セキュリティ完全ガイド

1. サンドボックスを有効化する（最重要）

これは何? サンドボックス（子供の砂場のように、中で何をしても外に影響しない安全な環境）を有効にする設定です。
なぜ必要? Claude が実行するコマンドがパソコン全体に影響しないよう、操作範囲をプロジェクトフォルダ内に限定します。家の中で火を使うときに換気扇を回すようなもので、最も基本的な安全対策です。

{
  "sandbox": {
    "enabled": true
  }
}

2. サンドボックスの抜け道をブロックする

これは何? サンドボックスの外でコマンドを実行できてしまう「裏口」を塞ぐ設定です。
なぜ必要? せっかく砂場を作っても、柵に穴が空いていたら意味がないですよね。この設定で裏口を確実に閉じます。

{
  "sandbox": {
    "allowUnsandboxedCommands": false
  }
}

3. 危険なコマンドを拒否リストに登録する

これは何? 「これだけは絶対に実行させない」というコマンドのブラックリストです。
なぜ必要? 包丁で料理はするけど、危険な使い方（ファイル全削除、外部への無断通信など）は禁止するようなもの。rm -rf（ファイル全削除）、curl/wget（外部通信）、git push（変更の外部公開）、chmod 777（ファイルのアクセス制限を全解除）など、破壊的なコマンドをブロックします。deny（拒否）ルールは最優先で適用されます。

{
  "permissions": {
    "deny": [
      "Bash(rm -rf *)",
      "Bash(curl *)",
      "Bash(wget *)",
      "Bash(git push *)",
      "Bash(chmod 777 *)"
    ]
  }
}

4. 機密ファイルへのアクセスをブロックする

これは何? パスワードや秘密鍵が書かれたファイルを Claude が読めないようにする設定です。
なぜ必要? 金庫の暗証番号が書かれたメモを、アルバイトに見せないのと同じです。.env（パスワードなどの秘密情報ファイル）、SSH鍵（サーバーに接続するための秘密の鍵ファイル）、PEM証明書（暗号通信に使う証明書）などへのアクセスを拒否します。

{
  "sandbox": {
    "filesystem": {
      "denyRead": ["~/.aws/credentials", "~/.ssh", ".env*"]
    }
  }
}

5. ネットワークアクセスを制限する

これは何? Claude が通信できるWebサイトを「許可リスト」で限定する設定です。
なぜ必要? 子供のスマホに「このサイトだけアクセスOK」と制限をかけるのと同じ。万が一、悪意のある命令（プロンプトインジェクション攻撃）が紛れ込んでも、許可されていないサイトにデータを送信することができなくなります。

{
  "sandbox": {
    "network": {
      "allowedDomains": ["github.com", "*.npmjs.org"]
    }
  }
}

6. Bypass Permissions モードを無効化する

これは何? 「全セキュリティを無効化する裏技コマンド」を使えなくする設定です。
なぜ必要? 家のセキュリティシステムに「全部オフにするマスターキー」があったら危険ですよね。--dangerously-skip-permissions フラグ（名前からして「危険」と書いてある）が有効だと、すべての安全チェックが完全にスキップされます。チーム環境ではこれを組織レベルで無効化し、誰も使えないようにしましょう。

{
  "permissions": {
    "disableBypassPermissionsMode": "disable"
  }
}

7. PreToolUse Hooks でカスタム安全チェックを追加する

これは何? Claude が何かを実行する「直前」に、あなたが作った安全チェックプログラムを自動実行する仕組みです。
なぜ必要? 会社独自のルール（例:「本番環境には絶対に触るな」）を自動で強制するため。たとえると、工場の機械に「安全センサー」を追加設置するようなもの。フック（自動実行されるチェックプログラム）が exit code 2（「ダメ!」の信号）を返すと操作がブロックされます。

// .claude/settings.json（Claude の設定ファイル）
{
  "hooks": {
    // PreToolUse = Claude がツールを使う「前」に実行される
    "PreToolUse": [
      {
        // Bash コマンドを実行しようとしたときだけチェック
        "matcher": "Bash",
        "hooks": [
          {
            "type": "command",
            // 安全チェック用のスクリプトを実行
            "command": ".claude/hooks/validate-command.sh"
          }
        ]
      }
    ]
  }
}

