Jak wdrażać i zarządzać Claude Code w przedsiębiorstwie przy użyciu Scalefusion

Twoi programiści prawdopodobnie już znaleźli Claude Code. Pytanie brzmi, czy Twój zespół IT też.

Ta luka, między momentem, w którym narzędzie wchodzi do obiegu pracy, a momentem, w którym organizacja faktycznie nim zarządza, to miejsce, w którym po cichu zaczyna się większość problemów związanych ze sztuczną inteligencją w przedsiębiorstwach. Ten blog jest przeznaczony dla administratorów IT i liderów inżynierii, którzy chcą ją zniwelować, zanim stanie się problemem.

Pod koniec tego wpisu na blogu będziesz dokładnie wiedział, czym jest Claude Code, co może zrobić w Twoim środowisku, co się dzieje, gdy działa bez kontroli przedsiębiorstwa, a także jak wdrażać, konfigurować i zarządzać nim w całej flocie za pomocą Scalefusion.

Czym jest Claude Code?

Claude Code to narzędzie do kodowania agentowego firmy Anthropic. Działa w terminalu, odczytuje bazę kodu i wykonuje zadania programistyczne za pomocą języka naturalnego.

To ostatnie słowo ma znaczenie: wykonuje. Nie sugeruje. Nie podgląda. Claude Code odczytuje pliki w całym projekcie, zapisuje i modyfikuje kod w wielu plikach jednocześnie, uruchamia testy, obsługuje błędy, iteruje i zatwierdza wyniki. Kiedy programista zleca mu refaktoryzację modułu, dodanie uwierzytelniania do punktu końcowego lub naprawienie niedziałającego potoku CI, program wykonuje zadanie tak samo, jak zrobiłby to programista, z tą różnicą, że nie potrzebuje kogoś, kto będzie obserwował każdy krok.

Firma Stripe wdrożyła Claude Code wśród 1,370 inżynierów wszystkich szczebli. Jeden zespół ukończył migrację 10 000 wierszy kodu ze Scali do Javy w ciągu czterech dni, a czas pracy szacowany jest na dziesięć tygodni pracy inżynierów. To nie wzrost produktywności. To zmiana kategorii w zakresie tego, co zespoły inżynierskie mogą dostarczyć.

Claude Code działa w terminalu i natywnie integruje się z IDE VS Code, Cursor, Windsurf i JetBrains. Działa z GitHub i GitLab mogą monitorować procesy CI, automatycznie naprawiać awarie i zgłaszać żądania ściągnięcia. Anthropic podaje, że około 27% zadań realizowanych przy pomocy Claude Code to zadania, które bez tego narzędzia w ogóle by się nie podjęły. Inżynierowie nie tylko działają szybciej. Podejmują się zadań, których wcześniej by się nie podjęli.

Co Claude Code może zrobić w Twoim środowisku

Zanim przejdziemy do konfiguracji, warto dokładnie określić, co Claude Code tak naprawdę robi na maszynie, ponieważ to właśnie od tego musi się zacząć rozmowa w przedsiębiorstwie.

Claude Code odczytuje całą bazę kodu w kontekście. Wykonuje polecenia powłoki, edytuje pliki, wysyła żądania sieciowe i wywołuje usługi zewnętrzne. Obsługuje serwery Model Context Protocol (MCP), co oznacza, że ​​może łączyć się z wewnętrznymi bazami danych, interfejsami API, systemami dokumentacji i narzędziami monitorującymi. W trybie automatycznym działania mieszczące się w progu klasyfikatora bezpieczeństwa są wykonywane bez oczekiwania na indywidualne potwierdzenie użytkownika.

Nic z tego nie stanowi problemu, gdy jest poprawnie skonfigurowane. Wszystko jest problemem, gdy nie jest.

