Contents

コンテンツ

【保存必須】Claude Code セットアップ Windows会社PCの手順

クロアカ
株式会社Re-rail 代表取締役 / 大城 芳樹更新日: 2026-10-16読了 約33分
【保存必須】Claude Code セットアップ Windows会社PCの手順
この記事の要点
  • 会社PCのWindowsセットアップで決めることは5つ。プロキシ、社内証明書、管理者権限、PowerShellの実行ポリシー、WSL(Windows上でLinuxを動かす仕組み)とサンドボックス。インストール作業そのものは数分で終わります
  • Claude CodeのWindows要件はWindows 10 1809以上またはWindows Server 2019以上。公式は管理者として実行する必要はないと明記し、Git for Windowsは必須ではなく推奨です(2026年10月15日確認)
  • Claude CodeはプロキシをHTTPS_PROXYなどの環境変数で指定し、SOCKS(HTTPとは別方式のプロキシ)は非対応。NTLM認証やKerberos認証(社内アカウントでプロキシに認証させる方式)なら、公式はLLMゲートウェイ(資格情報や費用、監査ログを1カ所に集める層)の検討を案内。Codexはサンドボックス内で端末側のプロキシを使う設定(features.network_proxy。公式は実験的・既定オフと注記)があり、社内のSOCKSを上流に使えるかと認証方式は公式の記載を確認できず断定しません
  • 社内証明書の指定先は製品で違います。Claude CodeはNODE_EXTRA_CA_CERTSとOSの証明書ストア、CodexはCODEX_CA_CERTIFICATEで、こちらはSSL_CERT_FILEより優先されます
  • ANTHROPIC_BASE_URL(接続先を指定する環境変数)だけ設定してゲートウェイの資格情報を入れないと、サブスクの上限と課金のまま。資格情報を入れるとサブスクは使われず、トークン(やり取りした文字量にあたる処理量の単位)ごとの従量課金に変わります
  • ネイティブWindows(WSLを使わず、Windowsそのままで動かす状態)のClaude Codeは、サンドボックス(作業できる範囲を区切る仕組み)なしでコマンドを実行します。Codexのサンドボックス実装mxcはWindows 11 24H2(build 26100.9278)か25H2(build 26200.9278)以降が条件で、前提が非対称です

会社PCのWindowsセットアップで止まるのは5カ所

会社のWindows PCにClaude CodeやCodexを入れる作業は、インストーラを流すだけなら数分で終わります。
止まるのはインストールではなくその前後の5カ所です。
私はAI導入支援の仕事で約50社・20業界(2026年7月時点)の設定に立ち会ってきましたが、詰まる場所は業種が違ってもだいたい同じでした。
公式ドキュメントで確認したのは仕様と設定値です(2026年10月15日)。
約50社という件数、点検表の台数、導入期間は私たちの実績と目安です。

インストールより先に決める5カ所

  • ネットワーク:社内プロキシを通せるか、どのドメインを許可するか
  • 社内証明書:通信検査で証明書を差し替える環境なら、社内CA(社内で証明書を発行する仕組み)のPEM形式の証明書ファイルをどこに指定するか
  • 権限:標準ユーザーのまま入れるのか、情シスが先に用意する部分があるのか
  • 実行ポリシー:PowerShellのスクリプト実行の設定で止まるかどうか
  • 実行の隔離:サンドボックス(作業できる範囲を区切る仕組み)を使えるのか、WSL(Windows上でLinuxを動かす仕組み)を許すのか

公式が示すWindowsの前提条件(2026年10月15日確認)

Claude Codeの要件は、Windows 10 1809以上またはWindows Server 2019以上、4GB以上のRAM、x64またはARM64です。
シェルはBash、Zsh、PowerShell、CMDに対応します(出典: code.claude.com/docs/en/setup)。
同じページに「管理者として実行する必要はない」と書かれ、Git for Windowsも必須ではなく推奨です。
この2点だけで、社内の申請の重さが変わります。

無料プランは対象外で、Pro、Max、Team、EnterpriseのプランかConsoleアカウント(開発者向け画面で作る、APIを従量課金で使うためのアカウント)が必要です(出典: code.claude.com/docs/en/setup)。
CodexはPlus以上で、web、CLI(コマンドを打って使う版)、IDE(開発用のエディタに組み込んで使う版)、iOSが使えます(出典: learn.chatgpt.com/docs/pricing)。
Codexは2026年にWindows向けのアプリが公開され、PowerShellとWindowsのサンドボックスでネイティブに動きます(出典: learn.chatgpt.com/docs/windows/windows-app)。
「CodexはWSLが必須」という前提は、もう正しくありません。

