跳转到主要内容
Claude Code 通过托管设置强制执行组织策略，这些设置优先于本地开发人员配置。您可以从 Claude 管理控制台、移动设备管理 (MDM) 系统或磁盘上的文件传递这些设置。这些设置控制 Claude 可以访问的工具、命令、服务器和网络目标。 本页按顺序介绍部署决策。每一行都链接到下面的部分和该区域的参考页面。
SSO、SCIM 预配和座位分配在 Claude 账户级别配置。有关这些步骤，请参阅 Claude 企业管理员指南 和 座位分配。
决策您的选择参考
选择您的 API 提供商Claude Code 的身份验证位置和计费方式Authentication、Bedrock、Vertex AI、Foundry
决定设置如何到达设备托管策略如何到达开发人员机器Server-managed settings、Settings files
决定要强制执行的内容允许哪些工具、命令和集成Permissions、Sandboxing
设置使用情况可见性如何跟踪支出和采用情况Analytics、Monitoring、Costs
审查数据处理数据保留和合规性态势Data usage、Security

​
选择您的 API 提供商

Claude Code 通过多个 API 提供商之一连接到 Claude。您的选择会影响计费、身份验证和您继承的合规性态势。
提供商何时选择
Claude for Teams / Enterprise您希望 Claude Code 和 claude.ai 在一个按座位订阅下，无需运行基础设施。这是默认建议。
Claude Console您是 API 优先或希望按使用量付费
Amazon Bedrock您希望继承现有的 AWS 合规控制和计费
Google Vertex AI您希望继承现有的 GCP 合规控制和计费
Microsoft Foundry您希望继承现有的 Azure 合规控制和计费
有关涵盖身份验证、区域和功能奇偶性的完整提供商比较，请参阅 企业部署概述。每个提供商的身份验证设置在 Authentication 中。 Network configuration 中的代理和防火墙要求适用于所有提供商。如果您想要在多个提供商前面有单个端点或集中式请求日志记录，请参阅 LLM gateway。

​
决定设置如何到达设备

托管设置定义优先于本地开发人员配置的策略。Claude Code 在四个位置查找它们，并使用在给定设备上找到的第一个。
机制传递优先级平台
Server-managedClaude.ai 管理控制台最高全部
plist / registry policymacOS: com.anthropic.claudecode plist
Windows: HKLM\SOFTWARE\Policies\ClaudeCode		高macOS、Windows
File-based managedmacOS: /Library/Application Support/ClaudeCode/managed-settings.json
Linux 和 WSL: /etc/claude-code/managed-settings.json
Windows: C:\Program Files\ClaudeCode\managed-settings.json		中全部
Windows user registryHKCU\SOFTWARE\Policies\ClaudeCode最低仅 Windows
Server-managed 设置在身份验证时到达设备，并在活跃会话期间每小时刷新一次，无需端点基础设施。它们需要 Claude for Teams 或 Enterprise 计划，因此在其他提供商上的部署需要改用基于文件或操作系统级别的机制之一。 如果您的组织混合使用提供商，请为 Claude.ai 用户配置 server-managed settings 加上 file-based 或 plist/registry 回退，以便其他用户仍然接收托管策略。 plist 和 HKLM 注册表位置适用于任何提供商，并且由于需要管理员权限才能写入，因此可以抵抗篡改。Windows 用户注册表中的 HKCU 可以在没有提升权限的情况下写入，因此将其视为便利默认值而不是执行通道。 无论您选择哪种机制，托管值都优先于用户和项目设置。数组设置（如 permissions.allow 和 permissions.deny）合并来自所有源的条目，因此开发人员可以扩展托管列表但不能从中删除。 请参阅 Server-managed settings 和 Settings files and precedence。

​
决定要强制执行的内容

托管设置可以锁定工具、沙箱执行、限制 MCP 服务器和插件源，以及控制哪些 hooks 运行。每一行都是一个控制表面，具有驱动它的设置键。
控制它的作用关键设置
Permission rules允许、询问或拒绝特定工具和命令permissions.allow、permissions.deny
Permission lockdown仅托管权限规则适用；禁用 --dangerously-skip-permissionsallowManagedPermissionRulesOnly、permissions.disableBypassPermissionsMode
Sandboxing具有域允许列表的操作系统级文件系统和网络隔离sandbox.enabled、sandbox.network.allowedDomains
Managed policy CLAUDE.md在每个会话中加载的组织范围指令，无法排除托管策略路径处的文件
MCP server control限制用户可以添加或连接的 MCP 服务器allowedMcpServers、deniedMcpServers、allowManagedMcpServersOnly
Plugin marketplace control限制用户可以添加和安装的市场来源strictKnownMarketplaces、blockedMarketplaces
Hook restrictions仅托管 hooks 加载；限制 HTTP hook URLallowManagedHooksOnly、allowedHttpHookUrls
Version floor防止自动更新安装低于组织范围最小值的版本minimumVersion
权限规则和沙箱覆盖不同的层。拒绝 WebFetch 会阻止 Claude 的 fetch 工具，但如果允许 Bash，curl 和 wget 仍然可以到达任何 URL。沙箱通过在操作系统级别强制执行的网络域允许列表来弥补这一差距。 有关这些控制防御的威胁模型，请参阅 Security。

​
设置使用情况可见性

根据您需要报告的内容选择监控。
功能您获得的内容可用性从何处开始
Usage monitoring会话、工具和令牌的 OpenTelemetry 导出所有提供商Monitoring usage
Analytics dashboard每用户指标、贡献跟踪、排行榜仅 AnthropicAnalytics
Cost tracking支出限制、速率限制和使用情况归属仅 AnthropicCosts
云提供商通过 AWS Cost Explorer、GCP Billing 或 Azure Cost Management 公开支出。Claude for Teams 和 Enterprise 计划在 claude.ai/analytics/claude-code 包含使用情况仪表板。

​
审查数据处理

在 Team、Enterprise、Claude API 和云提供商计划上，Anthropic 不会在您的代码或提示上训练模型。您的 API 提供商决定保留和合规性态势。
主题需要了解的内容从何处开始
Data usage policyAnthropic 收集的内容、保留多长时间、永远不会用于训练的内容Data usage
Zero Data Retention (ZDR)请求完成后不存储任何内容。在 Claude for Enterprise 上可用Zero data retention
Security architecture网络模型、加密、身份验证、审计跟踪Security
如果您需要请求级别的审计日志或按数据敏感性路由流量，请在开发人员和您的提供商之间放置 LLM gateway。有关监管要求和认证，请参阅 Legal and compliance。

​
验证和入职

配置托管设置后，让开发人员在 Claude Code 中运行 /status。输出包括以 Enterprise managed settings 开头的一行，后跟括号中的源，为 (remote)、(plist)、(HKLM)、(HKCU) 或 (file) 之一。请参阅 Verify active settings。 分享这些资源以帮助开发人员入门： 对于登录问题，请将开发人员指向 authentication troubleshooting。最常见的修复是：
  • 运行 /logout 然后 /login 以切换账户
  • 如果缺少企业身份验证选项，运行 claude update
  • 更新后重启终端
如果开发人员看到”您还没有被添加到您的组织”，他们的座位不包括 Claude Code 访问权限，需要在管理控制台中更新。

​
后续步骤

选择提供商和传递机制后，继续进行详细配置：