Programista korzystający z Claude Code z ustawieniami domyślnymi uruchamia go z własnymi uprawnieniami na poziomie użytkownika. Może on odczytywać pliki środowiskowe, klucze SSH i dane uwierzytelniające z katalogu roboczego. Wysyła kontekst kodu do serwerów Anthropic w celu przetworzenia. Bez uwierzytelniania związanego z organizacją programista może korzystać z konta osobistego. Bez ograniczeń modelu, będzie używać dowolnego dostępnego modelu. Bez kontroli uprawnień dostępna jest flaga –dangerously-skip-permissions, która całkowicie eliminuje monity o potwierdzenie poleceń powłoki i edycji plików.

Dla dewelopera pracującego samotnie nad projektem prywatnym, nic z tego nie ma znaczenia. Dla dewelopera z dostępem do infrastruktury produkcyjnej w przedsiębiorstwie, wszystko ma znaczenie.

Co się dzieje, gdy Claude Code działa bez zarządzania na dużą skalę

Większość przedsiębiorstw, które mają problem z kodem Claude'a, jeszcze nie wie, że go mają.

Schemat wdrażania jest spójny: kilku programistów próbuje, produktywność zauważalnie wzrasta, wieść się rozchodzi i nagle trzydziestu inżynierów z trzech zespołów korzysta z niego we własnych konfiguracjach. Niektórzy są uwierzytelniani za pomocą kont osobistych. Niektórzy łączą się z lokalnymi serwerami MCP, których dział IT nigdy nie sprawdzał. Niektórzy korzystają z włączonym pomijaniem uprawnień, ponieważ jest to szybsze. Narzędzie AI, które początkowo było pilotażem, jest teraz osadzone w procesie rozwoju oprogramowania i nie ma wglądu w żaden jego element.

Konkretne zagrożenia w środowisku regulowanym nie są abstrakcyjne. Deweloperzy korzystający z kont osobistych oznaczają zastrzeżony kod wysyłany do Anthropic na warunkach konsumenckich, które mają inne domyślne ustawienia przetwarzania danych niż umowy korporacyjne. Niesprawdzone serwery MCP oznaczają integracje narzędzi łączące się z Claude, których nikt w dziale IT nie zatwierdził. Niekontrolowany dostęp do modelu oznacza, że ​​niektóre zespoły korzystają z Opus, podczas gdy kontrola kosztów zakłada Sonnet. A bez uwierzytelniania związanego z organizacją, zmiany personalne nie powodują automatycznego zamknięcia dostępu.

Nic z tego nie wymaga złych intencji. Tak po prostu wygląda organiczna adopcja bez nadzoru.

Jak Anthropic zbudował warstwę polityki przedsiębiorstwa

Oto część, której większość zespołów IT poza przedsiębiorstwami, których działalność koncentruje się na bezpieczeństwie, jeszcze nie odkryła.

Firma Anthropic stworzyła odpowiednią warstwę konfiguracji korporacyjnej zarówno dla Claude Code, jak i Claude for Desktop. Oba produkty obsługują zarządzane preferencje wdrożone w systemie MDM za pośrednictwem standardu Apple. .mobileconfig mechanizm w systemie macOS i równoważne zasady rejestru systemu Windows za pośrednictwem zasad grupy lub usługi Intune na zarządzanych urządzeniach z systemem Windows.

Gdy profil konfiguracji jest przesyłany przez Scalefusion, te ustawienia znajdują się na najwyższym poziomie priorytetu w hierarchii ustawień Claude Code. Żaden inny poziom ustawień nie może ich zastąpić, w tym argumenty wiersza poleceń. Ani przez aplikację, ani przez flagi CLI, ani przez lokalne pliki konfiguracyjne.

Kluczowe elementy kontroli polityki dla Claude Code:

