Claude Code Sandboxとは？サンドボックスの仕組みと有効化・設定方法を完全解説【2026年最新】

Claude Code Sandboxとは？サンドボックスの仕組みと有効化・設定方法を完全解説【2026年最新】

Claude Code Sandboxとは何か：サンドボックスの概念と役割

ネイティブサンドボックスの仕組み：OSレベルの制限

• macOS: Seatbelt（AppleのサンドボックスフレームワークでmacOS標準搭載）
• Linux: bubblewrap（namespacesベースの隔離技術）
• WSL2: bubblewrap（Linuxと同じ）
• WSL1: 非対応（必要なカーネル機能が不足しているため）

なぜ今サンドボックスが必要なのか：Claude Codeのリスクを理解する

Claude Code Sandboxの有効化方法：macOS・Linux・WSL2別手順

macOSでの有効化（追加インストール不要）

/sandbox

• Auto-allowモード: サンドボックス内のコマンドは自動的に許可される。許可が必要なコマンドだけ通常の承認フローに戻る
• Regular permissionsモード: サンドボックス内のコマンドも通常の承認フローを通る。より厳格なコントロールが必要な場合に

Linuxでの有効化（bubblewrapのインストールが必要）

# Ubuntu/Debian
sudo apt-get install bubblewrap socat

# Fedora
sudo dnf install bubblewrap socat

WSL2での有効化

# WSLバージョン確認
wsl --list --verbose

# WSL1 → WSL2に変換
wsl --set-version Ubuntu 2

サンドボックスの2つのモードを使い分ける

• Edit / Readツール: パーミッションシステムで直接制御される（サンドボックスの対象外）
• Bashコマンドとそのサブプロセス: サンドボックスのOSレベル制限が適用される

settings.jsonでサンドボックスを設定する

• ユーザー設定: ~/.claude/settings.json（個人の設定）
• プロジェクト設定: <project-root>/.claude/settings.json（プロジェクト全体の設定）
• マネージド設定: Enterprise向けに管理者が強制できる設定

{
  "sandbox": {
    "enabled": true,
    "autoAllowBashIfSandboxed": true
  }
}

{
  "sandbox": {
    "enabled": true,
    "failIfUnavailable": true
  }
}

ファイルシステムの分離設定：allowWrite・denyRead・denyWriteの使い方

{
  "sandbox": {
    "enabled": true,
    "filesystem": {
      "allowWrite": ["/tmp/build", "~/.kube"]
    }
  }
}

{
  "sandbox": {
    "enabled": true,
    "filesystem": {
      "denyRead": ["~/.ssh", "~/.aws/credentials", ".env*"]
    }
  }
}

{
  "sandbox": {
    "enabled": true,
    "filesystem": {
      "denyRead": ["~/"],
      "allowRead": ["."]
    }
  }
}

設定のマージ動作：複数スコープで配列が結合される

ネットワーク分離の設定：allowedDomains・プロキシ設定

{
  "sandbox": {
    "enabled": true,
    "network": {
      "allowedDomains": [
        "github.com",
        "*.npmjs.org",
        "registry.yarnpkg.com",
        "api.anthropic.com"
      ]
    }
  }
}

{
  "sandbox": {
    "network": {
      "httpProxyPort": 8080,
      "socksProxyPort": 8081
    }
  }
}

Unixソケットの設定

{
  "sandbox": {
    "network": {
      "allowUnixSockets": ["~/.ssh/agent-socket"]
    }
  }
}

DockerコンテナでClaude Code Sandboxを使う：注意点と設定

{
  "sandbox": {
    "enabled": true,
    "enableWeakerNestedSandbox": true
  }
}

Dockerとの互換性についての注意

{
  "sandbox": {
    "enabled": true,
    "excludedCommands": ["docker *"]
  }
}

エスケープハッチ機能：dangerouslyDisableSandboxとallowUnsandboxedCommands

{
  "sandbox": {
    "enabled": true,
    "allowUnsandboxedCommands": false
  }
}

CLIからサンドボックスを操作するコマンド

オープンソースのサンドボックスランタイム：@anthropic-ai/sandbox-runtime

npx @anthropic-ai/sandbox-runtime <サンドボックスで実行したいコマンド>

サンドボックスのセキュリティ上の限界と注意事項

サンドボックスがカバーしない領域

Claude Code Sandboxの実践的な設定例

個人開発者向けの標準設定

{
  "sandbox": {
    "enabled": true,
    "autoAllowBashIfSandboxed": true,
    "filesystem": {
      "denyRead": ["~/.ssh", "~/.aws/credentials", "~/.aws/credentials*"]
    },
    "network": {
      "allowedDomains": [
        "github.com",
        "*.npmjs.org",
        "api.anthropic.com",
        "pypi.org",
        "*.pypi.org"
      ]
    }
  }
}

チーム・プロジェクト向けの設定

{
  "sandbox": {
    "enabled": true,
    "autoAllowBashIfSandboxed": true,
    "failIfUnavailable": false,
    "excludedCommands": ["docker *"],
    "filesystem": {
      "allowWrite": ["/tmp"],
      "denyRead": ["~/.ssh", "~/.aws"]
    },
    "network": {
      "allowedDomains": [
        "github.com",
        "*.npmjs.org",
        "registry.yarnpkg.com",
        "api.anthropic.com"
      ]
    }
  }
}

エンタープライズ向けの厳格設定

{
  "sandbox": {
    "enabled": true,
    "failIfUnavailable": true,
    "allowUnsandboxedCommands": false,
    "filesystem": {
      "denyRead": [
        "~/.ssh",
        "~/.aws",
        "~/.gcp",
        "~/.azure",
        ".env",
        ".env.local",
        ".env.production"
      ]
    },
    "network": {
      "allowManagedDomainsOnly": true,
      "allowedDomains": [
        "company-internal-domain.com",
        "github.com",
        "*.npmjs.org"
      ]
    }
  }
}

Claude Code Sandboxとクラウド実行の違い

よくある質問（FAQ）

前回の記事・関連記事

まとめ

• サンドボックスはbashコマンドのファイルシステム・ネットワーク分離を担当する。ReadやEditツールはパーミッションシステムで別途管理する
• OSレベルの強制なので、Claude Code自身もバイパスできない。すべての子プロセスに制限が適用される
• macOSはすぐ使える（Seatbelt）。LinuxとWSL2はbubblewrap + socatのインストールが必要
• Auto-allowモードが推奨。サンドボックス内のコマンドは承認不要になり、生産性が上がる
• settings.jsonの配列設定はマージされる（上書きではなく結合）。各スコープで追加していく
• docker、watchmanはexcludedCommandsに入れると互換性の問題が解決しやすい
• サンドボックスは「完璧な防御」ではなく、リスクを限定する道具。パーミッション設定と組み合わせて多層防御を実現する

出典

• Claude Code Sandboxing - 公式ドキュメント
• Claude Code Security - 公式ドキュメント
• Claude Code Settings - 公式ドキュメント
• Anthropic GitHub - claude-code