Управление модами для вашей организации

• Исключить собственные моды пользователей, с модами вашей организации или без них: Остановить загрузку установленных пользователем модов
• Узнать, что получат ваши пользователи, если вы ничего не измените: Узнать, что происходит по умолчанию
• Оставить моды включенными с другими ограничениями: Выбрать, сколько разрешить

​

Остановить загрузку установленных пользователем модов

{
  "pluginConfigs": {
    "cc-plugin-sec-default@builtin": {
      "options": {
        "allowManagedModsOnly": true
      }
    }
  }
}

• Ни один мод, который приносит пользователь, не загружается: это охватывает мод в плагине, установленном пользователем, мод, загруженный с помощью --plugin-dir, и мод, который Claude написал во время сеанса
• Моды вашей организации по-прежнему загружаются: мод, который считается модом вашей организации, не проверяется. Все остальные моды считаются модами пользователя и не загружаются. Это включает мод в плагине, который вы включаете из GitHub или другого удаленного маркетплейса, и мод, который ваша организация включает для своих членов на claude.ai. Если ни один не считается вашим, установленный мод не загружается.
• Пользователи не могут это отменить: защита читает параметр только из управляемых параметров, поэтому та же запись в файле параметров пользователя, проекта или локальных параметров или в файле, переданном с помощью --settings, ничего не меняет
• Файл или политика MDM охватывают каждого поставщика: когда вы доставляете параметр в виде файла или через MDM, он работает одинаково на Amazon Bedrock, Google Cloud’s Agent Platform и Microsoft Foundry. Для доставки из консоли администратора claude.ai см. Доступность платформы
• Другие настройки пользователей продолжают работать: их hooks в файлах параметров, строки состояния и /goal не затронуты
• Встроенные моды продолжают работать: моды, встроенные в Claude Code, такие как поддержка AGENTS.md, имеют свой собственный переключатель

​

Узнать, что происходит по умолчанию

• Моды включены. Пользователь может установить плагин, содержащий мод из любого маркетплейса, который разрешают ваши параметры плагинов, или загрузить его из каталога с помощью --plugin-dir.
• Встроенная защита работает первой. Claude Code загружает встроенный мод с именем sec-default@builtin перед каждым модом, установленным пользователем. Пользователи не могут его отключить. /plugin и журнал отладки указывают его как cc-plugin-sec-default. Защита загружается, когда верно одно из следующих условий:
  • На машине есть управляемые параметры
  • Пользователь вошел в Claude Code с планом Team или Enterprise
  Пользователь, который аутентифицируется с помощью ключа API или через Amazon Bedrock, Google Cloud’s Agent Platform или Microsoft Foundry, получает защиту только на машине с управляемыми параметрами.
• Защита защищает то, что вы управляете. Мод пользователя не может изменить то, что получают или решают ваши управляемые hooks, системный запрос, ваши управляемые CLAUDE.md и другие управляемые инструкции, то, что любой мод читает как параметры, или инструменты и описания ваших управляемых MCP серверов.
• Все остальное разрешено. Защита не добавляет других ограничений. Мод пользователя по-прежнему может читать и писать файлы, запускать процессы, делать сетевые запросы, переписывать вызовы инструментов и запросы, отказывать в вызове инструмента, одобрять вызов, который иначе потребовал бы подтверждения, и рисовать в интерфейсе, все с разрешениями этого пользователя.
• Правила отказа и ваши управляемые hooks имеют приоритет. Где загружается защита, мод пользователя не может одобрить вызов, который правило deny отказывает, независимо от того, какой файл параметров содержит правило. Блокировка из hook PreToolUse в управляемых параметрах также окончательна. Оба применяются к вызовам инструментов Claude. Ни один не применяется к собственным вызовам мода $.fs и $.process: с отказанным Read(.env), мод все еще может прочитать этот файл с помощью $.fs.read или запустить программу, которая это делает. Чтобы ограничить эти вызовы, не позволяйте моду загружаться или подключите вызов в политическом моде.
• Другие проверки разрешений могут быть переопределены. Мод пользователя, который одобряет вызовы инструментов, может одобрить вызов, который правило ask потребовало бы подтверждения, или который hook PreToolUse вне управляемых параметров заблокировал. В автоматическом режиме вызов, одобренный модом, выполняется без проверки классификатора.