バリデーションスクリプトの例（.claude/hooks/validate-command.sh）:

#!/bin/bash
# Claude が実行しようとしているコマンドを受け取る
COMMAND=$(jq -r '.tool_input.command' < /dev/stdin)

# ファイル全削除コマンド(rm -rf)が含まれていたらブロック
if echo "$COMMAND" | grep -q 'rm -rf'; then
  echo "Blocked: rm -rf commands are not allowed" >&2
  exit 2  # exit 2 = 「ダメ!」の信号。この操作をブロックする
fi

# 本番環境(prod)への操作が含まれていたらブロック
if echo "$COMMAND" | grep -q 'prod'; then
  echo "Blocked: production access is not allowed" >&2
  exit 2  # 同じく「ダメ!」の信号
fi

# 上のどちらにも該当しなければ、操作を許可する
exit 0  # exit 0 = 「OK!」の信号

8. 権限を定期的に監査する

これは何? 「今、Claude に何を許可しているか」を定期的に確認する習慣です。
なぜ必要? スマホのアプリに「位置情報を許可しますか?」と聞かれるたびに「はい」を押し続けると、いつの間にか全アプリが位置情報にアクセスできる状態になりますよね。Claude でも同じことが起きます。これを「権限クリープ（許可がじわじわ増えること）」と呼びます。/permissions で定期的に確認しましょう。

# Claude Code セッション中に実行:

> /permissions    # 現在の権限ルール一覧を表示
> /status         # 設定ファイルの場所と内容を確認

# 不要な「Always allow」ルールを発見したら、
# .claude/settings.json から手動で削除する

9. 開発コンテナを使用する

これは何? Claude Code を「仮想的な別のパソコン」の中で実行する方法です。
なぜ必要? たとえると、実験室で防護服を着て作業するようなもの。万が一事故が起きても、実験室の外には被害が及びません。コンテナ（隔離された仮想環境）内では、あなたの本物のパソコンのファイルには一切触れないため、最も安全な方法です。Anthropic が公式の devcontainer（開発用コンテナ）テンプレートを提供しています。

# Anthropic 公式の devcontainer リファレンス実装を取得:
git clone https://github.com/anthropics/claude-code.git

# devcontainer/ ディレクトリに設定テンプレートがあります
# VS Code の Dev Containers 拡張機能で開くと
# 自動的に隔離環境が構築されます

10. チーム向け Managed Settings を強制する

これは何? 会社全体で統一したセキュリティルールを強制する仕組みです。
なぜ必要? 会社のIT部門がパソコンに「このソフトはインストール禁止」と強制するのと同じ。個人がルールを変更できないようにすることで、チーム全体の安全性を保証します。Server-managed（クラウド経由で管理）または Endpoint-managed（MDM（会社のデバイス管理ツール）で配信）の2つの方法があります。

設定ファイルの配置場所:

• macOS: /Library/Application Support/ClaudeCode/managed-settings.json
• Linux: /etc/claude-code/managed-settings.json
• Windows: C:\Program Files\ClaudeCode\managed-settings.json

// 組織ポリシーの完全な設定例:
{
  "permissions": {
    "disableBypassPermissionsMode": "disable",
    "allowManagedPermissionRulesOnly": true,
    "allowManagedHooksOnly": true,
    "allowManagedMcpServersOnly": true
  },
  "sandbox": {
    "enabled": true,
    "allowUnsandboxedCommands": false,
    "network": {
      "allowManagedDomainsOnly": true,
      "allowedDomains": ["github.com", "*.npmjs.org"]
    }
  }
}

各設定項目の意味（ひとことで言うと）:

• disableBypassPermissionsMode ― 「全セキュリティ無効化」コマンドの使用を禁止
• allowManagedPermissionRulesOnly ― 個人が勝手に許可ルールを追加できなくする（管理者のルールだけ有効）
• allowManagedHooksOnly ― 管理者が承認したフック（自動実行プログラム）のみ動作を許可
• allowManagedMcpServersOnly ― 管理者が許可した外部ツール接続のみ使える
• allowManagedDomainsOnly ― 管理者が許可したWebサイトにしか通信できない