當團隊規模從個人開發者擴展到數十甚至數百人的工程團隊時，Claude Code 的管理需求也隨之改變。如何確保每位開發者都能安全、一致地使用 AI 輔助工具？如何在享受生產力提升的同時，滿足企業合規與安全要求？這是每位技術主管和 DevOps 工程師都必須面對的課題。本篇作為 Claude Code 系列的最終篇，將完整介紹企業級部署策略、團隊權限管理、合規設定、成本控制等關鍵主題，幫助你為團隊打造一套完善的 Claude Code 治理架構。
Claude for Enterprise 與 Max Plan 方案總覽
Anthropic 針對不同規模的團隊提供了多種方案，每個方案在 Claude Code 的支援程度和管理功能上有所差異。選擇正確的方案是企業部署的第一步。
| 方案 | 適用對象 | Claude Code 存取 | 管理功能 |
|---|---|---|---|
| Free | 個人試用 | 不支援 | 無 |
| Pro | 個人開發者 | 包含（有用量上限） | 基本設定 |
| Max | 進階個人 / 小型團隊 | 包含（高用量上限） | 進階設定 |
| Team | 中小型團隊 | 每個標準席位皆包含 | Admin Console、使用量儀表板 |
| Enterprise | 大型組織 | 完整存取、可自訂 | 完整 Admin Console、SSO、合規 API、稽核日誌 |
Team Plan 自 2026 年起已將 Claude Code 納入每個標準席位，無需額外購買 Premium 席位即可使用。而 Enterprise Plan 則提供最完整的管理能力，包括 SAML SSO、合規 API、集中式設定管理與企業級安全控制。
對於需要最高用量上限的個人使用者，Max Plan 提供了比 Pro 更大的上下文視窗與更高的使用額度，適合重度使用 Claude Code 進行開發的專業工程師。
團隊權限管理：Admin Settings
Enterprise 和 Team Plan 都提供了 Admin Console，讓組織管理者能集中管理團隊成員的存取權限與使用原則。透過 Admin Settings，你可以精細地控制每位成員能使用哪些功能。
角色與權限架構
| 角色 | 權限範圍 | 典型職務 |
|---|---|---|
| Owner | 完整管理權限，包括帳務與方案變更 | 技術長（CTO）、VP of Engineering |
| Admin | 管理成員、設定原則、檢視使用量 | 工程經理、DevOps Lead |
| Member | 使用 Claude Code 與 Claude.ai | 軟體工程師、資料科學家 |
| Viewer | 僅能檢視共享對話與報告 | 專案經理、利害關係人 |
關鍵管理功能
- 成員管理：透過電子郵件邀請或 Domain Capture 自動將公司網域信箱加入組織
- 功能開關：控制 Claude Code、Web Search、File Upload 等功能的啟用狀態
- 網路存取：設定 Claude Code 可存取的外部網路範圍，限制敏感環境的連線
- MCP Server 白名單：僅允許經過審核的 MCP Server 連線，防止未授權的工具整合
- Plugin Marketplace 管理：控制團隊成員可安裝的 Plugin 範圍
使用量監控與成本控制
企業部署 Claude Code 的一大挑戰是成本管理。Admin Console 提供了詳細的使用量儀表板，讓管理者能即時掌握團隊的使用狀況並做出調整。
使用量儀表板功能
- 即時用量追蹤：檢視每位成員的 API 呼叫次數、Token 消耗量、活躍工作階段數
- 趨勢分析：比較不同時間區間的使用量變化，識別異常高峰
- 生產力指標：追蹤 Claude Code 協助產生的 Pull Request、已提交程式碼等指標
- 成本分配：依團隊或專案分類統計使用成本，便於內部計費
成本控制策略
| 策略 | 設定方式 | 適用情境 |
|---|---|---|
| 席位上限 | 在 Admin Console 設定最大席位數 | 控制總體預算 |
| 用量警示 | 設定 Token 消耗閾值，自動發送通知 | 防止超額使用 |
| 功能分級 | 依角色啟用不同等級的模型（如 Opus vs Sonnet） | 平衡效能與成本 |
| 排程限制 | 限制 Cloud 排程任務的最大數量與執行頻率 | 控制自動化成本 |
| 週期預算 | 設定每月或每季的使用額度上限 | 長期預算規劃 |
建議在部署初期先以較寬鬆的限制開始，收集兩到四週的使用資料後再根據實際用量調整。過度限制可能降低開發者的採用意願，反而無法發揮 Claude Code 的價值。
Server-Managed Settings：集中式設定管理
