly",
      "Writing to s3://acme-scratch/ is allowed: ephemeral bucket with a 7-day lifecycle policy"
    ],
    "soft_deny": [
      "$defaults",
      "Never run database migrations outside the migrations CLI, even against dev databases",
      "Never modify files under infra/terraform/prod/: production infrastructure changes go through the review workflow"
    ],
    "hard_deny": [
      "$defaults",
      "Never send repository contents to third-party code-review APIs"
    ]
  }
}

​

Route all shell commands through the classifier

{
  "autoMode": {
    "classifyAllShell": true
  }
}

​

Inspect the defaults and your effective config

claude auto-mode defaults

claude auto-mode config

claude auto-mode critique

​

Review denials

​

See also

• Permission modes: что такое режим auto, что он блокирует по умолчанию и как его включить
• Managed settings: развертывание конфигурации autoMode по всей организации
• Permissions: правила разрешения, запроса и отказа, которые применяются перед запуском классификатора
• Settings: полный справочник настроек, включая ключ autoMode