会社PC導入で決める5カ所(ネットワーク・社内証明書・権限・PowerShellの実行ポリシー・実行の隔離)を並べた図
会社PC導入で決める5カ所(ネットワーク・社内証明書・権限・PowerShellの実行ポリシー・実行の隔離)を並べた図

導入前の点検表(そのまま使えます)

表の中に出てくるLLMゲートウェイとは、資格情報と利用量、費用、監査ログを1カ所に集める層です。

点検項目 確認する内容 満たさないときの選択肢
プロキシ 社内プロキシがHTTPかSOCKSか、認証がBasicかNTLMかKerberosかを情シスに確認する SOCKS、NTLM認証、Kerberos認証ならLLMゲートウェイの設置を検討する
社内CA証明書 通信を検査して証明書を差し替えているか、社内CAのPEMファイルがあるか 情シスからPEMファイルを受け取り、製品ごとの環境変数に指定する
許可ドメイン api.anthropic.comなど公式が示すドメインがファイアウォールを通るか 公式の許可ドメイン表を添えてネットワーク管理者に申請する
管理者権限 利用者の端末が標準ユーザーか管理者か CLIもデスクトップアプリも標準ユーザーで入る。台数が多ければ情シスが配布する。パソコン上のファイルを扱う作業を任せる機能(Cowork)を使うなら管理者権限とWindowsの機能Virtual Machine Platformの有効化が要る(インストール中に管理者権限の確認画面=UACが出る)
PowerShellの実行ポリシー Restrictedなど、スクリプト実行が止まる設定になっていないか PowerShellインストーラを使う、または今ログインしている利用者だけに効く範囲(CurrentUser)でRemoteSignedに変える
WSLの可否 社内規程でWSL2の有効化が許されているか WSLなしでネイティブに動かす。Claude Codeのサンドボックスは使えない
サンドボックス 実行を隔離する必要があるか、どの製品で実現するか Claude Codeのサンドボックスはネイティブ非対応。Codexのmxcか、WSL2の併用で補う
プランと認証方式 契約プランが対象か、APIキー方式を使わない運用か 有料プランを用意し、APIキーの環境変数を端末から消す
端末のOSビルド Windows 11 24H2はbuild 26100.9278、25H2はbuild 26200.9278に達しているか Codexのmxcを使うなら、先にWindows Updateの計画を立てる
台数と配布方法 10台を超えるか、Intuneなどの配布基盤があるか 管理設定の配布と、Windows用のアプリ配布形式MSIXでのパッケージ配布に切り替える

ログインと始め方を先に決める(APIキー方式を選ばない)

アカウントの用意は前段の雑用に見えて、請求に直結します。

APIキー方式を選ぶと従量課金になる

APIキーは、利用者ごとに発行する鍵の文字列です。
これで使うと、サブスクではなく使った分の請求になります。
初回に多いのが、気付かずAPIキーを選び、想定外の請求が立つつまずきです。

認証の読み順と、環境に残ったAPIキー

Claude Codeは認証の情報を7段の決まった順で読み、環境変数のANTHROPIC_API_KEYは/loginで入るサブスクのログインより先に読まれます(出典: code.claude.com/docs/en/authentication)。
有効なサブスクがあっても、環境変数にANTHROPIC_API_KEYが残り、そのキーを使うかの確認で承認するとAPIキーが使われます。
公式の対処はunset ANTHROPIC_API_KEY(Bash系の書き方)です。
WindowsではPowerShellやCMD、またはシステムの環境変数設定から同じ変数を削除します。

Codexは「APIキー認証はCI/CDなどプログラムから回す用途に使う」と公式が書いています(出典: learn.chatgpt.com/docs/auth)。
人が対話で使う分は、ChatGPTのサインインが正になります。
ブラウザを開けない端末向けの認証は3つです。
端末に出たコードを別の端末のブラウザで入力するデバイスコード認証(beta)、ブラウザが使える端末の%USERPROFILE%\.codex\auth.jsonを対象端末の同じパスへ置く方法、ポート1455を転送するSSHポートフォワードです。