• availableModels ogranicza modele, które programiści mogą wybrać za pomocą /model lub –model. Ustaw [„haiku”, „sonnet”], a Opus po prostu nie będzie dostępny na tym urządzeniu, niezależnie od uprawnień konta.
• forceLoginOrgUUID Wymaga, aby uwierzytelnione konto należało do Twojej konkretnej organizacji Claude. Konto osobiste nie zostanie uwierzytelnione. Programista, który odchodzi z firmy, automatycznie traci dostęp po cofnięciu członkostwa w organizacji.
• forceLoginMethod: "claudeai" blokuje uwierzytelnianie wyłącznie do kont Claude.ai, blokując logowanie za pomocą konsoli Anthropic lub klucza API.
• permissions.disableBypassPermissionsMode: "disable" Całkowicie usuwa flagę CLI –dangerously-skip-permissions. Programiści nie mogą pominąć potwierdzenia poleceń powłoki i edycji plików, nawet jeśli wiedzą o istnieniu tej flagi.
• disableAutoMode: "disable" usuwa tryb automatyczny z cyklu uprawnień, zapewniając, że człowiek uczestniczy w każdej akcji podejmowanej przez Claude Code w systemie.
• companyAnnouncements wyświetla niestandardową wiadomość dla deweloperów podczas uruchamiania Claude Code, przydatną do wyświetlania wewnętrznych wytycznych, zatwierdzonych list serwerów MCP lub przypomnień o zgodności.

W przypadku Claude for Desktop równoważne kontrolki obejmują połączenia z serwerem MCP (isLocalDevMcpEnabled), weryfikacja podpisu rozszerzenia (isDesktopExtensionSignatureRequired), interfejs terminala Claude Code w aplikacji na komputery stacjonarne (isClaudeCodeForDesktopEnabled), funkcje pracy zespołowej/korzystania z komputera (secureVmFeaturesEnabled) i zarządzanie aktualizacjami (disableAutoUpdates, autoUpdaterEnforcementHours).

Wdrażanie Claude Code za pomocą Scalefusion krok po kroku

Zarówno Claude Code, jak i Claude for Desktop są wdrażane za pośrednictwem Scalefusion Własne ustawienia Funkcja w profilach urządzeń macOS. To samo podejście obowiązuje w całej zarządzanej flocie komputerów Mac z poziomu jednego pulpitu. W przypadku urządzeń z systemem Windows równoważne zasady są wdrażane za pośrednictwem Scalefusion. MDM dla systemu Windows konfiguracja profilu.

Krok 1: Zaloguj do pulpitu Scalefusion i przejdź do Profile i zasady urządzeń > Konfiguracje Apple.

Krok 2: Wybierz istniejącą konfigurację Apple i kliknij Edytuj lub utwórz nową dla tego wdrożenia.

Krok 3: Na pasku bocznym konfiguracji przejdź do macOS i wybierz „Konfiguracja niestandardowa”.

Krok 4: Wklej ładunek konfiguracji bezpośrednio do edytora ustawień niestandardowych lub użyj przycisku Importuj pliki, aby przesłać go jako plik XML.

Krok 5: Kliknij UprawomocnićZielony znacznik wyboru potwierdza, że ​​ładunek został prawidłowo uformowany.

Krok 6: Trzymać Wyślij ładunek na kanał użytkownika przełączony OFFŁadunki te mają być stosowane na poziomie urządzenia, wymuszając konfigurację dla wszystkich użytkowników na komputerze.

Krok 7: Kliknij ZapiszKonfiguracja jest przesyłana do każdego zarządzanego urządzenia skojarzonego z tym profilem.

Kompletny pakiet oprogramowania Claude for Desktop, który stawia przede wszystkim na bezpieczeństwo i obejmuje rozszerzenia, połączenia MCP, zarządzanie aktualizacjami i Cowork:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN"
  "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
  <key>PayloadContent</key>
  <array>
    <dict>
      <key>PayloadType</key>
      <string>com.anthropic.claudefordesktop</string>
      <key>PayloadIdentifier</key>
      <string>com.yourorg.claudefordesktop.REPLACE-WITH-UUID</string>
      <key>PayloadUUID</key>
      <string>REPLACE-WITH-UUID</string>
      <key>PayloadVersion</key>
      <integer>1</integer>
      <key>disableAutoUpdates</key>
      <true/>
      <key>autoUpdaterEnforcementHours</key>
      <integer>1</integer>
      <key>isClaudeCodeForDesktopEnabled</key>
      <false/>
      <key>isDesktopExtensionEnabled</key>
      <false/>
      <key>isDesktopExtensionSignatureRequired</key>
      <true/>
      <key>isLocalDevMcpEnabled</key>
      <false/>
      <key>secureVmFeaturesEnabled</key>
      <false/>
    </dict>
  </array>
  <key>PayloadDisplayName</key>
  <string>Claude for Desktop – Managed</string>
  <key>PayloadIdentifier</key>
  <string>com.yourorg.claudefordesktop.profile</string>
  <key>PayloadOrganization</key>
  <string>Your Organization</string>
  <key>PayloadType</key>
  <string>Configuration</string>
  <key>PayloadUUID</key>
  <string>REPLACE-WITH-PROFILE-UUID</string>
  <key>PayloadVersion</key>
  <integer>1</integer>
</dict>
</plist>