Server-Managed Settings 是 Enterprise Plan 的核心管理功能，它允許管理者從 Anthropic 的 Admin Console 遠端推送設定到每位開發者的 Claude Code 環境中。當開發者通過身份驗證後，設定會自動套用，無需手動部署任何設定檔案。
運作機制
- 管理者在 Admin Console 設定組織原則
- 開發者啟動 Claude Code 並通過身份驗證
- Claude Code 從伺服器下載最新的管理設定
- 設定自動套用，開發者無法覆蓋受管理的設定項目
- 設定變更即時生效，無需重新安裝或手動更新
可管理的設定項目
// Server-Managed Settings 可控制的項目範例
{
"permissions": {
"allowedTools": ["Read", "Write", "Bash"],
"deniedTools": ["mcp__*"],
"allowBashCommands": ["npm test", "npm run build"],
"denyBashCommands": ["rm -rf", "sudo *"]
},
"networkAccess": {
"allowedDomains": ["github.com", "npmjs.com"],
"blockExternalConnections": false
},
"modelSelection": {
"defaultModel": "claude-sonnet-4-6",
"allowModelOverride": false
},
"mcpServers": {
"allowlist": ["github-mcp", "jira-mcp"],
"blockUnlisted": true
}
}Server-Managed Settings 特別適合 BYOD（自帶裝置）環境，因為它不依賴 MDM 或任何端點管理工具。不過要注意，由於設定的強制執行是在客戶端進行，具有系統管理員權限的開發者理論上可以繞過這些限制。對於需要更強安全保證的環境，建議搭配 MDM 層級的設定使用。
Drop-In Configuration：模組化設定管理
除了 Server-Managed Settings，Claude Code 也支援檔案型態的設定管理。managed-settings.json 是部署在本機端的設定檔，提供組織級的原則強制執行。而 Drop-In Configuration 目錄則進一步支援模組化的設定管理。
設定檔層級與優先順序
| 層級 | 設定來源 | 優先順序 | 適用範圍 |
|---|---|---|---|
| Server-Managed | Admin Console 遠端推送 | 最高 | 整個組織 |
| Endpoint-Managed | MDM / 群組原則部署 | 高 | 受管理裝置 |
| managed-settings.json | 檔案部署至系統路徑 | 中高 | 安裝該檔案的裝置 |
| Drop-In 目錄 | managed-settings.d/*.json | 中（按檔名排序合併） | 安裝該目錄的裝置 |
| Enterprise CLAUDE.md | 專案根目錄設定 | 中低 | 單一專案 |
| 使用者個人設定 | ~/.claude/settings.json | 最低 | 個別使用者 |
Drop-In 目錄使用方式
Drop-In 目錄採用與 systemd 和 sudoers 相同的設計模式。你可以在 managed-settings.d/ 目錄下放置多個 JSON 設定片段，這些檔案會按照字母順序排序後依次合併，後面的檔案會覆蓋前面的相同設定項。
# Drop-In 目錄結構範例
/etc/claude-code/
├── managed-settings.json # 基礎設定
└── managed-settings.d/
├── 00-base-security.json # 基礎安全原則
├── 10-network-policy.json # 網路存取原則
├── 20-tool-permissions.json # 工具權限設定
└── 30-team-specific.json # 團隊特定設定這種模組化的設計特別適合大型組織，不同團隊（如安全團隊、平台團隊、各開發團隊）可以各自維護自己的設定片段，無需協調修改同一個檔案，大幅降低設定衝突的風險。
合規設定：HIPAA、SOC 2 與資料治理
對於受法規監管的產業，Claude Code 的企業部署必須滿足嚴格的合規要求。Anthropic 已通過獨立的 SOC 2 Type II 稽核，驗證其基礎設施在安全性、可用性與機密性方面的承諾。
SOC 2 合規設定