​

Узнать, какие элементы управления по-прежнему применяются

• Hooks параметров продолжают работать. Hooks команд, HTTP, запросов и агентов в файлах параметров и в hooks/hooks.json плагинов работают как раньше, наряду с модами. Ничего в них не устарело.
• Правила отказа имеют приоритет, где загружается защита. Мод пользователя не может одобрить вызов, который правило deny отказывает, если вы не установите allowModsToOverrideDenyRules.
• Управляемые hooks работают первыми. Hook PreToolUse в управляемых параметрах работает перед тем, как любой мод увидит вызов инструмента, и его блокировка окончательна. Если мод затем переписывает вызов, ваши управляемые hooks работают снова на переписанном вызове, поэтому блокировка по-прежнему применяется. Hooks PreToolUse из других файлов параметров и из плагинов работают после последнего мода, поэтому мод, который возвращает свой собственный результат вместо запуска инструмента, не позволяет им работать. См. Порядок, в котором работают моды.
• Политика сети охватывает $.http.fetch. Если ваша организация отключает веб-выборку или отключен несущественный сетевой трафик для сеанса, Claude Code отказывает в сетевом запросе, который мод делает с помощью $.http.fetch. Политика не охватывает программу, которую мод запускает с помощью $.process.run. Эта программа достигает сети с собственным доступом пользователя.
• Элементы управления плагинами охватывают моды. Мод — это плагин, поэтому параметры, которые ограничивают то, что пользователи могут установить, такие как strictKnownMarketplaces, определяют, может ли он быть установлен вообще.
• Моды не могут изменить запрос разрешения. Мод может переделать большую часть интерфейса Claude Code, но не запрос разрешения, поэтому он не может изменить то, что показывает запрос. Мод все еще может одобрить или отказать в вызове инструмента перед появлением запроса, как описано в Узнать, что происходит по умолчанию.
• Запросы доверия идут первыми. В интерактивном сеансе в каталоге, который пользователь еще не доверил, ни один мод не загружается, пока они не ответят на запрос доверия.
• --safe-mode отключает установленные моды, включая ваши. Запустите сеанс с claude --safe-mode, чтобы проверить, вызвал ли мод проблему.

​

Решить, оставить ли моды включенными

​

Просмотреть возможности мода

claude plugin validate ./some-mod

  ❯ ./register.js hooks: session.start, tool.call, ui.render{component=Pane}
  ❯ ./register.js calls: $.fs.read, $.http.fetch, $.store.set, $.ui.open

​

Выбрать, сколько разрешить

• allowManagedModsOnly: параметр встроенной защиты. Моды пользователей не загружаются, и их hooks параметров, строки состояния и /goal продолжают работать. Остановить загрузку установленных пользователем модов перечисляет, что он охватывает.
• allowManagedHooksOnly: более широкий параметр. Загружаются только моды вашей организации и моды, встроенные в Claude Code. Мод, который пользователь установил сам, не загружается. Параметр также блокирует hooks в собственных файлах параметров пользователей. Прочитайте Что работает под allowManagedHooksOnly перед тем, как установить его.
• disableAllHooks: самый широкий параметр. В управляемых параметрах он останавливает моды в каждом установленном плагине, включая ваши, и отключает каждый hook в файлах параметров, поэтому hook PreToolUse в ваших управляемых параметрах больше ничего не блокирует. Пользовательские строки состояния и /goal также перестают работать. Прочитайте disableAllHooks перед тем, как установить его.
• disableSideloadFlags: отклоняет --plugin-dir и --plugin-url при запуске, поэтому никто не загружает мод из каталога и не позволяет модам, которые Claude пишет во время сеанса, загружаться. Параметр также отклоняет --agents и --mcp-config. Прочитайте disableSideloadFlags перед тем, как установить его.

​

Установить параметры на встроенной защите

• Id имеет одно написание здесь: Claude Code читает параметры только под cc-plugin-sec-default@builtin. prependPlugins также принимает sec-default@builtin, и pluginConfigs — нет.
• Считаются только управляемые параметры: та же запись в файле параметров пользователя, проекта или локальных параметров или в файле, переданном с помощью --settings, ни устанавливает параметр, ни ослабляет его
• Защита должна загружаться: если вы установите prependPlugins, назовите защиту в списке. Где защита не загружается, ни один параметр не применяется.
• Защита отказывает закрыто: если защита не может прочитать управляемые параметры, она отказывает каждому моду пользователя при загрузке. Если она не может проверить правила отказа для вызова, который одобрил мод пользователя, она отказывает вызову.

​

Развертывание собственных модов вашей организации

​

Установка модов вашей организации и установка порядка

• Управляемый enabledPlugins устанавливает плагин мода в true
• Управляемые параметры называют marketplace плагина как каталог на машине пользователя по абсолютному пути. Запись extraKnownMarketplaces делает это и также регистрирует marketplace для пользователя.
• Marketplace указывает плагин по относительному пути, поэтому Claude Code загружает его на месте из этого каталога

/opt/acme/claude-plugins/
├── .claude-plugin/
│   └── marketplace.json
└── plugins/
    └── acme-guard/
        ├── .claude-plugin/
        │   └── plugin.json
        └── hooks/
            ├── hooks.json
            └── register.js

{
  "name": "acme-tools",
  "owner": { "name": "Acme" },
  "plugins": [
    { "name": "acme-guard", "source": "./plugins/acme-guard", "description": "Acme policy mod" }
  ]
}

• prependPlugins: ваш мод видит каждое событие перед любым модом пользователя и каждый результат после. Он может изменить событие, отказать в нем или пропустить моды пользователей.
• appendPlugins: ваш мод выполняется после каждого мода пользователя, поэтому он видит только события, которые эти моды передают, в форме, в которой они их передают

{
  "extraKnownMarketplaces": {
    "acme-tools": {
      "source": { "source": "directory", "path": "/opt/acme/claude-plugins" }
    }
  },
  "enabledPlugins": { "acme-guard@acme-tools": true },
  "prependPlugins": ["acme-guard@acme-tools", "sec-default@builtin"]
}

• extraKnownMarketplaces: называет каталог, который содержит marketplace acme-tools. path — это абсолютный путь каталога, который содержит .claude-plugin/marketplace.json.
• enabledPlugins: включает acme-guard для каждого пользователя, который получает эти управляемые параметры
• prependPlugins: ставит acme-guard первым и встроенную защиту второй, обе впереди любого мода, который устанавливает пользователь. Claude Code следует порядку, который вы указываете.