Aby zweryfikować wdrożenie na zarządzanym urządzeniu, otwórz Claude Code w terminalu i uruchom /status. Wynik pokaże „Ustawienia zarządzane przez przedsiębiorstwo (plist)” w sekcji Źródła ustawień sprawdź, czy zarządzane preferencje są aktywne i wyświetl listę ustawień, które są egzekwowane.

Uwaga: Zarówno ładunki Claude for Desktop, jak i Claude Code można uwzględnić w tym samym edytorze ustawień niestandardowych. Upewnij się, że każdy z nich ma unikalny identyfikator PayloadIdentifier i PayloadUUID.

Konfigurowanie profili według zespołu

Jeden ładunek dla całej floty nie jest właściwym podejściem i tutaj właśnie sprawdzają się grupy urządzeń Scalefusion.

Programista z dostępem do infrastruktury produkcyjnej potrzebuje innej konfiguracji Claude Code niż menedżer produktu, inżynier ds. zapewnienia jakości czy analityk ds. zgodności. Jednolita polityka oznacza, że ​​albo dajesz wszystkim zbyt wiele, albo ograniczasz ich w zbyt dużym stopniu. Żadne z tych rozwiązań nie służy firmie.

Praktyczne podejście polega na zastosowaniu trzech profili do trzech grup urządzeń zarządzanych z tego samego pulpitu nawigacyjnego Scalefusion:

• Profil inżynierski: Szerszy dostęp do modelu (Sonnet i Opus w availableModels), połączenia MCP dozwolone w przypadku sprawdzonych integracji wewnętrznych, rozszerzenia dozwolone z isDesktopExtensionSignatureRequired: true, więc ładują się tylko zweryfikowane rozszerzenia.
• Profil sztabu generalnego: Dostęp do Claude Desktop z wyłączonymi rozszerzeniami, brak lokalnych połączeń MCP, aktualizacje wdrażane są przez dział IT, wyłączony interfejs terminala Claude Code.
• Profil regulowany lub wrażliwy na zgodność: Haiku tylko przez availableModels, pomijanie uprawnień i tryb automatyczny wyłączone, uwierzytelnianie powiązane z organizacją wymuszone przez forceLoginOrgUUID, Połączenia MCP wyłączone.

Kiedy nowy inżynier dołącza do zespołu, zostaje przydzielony do grupy urządzeń inżynieryjnych. Claude Code trafia na jego maszynę z uwierzytelnieniem organizacji, objętą polityką i skonfigurowaną do pełnienia swojej roli. Bez ręcznej konfiguracji. Bez dokumentacji wprowadzającej, której inżynierowie mogą nie przeczytać.

Gdy ktoś zmienia zespół lub odchodzi z firmy, jego grupa urządzeń ulega zmianie lub członkostwo w organizacji zostaje cofnięte. Dostęp zależy od roli danej osoby, a nie od jej pamięci o tym, co powinna mieć.

Właściwy czas, żeby to zrobić dobrze

Claude Code to nie narzędzie, które będzie oceniane, zatwierdzane, a następnie wdrażane zgodnie z harmonogramem. Jest już dostępne na Twoich urządzeniach. Programiści, którzy włączyli je do swojego procesu pracy, nie przestaną go używać z powodu opóźnionej polityki IT.

