是什么
admin-setup 是管理员部署 Claude Code 的决策框架，覆盖 API 提供商选择、策略下发机制、权限管控、用量监控和数据合规五个核心决策点。组织策略通过 managed settings 强制执行，优先级高于开发者本地配置。
核心机制
API 提供商选择
- Claude for Teams/Enterprise：推荐首选，订阅制，含 claude.ai 访问权限
- Claude Console：API-first，按量计费
- Amazon Bedrock / Google Vertex AI / Microsoft Foundry：继承云厂商合规控制和计费体系
- 注意：Claude Code on the Web、Routines、Code Review 等功能需要 Claude.ai 账号，纯 API key 或云厂商凭证无法使用
策略下发机制（优先级从高到低）
| 机制 | 路径 | 平台 |
|---|---|---|
| Server-managed | Claude.ai admin console | 全平台 |
| plist/registry | macOS plist / Windows HKLM | macOS, Windows |
| File-based | /etc/claude-code/managed-settings.json 等 | 全平台 |
| Windows user registry | HKCU | 仅 Windows |
Server-managed 在认证时下发，每小时刷新，无需 MDM 基础设施，但需要 Teams/Enterprise 计划。
权限管控
permissions.allow/permissions.deny：工具和命令白名单/黑名单- Array 类设置跨 scope 合并，开发者可扩展但不能删除 managed 条目
用量可见性
- Analytics dashboard：采用率、贡献指标（需 GitHub 集成）
- OpenTelemetry：细粒度 token 用量和成本追踪
/usage命令：当前 session 的 token 统计
数据处理
- 商业用户默认 30 天保留，不用于模型训练
- ZDR（Zero Data Retention）：Enterprise 专属，需联系 Anthropic 开启
关键细节
- WSL 默认只读 Linux 路径，要继承 Windows 策略需设
wslInheritsWindowsSettings: true - HKCU 注册表无需管理员权限写入，不适合作为强制执行渠道
- 混合提供商部署：server-managed 覆盖 Claude.ai 用户，file-based/plist 覆盖其他用户
与其他概念的关联
- authentication - 各提供商的认证配置细节
- server-managed-settings - server-managed 机制的完整配置
- settings - settings 文件格式和优先级
- permissions - 权限规则语法
- analytics - 用量分析仪表盘
- costs - 成本追踪和控制
实践要点
- 先用小规模 pilot 组建立成本基线，再全量推广
- 部署前确认网络访问需求（见 network-config）
- 如需单一入口管理多提供商或集中日志，考虑 llm-gateway