Claude Code の権限とセキュリティ：承認モード、ルール、サンドボックスの設定方法

権限システムはツール呼び出しごとに自動許可・確認・拒否のいずれかを決め、サンドボックスはOS層でファイルシステムとネットワークを制限する。コマンドを1つ許可してもサンドボックスが解除されるわけではなく、サンドボックスを有効化してもすべてのコマンドが自動承認されるべきではない。

効率的な設定の目標は、すべてのプロンプトを消滅させることではなく、繰り返しの低リスクで境界が明確な操作を円滑に実行し、影響の大きい操作には引き続き人間の判断を求めることである。

デフォルトモードは機密操作の前に承認を求める。acceptEdits は作業範囲内のファイル編集と、mkdir、touch、rm、rmdir、mv、cp、sed および対応する PowerShell ファイル操作を自動的に許可する。Plan モードは分析のみで編集しない。

Shift+Tab で対話インターフェースからモードを切り替える。未知のリポジトリの調査は Plan から始め、明確な小さな変更はデフォルトまたは acceptEdits を使える。無人タスクではツールとディレクトリをさらに限定する必要がある。

権限ルールはツールと入力を照合できる。allow は予測可能なテスト、lint、読み取り専用の Git コマンドに適し、deny は鍵ファイルや明示的に禁止する操作に適し、ask は都度判断が必要な中リスク操作に使う。

ルールはできるだけ具体的なコマンドのプレフィックスとパスに一致させるべきである。Bash を広く許可したり MCP ツール全体を許可したりすると、一時的な便利さが恒常的な攻撃面になる。

permissions.additionalDirectories はファイルアクセスのみを付与する。--add-dir や /add-dir は追加ディレクトリ内の Skills、Subagents、一部のプラグイン設定も検出する。CLAUDE.md と rules を読み込むかどうかは対応する環境のスイッチで制御される。

手間を省くために home や大型の monorepo の最上位から起動しないこと。作業範囲を小さくすれば誤変更の確率が下がり、探索の消費も減る。並行編集時は独立した worktree で隔離する。

ウェブページ、Issue、ログ、依存スクリプト、MCP の応答には、ツール実行を誘導する内容が含まれうる。Claude に外部データを読み込ませるとき、同時に無制限の shell、認証情報、本番ネットワークアクセスを与えるべきではない。

高リスクタスクにはサンドボックス、読み取り専用の認証情報、テスト環境、明示的な承認を使う。セキュリティチェックの無効化や秘密のエクスポートを求める外部テキストは、指示ではなくデータとして扱うべきである。

CLAUDE.md はモデル指示でありコンテキストの影響を受ける可能性がある。Hooks はライフサイクル上の決定的なプログラムであり、保護されたファイルへの書き込みのブロック、フォーマットの実行、終了前の検証により適している。

組織は管理設定で権限と MCP の境界を強制できる。チュートリアルでは管理者による制約をプロジェクト設定で回避できないこと、また回避経路も提示しないことを説明すべきである。