ターミナルに慣れていない人はデスクトップアプリから

デスクトップアプリ(Claude Desktop)にはClaude Codeが含まれ、Node.jsもCLIも入れずにCodeタブを使えます(出典: code.claude.com/docs/en/desktop-quickstart)。
必要なのはPro、Max、Team、Enterpriseのいずれかです。
以降の「Claude Desktop」は、このアプリです。
画面の見方と操作はデスクトップアプリのブラウザ表示の使い方にまとめています。

見落としがちなポイント

有効なサブスクがあっても、環境変数にANTHROPIC_API_KEYが残り、そのキーを使うかの確認で承認すると、APIキー側が使われます。従量課金になるため、配布前に、端末と利用者ごとの環境変数設定を点検してください。

企業プロキシと社内証明書は、製品ごとに設定先が違う

プロキシの環境変数と、読まれる順番

Claude CodeはHTTPS_PROXY、HTTP_PROXY、NO_PROXY(プロキシを通さず直接つなぐ宛先を並べる変数)を読みます。
読み順は https_proxy → HTTPS_PROXY → http_proxy → HTTP_PROXY で、この順で最初に設定されている値が使われます。
古い小文字のhttps_proxyが残っている端末では、そちらが優先されます。
NO_PROXYは空白区切りとカンマ区切りの両方が使えます(出典: code.claude.com/docs/en/network-config)。
同じページにSOCKSプロキシには対応しないと明記されています。
Basic認証は、プロキシのURLに利用者名とパスワードを埋め込んで通します。
公式はあわせて、パスワードをスクリプトに直書きせず、環境変数か安全な資格情報の保管を使うよう注意しています。
NTLM認証やKerberos認証のプロキシについては、公式がLLMゲートウェイの検討を案内しています。
NTLM認証しか残っていない会社では、プロキシの設定を粘るより先にゲートウェイの検討へ移ったほうが早く片付きます。

社内CA証明書の指定先はClaudeとCodexで別

Claude Codeは既定で、同梱のMozilla CAとOSの証明書ストアの両方を信頼します(CLAUDE_CODE_CERT_STOREの既定値はbundled,system)。
npm(Node.jsに付属するコマンドでの導入経路)で入れた場合、OSストアを読むにはNode.js 22.15以降が必要です。
社内CAの指定先は製品ごとに違い、Claude CodeはNODE_EXTRA_CA_CERTS、CodexはCODEX_CA_CERTIFICATEです。
CodexのほうはSSL_CERT_FILEより優先されます(出典: learn.chatgpt.com/docs/config-file/environment-variables)。
混同すると、証明書を置いても通りません。

Codexの公式ドキュメントが一覧に挙げている環境変数に、HTTP_PROXY系の記載はありません。
サンドボックス内の通信は、設定ファイルconfig.toml(Windowsは%USERPROFILE%\.codex\config.toml)で扱います。
[ ]から始まる区切りをテーブルと呼び、[features.network_proxy]を作ってenabled = trueと書きます。
このenabledは既定falseで、コマンドのネットワーク許可が有効なときだけプロキシを起動します。
許可はsandbox_workspace_write.network_accessか、使う権限プロファイルのpermissions.<名前>.network.enabledで入れます。
端末側のプロキシへつなぐallow_upstream_proxy(既定true)は、同じ[features.network_proxy]テーブルのキーです。
公式はこの機能を実験的と注記しています(出典: learn.chatgpt.com/docs/config-file/config-reference)。

つながらないときに見る3カ所

1つ目は許可ドメインです。
api.anthropic.comやregistry.npmjs.orgなどを並べた表が公式にあるので、申請には抜けが出ないよう公式の表そのものを添えてください。
2つ目はclaude --debugのログで、%USERPROFILE%\.claude\debug\<セッションID>.txt(公式表記は~/.claude/debug/)に残ります。
3つ目は、Claude Codeを起動した対話画面で/statusと打って確かめます。
/statusのProxy行は適用中のプロキシURLを表示し、値が解釈できないときは無効として無視したと示します。
読み込めたときだけ出るのは相互TLS(サーバと端末が互いに証明書を出し合う方式)の証明書と鍵の行で、こちらは行が無ければ読み込めていません。
追加CA証明書の行はパスの表示だけなので、読み込めたかはclaude --debugのログで確かめます。
送信データの圧縮(gzip)が通らない環境にはCLAUDE_CODE_GZIP_REQUEST_BODIES=0、相互TLSが要る環境にはCLAUDE_CODE_CLIENT_CERT系の環境変数が用意されています。