Organizacje, które poradzą sobie z tym dobrze, to te, które wychodzą naprzeciw potrzebom programistów: uznając, że Claude Code jest naprawdę przydatny, dbając o jego dostępność i wdrażając infrastrukturę zarządzania, która pozwala na jego działanie w ramach odpowiednich granic.

Scalefusion zapewnia IT widoczność i warstwę egzekwowania, aby to urzeczywistnić. Programiści zachowują narzędzie. Organizacja otrzymuje zaprojektowane przez siebie wdrożenie.

Chcesz zarządzać systemem Claude Code w całej swojej flocie?

Rozpocznij bezpłatny okres próbny już dziś.

Demonstracja

FAQ

1. Czy Claude Code działa w systemie Windows? 

Tak. Claude Code obsługuje system Windows, a równoważne zarządzane ustawienia można wdrożyć za pomocą zasad rejestru systemu Windows za pośrednictwem zasad grupy lub usługi Microsoft Intune. Zarządzanie profilami Windows MDM w Scalefusion obejmuje tę ścieżkę wdrażania.

2. Czy mogę uwzględnić ładunki Claude for Desktop i Claude Code w tym samym profilu Scalefusion? 

Tak. Oba ładunki można połączyć w tym samym edytorze ustawień niestandardowych. Każdy ładunek wymaga unikalnego PayloadIdentifier oraz PayloadUUID aby zostały przetworzone prawidłowo.

Co się stanie, jeśli programista spróbuje zastąpić zarządzane ustawienie? 

Ustawienie nie pojawia się jako opcja. Nie jest wyszarzone. W przypadku ustawień takich jak --dangerously-skip-permissions W Claude Code flaga została całkowicie usunięta z CLI. Nie ma niczego do nadpisania.

3. Czy to działa na urządzeniach BYOD? 

Ustawienia zarządzane przez punkt końcowy za pośrednictwem MDM wymagają rejestracji urządzenia. W przypadku urządzeń niezarządzanych lub BYOD, Anthropic oferuje również ustawienia zarządzane przez serwer, konfigurowane za pośrednictwem konsoli administracyjnej Claude.ai (wymaga Claude for Teams w wersji 2.1.38 lub Claude for Enterprise w wersji 2.1.30 i nowszych). Należy pamiętać, że ustawienia zarządzane przez serwer są dostępne po stronie klienta i mogą być modyfikowane przez użytkowników z uprawnieniami administratora. Aby zapewnić silniejsze egzekwowanie, zalecanym podejściem na urządzeniach zarządzanych są ustawienia punktów końcowych wdrażane przez MDM.

4. Czy mogę ograniczyć modele, do których dostęp mają poszczególne zespoły? 

Tak. Klucz availableModels akceptuje tablicę nazw modeli i ogranicza polecenie /model oraz flagę –model tylko do modeli z listy. Stosowane dla każdego profilu urządzenia, oznacza to, że różne zespoły mogą mieć różny dostęp do modeli bez konieczności samodzielnej regulacji przez użytkowników.

5. Czy zarządzane ustawienia spowalniają pracę deweloperów lub przeszkadzają im? 

Poprawnie skonfigurowane – nie. Ustawienia zarządzane usuwają opcje, które wykraczają poza zasady. Nie utrudniają one działania pozostałych opcji. Programista na profilu z dostępem do Sonnet, zatwierdzonymi połączeniami MCP i dozwolonymi rozszerzeniami korzysta z Claude Code normalnie. Konfiguracja jest niewidoczna, chyba że spróbuje zrobić coś poza zdefiniowanymi granicami.

6. Jak mogę sprawdzić, czy ustawienia zostały prawidłowo wdrożone w całej flocie? 

Uruchom komendę /status w interfejsie wiersza poleceń Claude Code na dowolnym zarządzanym urządzeniu. W wyniku pojawi się lista aktywnych źródeł ustawień. Zarządzane preferencje są wyświetlane jako „Ustawienia zarządzane przez przedsiębiorstwo (plist)”, co potwierdza, że ​​profil jest aktywny. W przypadku Claude for Desktop ograniczone funkcje po prostu nie pojawiają się w interfejsie.