- 稽核日誌：Enterprise Plan 自動記錄所有 Claude Code 互動，包括提示詞、回應內容、工具呼叫與檔案操作
- 資料保留原則：可自訂資料保留時間，滿足不同法規的要求
- 存取控制：基於角色的存取控制（RBAC），確保最小權限原則
- 加密傳輸：所有資料傳輸均使用 TLS 1.3 加密
HIPAA 合規考量
- 需要與 Anthropic 簽署商業夥伴協議（BAA）
- 啟用 Zero Data Retention（ZDR）模式，確保對話內容不被用於模型訓練
- 限制受保護健康資訊（PHI）的傳輸範圍
- 設定嚴格的網路存取原則，防止資料外洩
- 定期進行存取權限審查與稽核日誌檢視
Compliance API
Enterprise Plan 提供了 Compliance API，讓合規團隊能以程式化方式存取 Claude 的使用資料。這個 API 支援即時查詢與批次匯出，可整合至現有的合規監控系統中。
# Compliance API 使用範例
# 查詢特定時間範圍的使用記錄
curl -X GET "https://api.anthropic.com/v1/compliance/logs" \
-H "Authorization: Bearer $ADMIN_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"start_date": "2026-06-01",
"end_date": "2026-06-07",
"user_id": "team-member-001",
"include_content": true
}'SSO 整合與身份驗證
單一登入（SSO）是企業部署的基本需求。Claude Enterprise 支援 SAML 2.0 與 OIDC 協定，可與主流的身份供應商無縫整合。
支援的身份供應商
| 身份供應商 | 協定 | 設定複雜度 | 備註 |
|---|---|---|---|
| Okta | SAML 2.0 / OIDC | 低 | 官方文件提供詳細步驟 |
| Azure AD（Entra ID） | SAML 2.0 / OIDC | 低 | 支援條件式存取原則 |
| Google Workspace | SAML 2.0 | 中 | 需額外設定 SAML 屬性對應 |
| OneLogin | SAML 2.0 | 中 | 支援即時佈建 |
| 自建 IdP | SAML 2.0 / OIDC | 高 | 需自行管理憑證與端點 |
SSO 設定流程
- 在 Admin Console 的「Authentication」區段啟用 SSO
- 新增 DNS TXT 記錄以驗證網域擁有權
- 在身份供應商建立 Claude 應用程式並下載 IdP Metadata
- 將 IdP Metadata 上傳至 Claude Admin Console
- 設定屬性對應（至少需要 email 和 name 欄位）
- 啟用 Domain Capture，自動將公司網域信箱導向 SSO 登入
- 測試 SSO 登入流程，確認正常後強制啟用
建議在強制啟用 SSO 前，先保留至少一個非 SSO 的管理員帳號作為緊急存取通道，以防 SSO 設定發生問題時仍能存取 Admin Console。
API Key 管理與輪替
在企業環境中，API Key 的安全管理至關重要。每位開發者都需要 API Key 來驗證 Claude Code 的存取權限，但若管理不當，很容易造成金鑰外洩的風險。
API Key 安全最佳實踐
- 集中管理：透過 Admin Console 統一核發與撤銷 API Key，避免開發者自行產生
- 定期輪替：建立 90 天為週期的金鑰輪替政策，自動通知即將到期的金鑰
- 環境隔離：開發、測試與生產環境使用不同的 API Key，限制各環境的存取範圍
- 秘密管理工具：使用 Vault、AWS Secrets Manager 等工具儲存 API Key，避免硬編碼在設定檔中
- 存取日誌：啟用 API Key 使用日誌，監控異常存取模式
API Key 輪替自動化
#!/bin/bash
# API Key 輪替腳本範例
# 此腳本可整合至 CI/CD Pipeline 中定期執行
# 1. 透過 Admin API 產生新的 API Key
NEW_KEY=$(curl -s -X POST "https://api.anthropic.com/v1/admin/api-keys" \
-H "Authorization: Bearer $ADMIN_TOKEN" \
-d '{"name": "team-dev-key", "scope": "claude-code"}' \
| jq -r '.key')