項目 Claude Code Codex
プロキシの指定方法 HTTPS_PROXY、HTTP_PROXY、NO_PROXYの環境変数で指定する 公式が挙げる環境変数にHTTP_PROXY系の記載がない。config.toml(%USERPROFILE%.codex\)の[features.network_proxy]のenabledは既定false。コマンドのネットワーク許可(sandbox_workspace_write.network_access または permissions.<名前>.network.enabled)が有効なときにプロキシが起動する。端末側のプロキシへつなぐallow_upstream_proxy(既定true)は同じ[features.network_proxy]のキー
SOCKSプロキシ 公式に「対応しない」と明記 社内のSOCKSプロキシを上流として使えるかは、2026年10月15日時点の公式ドキュメントで確認できず、断定しません
プロキシ認証 BasicはURLに埋め込む。NTLMとKerberosはLLMゲートウェイの検討を案内 2026年10月15日時点の公式ドキュメントに記載を確認できず、断定しません
社内CA証明書 NODE_EXTRA_CA_CERTSにPEMファイルのパスを指定する CODEX_CA_CERTIFICATEに指定し、SSL_CERT_FILEより優先される
OSの証明書ストア 既定で同梱CAとOSストアの両方を信頼。npm経由はNode.js 22.15以降が必要 2026年10月15日時点の公式ドキュメントに記載を確認できず、断定しません
相互TLS(クライアント証明書) CLAUDE_CODE_CLIENT_CERTなどの環境変数で指定する 2026年10月15日時点の公式ドキュメントに記載を確認できず、断定しません
つながらないときの切り分け claude –debug のログと /status コマンド 2026年10月15日時点の公式ドキュメントに記載を確認できず、断定しません

HTTPプロキシとLLMゲートウェイは別物。課金も変わる

ゲートウェイが引き受けるのは経路ではなく統制

HTTPプロキシは通信の経路です。
LLMゲートウェイは、資格情報の管理、利用量の記録、費用の統制、監査ログ、プロバイダの切り替えを1カ所に集める層だと公式が定義しています(出典: code.claude.com/docs/en/llm-gateway)。

向け先だけ変えるとサブスク課金のまま

同じページに、情シスが読むべき一文があります。
ANTHROPIC_BASE_URLだけを設定してゲートウェイの資格情報を設定しない場合、claude.aiのログインが有効な資格情報のままで、サブスクの上限と課金が適用されます。
逆にANTHROPIC_AUTH_TOKENなどゲートウェイの資格情報を入れると、サブスクは使われずトークンの従量課金に変わります。
見積が外れるのは、ほぼこの境目です。

向け先を固定するなら、管理設定ファイルのC:\Program Files\ClaudeCode\managed-settings.jsonでallowedProvidersを["customEndpoint"]にし、同じファイルのenvにゲートウェイのANTHROPIC_BASE_URLを入れます(出典: llm-gateway)。
この書き方はClaude Code v2.1.285以降で使えます。

Codex側の向け先の書き方

CodexはWindowsでは%USERPROFILE%配下の.codex\config.tomlに[model_providers.<任意のid>]を作り、base_url、wire_api、env_key(APIキーを入れる環境変数の名前)の3つを書きます。
wire_apiに書く値はresponsesです。
そのうえで、どの[ ]の行よりも前(ファイルの冒頭)にmodel_provider = "<付けたid>"を1行で書きます。
指定しないと既定のopenaiのままで、書いたテーブルは使われません。
設定の強制、監査の記録、退職者の停止まで必要ならBusinessかEnterpriseを選びます。