• hooks module acme-guard@acme-tools loaded, с tier prepend: мод считается принадлежащим вашей организации и выполняется первым
• Та же строка с tier user: Claude Code рассматривает его как мод пользователя. Вторая строка, prependPlugins names acme-guard@acme-tools, which is not an enabled managed plugin with a hooks module; skipped, говорит, что список его пропустил.

• Список заменяет значение по умолчанию: когда вы устанавливаете prependPlugins в управляемых параметрах, назовите sec-default@builtin в нем, чтобы сохранить встроенную защиту. Защита встроена и не требует записи enabledPlugins.
• Ваши собственные идентификаторы должны считаться вашими: в управляемых параметрах Claude Code пропускает идентификатор, чей плагин не соответствует трем условиям для мода организации
• Репозитории не могут их устанавливать: Claude Code читает оба параметра из управляемых параметров и никогда из файла параметров репозитория. Пользователь может установить их в ~/.claude/settings.json, чтобы упорядочить только свои моды на машине без управляемых параметров, и только если они не вошли в систему с планом Team или Enterprise. В любом другом месте Claude Code игнорирует оба ключа в параметрах пользователя. Список там ни не добавляет, ни не удаляет встроенную защиту.

​

Обеспечение политики с помощью собственного мода

// The methods no user's mod may call, each spelled namespace.method
const BLOCKED_CALLS = ['process.run', 'process.spawn']

export function register(on) {
  // Runs each time another mod is about to load
  on('plugin.register', async ($, e, next) => {
    // Keep the calls in that mod's code that are on the blocked list
    const blocked = e.uses.calls.filter((call) => BLOCKED_CALLS.includes(call))
    if (e.tier === 'user' && blocked.length > 0) {
      // Returning refuse keeps the mod from loading, and the text is the reason
      return { refuse: 'Acme policy: mods may not call ' + blocked.join(', ') }
    }
    // Let every other mod load
    return next(e)
  })

  // Record each tool call, then let it go ahead unchanged
  on('tool.call', async ($, e, next) => {
    $.ui.log('audit tool.call ' + e.tool, { to: 'debug' })
    return next(e)
  })

  // Record which mod wrote a file, then the path, quoted because the mod chose it
  on('fs.write', async ($, e, next) => {
    $.ui.log('audit fs.write by ' + next.origin.plugin + ' ' + JSON.stringify(e.path), { to: 'debug' })
    return next(e)
  })
}

• plugin.register: решает, загружается ли другой мод. Он отказывает моду пользователя, который вызывает заблокированный метод, и передает каждый другой мод дальше.
• tool.call: записывает строку, такую как audit tool.call Bash, в журнал отладки для каждого вызова инструмента и ничего не изменяет
• fs.write: записывает строку, такую как audit fs.write by reader "/tmp/notes.md", для каждого вызова $.fs.write, который делает другой мод, и ничего не изменяет. Имя мода идет первым, а путь заключен в кавычки, поэтому путь, который выбирает мод, не может выдать себя за другое поле строки.

• e.tier: где будет выполняться мод, один из prepend, user, append или builtin. Каждый мод, который устанавливает человек, — это user.
• e.uses.calls: методы API модов, которые вызывает мод, каждый написанный как namespace.method, например process.run, без $., который печатает claude plugin validate

​

Отказ в загрузке модов, когда ваша проверка не удается

const BLOCKED_CALLS = ['process.run', 'process.spawn']

// The same check as before, moved into a function of its own
async function checkMod($, e, next) {
  const blocked = e.uses.calls.filter((call) => BLOCKED_CALLS.includes(call))
  if (e.tier === 'user' && blocked.length > 0) {
    return { refuse: 'Acme policy: mods may not call ' + blocked.join(', ') }
  }
  return next(e)
}

export function register(on) {
  // The handler runs only when checkMod throws or runs past its time limit
  on('plugin.register', checkMod).catch(async ($, e, next) => {
    // Let your organization's mods and built-in mods load
    if (e.tier !== 'user') return next(e)
    // Refuse the user's mod that couldn't be checked
    return { refuse: 'Acme policy check failed, so this mod was not loaded' }
  })
}

​

Следующие шаги

• Безопасность плагинов: что может делать любой плагин на машине пользователя и как просмотреть один перед его установкой
• Обзор модов: что такое мод и как он сравнивается с hooks, skills и MCP серверами
• Порядок, в котором работают моды: как prependPlugins и appendPlugins подходят к модам пользователей
• Параметры и переменные окружения: каждый параметр, названный на этой странице, в одной таблице