# 2. 更新 Secrets Manager 中的金鑰
aws secretsmanager update-secret \
--secret-id "claude-code/api-key" \
--secret-string "$NEW_KEY"
# 3. 通知團隊成員更新本機設定
# Claude Code 可透過 Server-Managed Settings 自動推送新金鑰
# 4. 在確認新金鑰運作正常後，撤銷舊金鑰
curl -X DELETE "https://api.anthropic.com/v1/admin/api-keys/$OLD_KEY_ID" \
-H "Authorization: Bearer $ADMIN_TOKEN"
echo "API Key rotation completed successfully"團隊協作最佳實踐
Claude Code 不只是個人生產力工具，更是團隊協作的加速器。透過共享設定與統一的工作流程，團隊可以確保每位成員都以一致且高效的方式使用 AI 輔助開發。
共享 CLAUDE.md：團隊知識庫
CLAUDE.md 是 Claude Code 的專案設定檔，放置在專案根目錄中，它定義了 Claude Code 在該專案中的行為方式。在團隊環境中，CLAUDE.md 應納入版本控制，成為團隊的共享知識庫。
# CLAUDE.md - 企業級專案設定範例
## 專案概述
這是 [公司名稱] 的核心電商平台，使用 TypeScript + Next.js 開發。
## 程式碼規範
- 遵循 ESLint 設定檔中定義的規則
- 所有新功能必須包含單元測試，覆蓋率不得低於 80%
- Commit Message 格式：():
- 禁止使用 any 型別，必須定義明確的 TypeScript 介面
## 安全規範
- 不得在程式碼中硬編碼任何密鑰或憑證
- 所有 API 端點必須實作身份驗證與授權檢查
- 資料庫查詢必須使用參數化查詢，防止 SQL Injection
- 使用者輸入必須經過驗證與清理
## 部署流程
- 開發分支：feature/* → develop → staging → main
- 所有 PR 必須通過 CI/CD Pipeline 與至少兩位 Reviewer 核准
- 使用 `npm run deploy:staging` 部署至測試環境
## 禁止事項
- 不得修改 infrastructure/ 目錄下的 Terraform 設定
- 不得直接操作生產資料庫
- 不得安裝未經安全團隊審核的第三方套件 Plugin Marketplace：統一工具生態系
Claude Code 的 Plugin Marketplace 讓團隊能分享和管理自訂的工具與工作流程。Enterprise Plan 支援建立私有的 Plugin Marketplace，僅限組織內部使用。
- 私有 Marketplace：建立組織專屬的 Plugin 倉庫，分享內部開發的工具
- 審核機制：所有 Plugin 上架前需經過安全團隊審核，確保不含惡意程式碼
- 版本管理：Plugin 支援語義化版本控制，團隊可鎖定特定版本避免破壞性更新
- 自動部署：將核准的 Plugin 透過 Server-Managed Settings 自動推送至所有成員
團隊工作流程標準化
| 工作流程 | 實作方式 | 效益 |
|---|---|---|
| Code Review | 建立共享的 /review Skill，定義統一的審查標準 | 確保程式碼品質一致性 |
| 文件撰寫 | 使用 CLAUDE.md 定義文件格式與撰寫風格 | 降低文件維護成本 |
| 測試生成 | 建立標準化的測試生成 Prompt，納入 CI/CD | 提高測試覆蓋率 |
| Incident Response | 建立排程任務自動監控關鍵服務 | 縮短事件回應時間 |
| 新人引導 | 將入職流程封裝為 Skill，自動引導新成員 | 加速新人上手速度 |
企業級安全設定
安全是企業部署的基石。Claude Code 提供了多層次的安全控制，從網路層到應用層，全面保護組織的程式碼與資料。
網路安全
- 網路隔離：限制 Claude Code 僅能存取允許清單中的網域，防止資料外洩至未授權的服務
- Proxy 設定：支援企業 Proxy，所有 Claude Code 的網路流量皆經過公司的安全閘道
- VPN 整合：在需要存取內部資源時，確保 Claude Code 在 VPN 連線下運作
- 憑證固定：支援自訂 CA 憑證，適用於有 TLS 攔截需求的企業環境
程式碼安全
- 工具白名單：僅允許經過審核的工具執行，禁止未授權的 Bash 指令
- 檔案存取控制：限制 Claude Code 可存取的目錄範圍，保護敏感設定檔
- 指令過濾：設定禁止執行的危險指令（如