会社PCから社内プロキシ、LLMゲートウェイ、提供元APIへの経路と、課金がどこに乗るかを示した図
会社PCから社内プロキシ、LLMゲートウェイ、提供元APIへの経路と、課金がどこに乗るかを示した図
観点 HTTPプロキシ LLMゲートウェイ
役割 通信の経路を中継する 資格情報、利用量、費用、監査ログ、プロバイダの切り替えを1カ所に集める
設定する場所 HTTPS_PROXYなどの環境変数 ANTHROPIC_BASE_URLで向け先を変え、ゲートウェイ側の資格情報を渡す
認証の扱い プロキシ自身の認証(Basicなど)を通すだけ ゲートウェイが発行する資格情報で利用者を識別する
課金の乗り方 変わらない。サブスクのまま 資格情報を入れた時点でサブスクを使わず、トークン従量課金になる
監査ログ プロキシのアクセスログの範囲にとどまる 誰がどれだけ使ったかを製品をまたいで記録できる
NTLM認証やKerberos認証の環境 公式はNTLM・Kerberosの対応を明記せず、認証方式に対応したLLMゲートウェイの検討を案内している 認証を引き受ける層として、公式が検討を勧めている
導入の重さ 既存のプロキシ設定の延長で済む サーバの構築と運用、費用の配賦ルールが必要になる

管理者権限とPowerShellの実行ポリシー

Claude Codeで実行ポリシーに引っかかるのはnpm経由

公式のトラブルシュートに、PowerShellインストーラ(irm https://claude.ai/install.ps1 | iex)はダウンロードした文字列を直接実行するため、実行ポリシーの影響を受けないと書かれています。
止まるのはnpmが作るnpm.ps1やclaude.ps1のランチャーです。
対処は3つあります(出典: code.claude.com/docs/en/troubleshoot-install)。

  • 今ログインしている利用者だけに効く範囲(CurrentUser)でRemoteSignedにする
  • npm.ps1やclaude.ps1の代わりにnpm.cmdやclaude.cmdを呼ぶ
  • PowerShellインストーラを使う

Codexの公式コマンドはByPassを明示している

一方、Codexの公式Windowsコマンドは、powershellに-ExecutionPolicy ByPassを明示してinstall.ps1を流す形です。
インストール後は新しいPowerShellウィンドウから起動する、という注意まで公式に書かれています(出典: learn.chatgpt.com/docs/codex/cli)。
同じ「インストーラを流す」作業に見えて、実行ポリシーとの関わりが製品で違います。

Claude Codeをnpmで入れる場合はNode.js 22以降が前提ですが、古い版でも警告が出るだけでインストールは完了すると公式に書かれています。
WinGetはwinget install Anthropic.ClaudeCodeで入りますが、公式に「WinGetで入れた場合は自動更新しない」と明記があります。
更新の運用をどこで持つかを決めてから、経路を選んでください。

管理者権限が本当に必要になる場面

管理者権限が要るのはCLI本体ではなく、その周りです。
Coworkは、パソコン上のファイルを扱う作業をClaude Desktopに任せる機能です。
Coworkまで使う構成で入れるには管理者権限と、Windowsの機能Virtual Machine Platformの有効化が要ります。
インストール中に管理者権限の確認画面(UAC)が出ます。
管理者権限がなくてもインストールはできますが、Coworkは使えません。
Codexのelevated(事前セットアップに管理者承認が要る実装)は、公式が示す形がcodex sandbox setup --elevated --user '<ドメイン\利用者名>' --codex-home '<その利用者の.codexのパス>'で、対象の利用者を指定して管理者権限で流します。
サンドボックス内のコマンド自体は、管理者権限なしで動きます。
mxcを選ぶなら、この事前準備は要りません。
なお、Claude DesktopをIntuneのLOBアプリ(社内で用意したアプリとして登録する方式)で配布すると、利用者本人の権限で動くため、管理者権限のない標準ユーザーではインストールがエラー0x80073D28で失敗します(出典: Claude Desktop配布記事)。

手を抜いていいところ

実行ポリシーを全社で緩める必要はありません。PowerShellインストーラを使えば触らずに済み、npm経由を使う場合もCurrentUserスコープの変更で足ります。

サンドボックスとWSLは、Claude CodeとCodexで非対称

ネイティブWindowsのClaude Codeは非サンドボックス

公式に「サンドボックスはmacOS、Linux、WSL2で動く」「ネイティブWindowsではコマンドをサンドボックスなしで実行する」と明記されています(出典: code.claude.com/docs/en/sandboxing)。
セキュリティ部門への説明は、ここから始めるのが一番早く済みます。
隔離の仕組みが使えない前提なら、権限を絞り、確認の手順を残して運用します。

