Server-Managed Settings

是什么

Server-managed settings 允许管理员通过 Claude.ai web 界面集中配置 Claude Code，无需 MDM 基础设施。配置在用户认证时自动下发，每小时刷新，适合没有设备管理系统或需要管理非托管设备的组织。

核心机制

适用场景对比

方式	适合场景	安全模型
Server-managed	无 MDM，或非托管设备	认证时从 Anthropic 服务器下发
Endpoint-managed	有 MDM 或端点管理	MDM 配置文件/注册表策略部署到设备

配置入口 Claude.ai → Admin Settings → Claude Code → Managed settings

支持的配置内容

• 所有 settings.json 中的设置（少数需要 OS 级别下发的除外）
• hooks、环境变量、managed-only settings（如 allowManagedPermissionRulesOnly）

典型配置示例

{
  "permissions": {
    "deny": ["Bash(curl *)", "Read(./.env)", "Read(./secrets/**)"],
    "disableBypassPermissionsMode": "disable"
  },
  "allowManagedPermissionRulesOnly": true
}

配置生效机制

• 认证时下发，活跃 session 每小时刷新
• 优先级最高，覆盖所有本地配置
• Array 类设置（如 permissions.allow）跨 scope 合并，开发者可扩展但不能删除 managed 条目

关键细节

• 需要 Claude for Teams（v2.1.38+）或 Enterprise（v2.1.30+）
• 需要网络访问 api.anthropic.com
• allowManagedPermissionRulesOnly: true：只允许 managed settings 中定义的权限规则，开发者无法添加自己的 allow 规则
• 有 MDM 的组织推荐 endpoint-managed，OS 级别保护更强，用户无法修改

与其他概念的关联

• settings - settings 文件格式和优先级体系
• permissions - 权限规则语法和 managed-only settings
• admin-setup - 整体部署决策框架

实践要点

• 配置变更后等待下一次认证或 session 刷新（最多 1 小时）才生效
• 测试配置时先在小范围用户验证，再全量推送
• 结合 disableBypassPermissionsMode 防止开发者绕过权限限制