rm -rf、sudo） - 輸出審查：在 CI/CD Pipeline 中加入自動化安全掃描，檢查 Claude Code 生成的程式碼
資料安全設定範例
// managed-settings.json - 企業安全設定
{
"security": {
"dataRetention": {
"conversationHistory": "90d",
"generatedCode": "365d",
"auditLogs": "2y"
},
"zeroDataRetention": false,
"allowFileUpload": true,
"maxFileSize": "50MB",
"blockedFileTypes": [".exe", ".dll", ".so"]
},
"permissions": {
"deniedTools": ["mcp__unknown_*"],
"denyBashCommands": [
"rm -rf /",
"sudo *",
"chmod 777 *",
"curl * | bash"
],
"restrictedPaths": [
"/etc/",
"~/.ssh/",
"~/.aws/"
]
}
}部署架構建議
根據組織規模和安全需求的不同，Claude Code 的部署架構也會有所不同。以下是三種常見的部署模式，適用於不同階段的企業。
小型團隊（5-20 人）
- 使用 Team Plan，每位成員獲得標準席位
- 透過 CLAUDE.md 統一專案設定，納入 Git 版本控制
- 由 Tech Lead 擔任 Admin，管理成員權限
- 使用預設的安全設定，根據需要微調
- 成本控制：設定用量警示，每月檢視使用報告
中型團隊（20-100 人）
- 使用 Enterprise Plan 獲取完整管理功能
- 部署 Server-Managed Settings 統一全組織設定
- 整合 SSO（建議 Okta 或 Azure AD）
- 建立私有 Plugin Marketplace，分享內部工具
- 設定自動化的 API Key 輪替流程
- 指派專責的 DevOps 工程師管理 Claude Code 基礎設施
- 每季進行安全稽核與合規檢查
大型組織（100+ 人）
- 使用 Enterprise Plan 搭配客製化協議
- 結合 MDM（如 Jamf、Intune）部署 Endpoint-Managed Settings
- 建立多層級的 Drop-In Configuration，由不同團隊維護
- 整合 Compliance API 至現有的合規監控系統
- 部署專用的 Proxy Server，監控所有 Claude Code 網路流量
- 建立 Center of Excellence（CoE）團隊，負責最佳實踐推廣
- 使用自動化工具定期掃描所有專案的 CLAUDE.md 確保合規
- 建立完整的 Incident Response 流程，涵蓋 AI 相關安全事件
部署檢查清單
| 階段 | 項目 | 負責團隊 |
|---|---|---|
| 規劃 | 評估方案需求與預算 | 工程管理 |
| 規劃 | 定義安全原則與合規要求 | 資安團隊 |
| 部署 | 設定 SSO 與身份驗證 | IT / DevOps |
| 部署 | 建立 managed-settings.json 基礎設定 | DevOps |
| 部署 | 設定 Admin Console 角色與權限 | 工程管理 |
| 上線 | 進行小規模試點（Pilot） | 先導團隊 |
| 上線 | 收集回饋並調整設定 | DevOps |
| 上線 | 全面推廣至所有團隊 | 工程管理 |
| 維運 | 定期檢視使用報告與成本 | 工程管理 |
| 維運 | 執行季度安全稽核 | 資安團隊 |
| 維運 | 更新 CLAUDE.md 與 Plugin | 各開發團隊 |
延伸閱讀
恭喜你完成了整個 Claude Code 教學系列！這 30 篇文章從基礎入門到企業部署，涵蓋了 Claude Code 的各個面向。以下是一些延伸資源，幫助你持續深入學習和保持更新。
- Claude Code for Enterprise 官方頁面
- Server-Managed Settings 官方文件
- Claude Code Team & Enterprise 發佈公告
- Anthropic 模型文件
- Claude Code 治理指南（TrueFoundry）
本系列文章到此全部完結。感謝你的閱讀與支持！無論你是剛接觸 Claude Code 的新手，還是正在規劃企業級部署的技術主管，希望這個系列能為你帶來實質的幫助。AI 輔助開發的時代已經到來，善用 Claude Code 將是你和團隊在未來軟體開發中保持競爭力的重要關鍵。