Codexの3つのサンドボックスとOSビルドの条件

CodexのWindowsサンドボックスは3実装です(出典: learn.chatgpt.com/docs/windows/windows-sandbox)。
推奨のmxcは管理者承認のセットアップが不要、elevatedは必要、unelevatedは管理者承認の事前セットアップが要らない代わりにネットワークの分離が弱いと書かれています。

mxcの条件は、Windows 11 24H2(build 26100.9278)または25H2(build 26200.9278)以降です。
会社PCの更新計画に直結するので、配布前に、対象端末のビルド番号を1台ずつ確認してください。
Windows 10でもCodexは動きますが、公式はWindows 11より信頼性が落ちるとしています。

WSLの扱いと、管理端末での既定値

WSL1はCodex 0.114までの対応で、0.115からLinuxのサンドボックスがbubblewrapという別の隔離の仕組みに移ったため、WSL1は非対応になりました(出典: learn.chatgpt.com/docs/windows/wsl)。
Claude Desktopは、C:\Program Files\ClaudeCode\managed-settings.jsonがあるなどで会社が管理している端末だと判定した場合、WSLセッションを既定で無効にします。
戻すには、Windowsの設定を保管するレジストリのHKLM\SOFTWARE\Policies\ClaudeにdisableWslSessionsを作り、REG_SZ(文字列)ならfalse、REG_DWORD(数値)なら0にします(Desktop v1.19367.0以降)。
ここで使うのはHKLM\SOFTWARE\Policies\Claudeで、次節の管理設定のHKLM\SOFTWARE\Policies\ClaudeCodeとは別のキーです。
HKLMは端末全体に効く置き場所です。
disableWslSessionsを、利用者ごとの設定にあたるHKCUに置いても有効になりません。

Windowsのインストール経路は、2026年10月に入ってからも変わり続けています。
10月8日と9日のCodex 0.162.0/0.162.1で、署名済みPowerShellインストーラの同梱、旧Windowsサンドボックスをアンインストールするコマンドの追加、Windows 10のドライブレター処理の修正が入りました(出典: GitHub Releases)。

台数が増えたら、設定を配って統制する

Claude Codeの管理設定は4系統で優先度がある

Claude Codeの管理設定の配り方は4系統です(出典: code.claude.com/docs/en/admin-setup)。
優先度の高い順に、管理コンソール、HKLM\SOFTWARE\Policies\ClaudeCode、ファイル(WindowsはC:\Program Files\ClaudeCode\managed-settings.json)、HKCU\SOFTWARE\Policies\ClaudeCodeです。
管理コンソールはclaude.aiの管理コンソールで、ここから配るにはTeamかEnterpriseのプランが必要です。
前出のConsoleアカウント=開発者向け画面とは別です。
同じ項目を重ねて配ったときは、先に挙げた系統の値が後の系統の値を上書きします。
公式は、HKCUは強制の手段ではなく利便のための既定値として扱えと明記しています。
HKCUに置いた値は利用者が管理者権限なしで書き換えられるため、ポリシーを強制した証拠になりません。
同じ端末のWSLセッションにもWindows側の管理設定を適用するには、C:\Program Files\ClaudeCode\managed-settings.jsonに"wslInheritsWindowsSettings": trueと書きます。
管理コンソールの場所と、レジストリに置く場合の値の形は、公式のadmin-setupで確認してください。
既定では、WSL側は/etc/claude-codeの設定だけを読みます。

Codexは2つのファイルで役割が分かれる

Codexのrequirements.tomlは、利用者が上書きできない要件を決めるファイルです。
ログイン方法allowed_login_methods、使えるワークスペースallowed_chatgpt_workspaces、コマンド実行に承認を求めるかの候補allowed_approval_policies、サンドボックスのモードの候補allowed_sandbox_modesを書きます。
モードに書ける値は、公式のmanaged-configurationで確認してください。
managed_config.tomlのほうは、起動時の既定値を配るファイルです。
利用者は実行中に変更でき、次の起動で既定に戻ります。
approval_policyとsandbox_modeは古い項目で、公式は要件として読み替えると書いています。
Windowsのサンドボックスの制限(allow_mxcとallowed_sandbox_implementations)はrequirements.toml側で、公式が「config.tomlではない」と明記しています(出典: windows-sandbox)。
mxc/elevated/unelevatedはモードではなく実装です。
mxcの許否は[windows]テーブルのallow_mxcで決め、falseで止まります。
allowed_sandbox_implementationsに並べるのは古い方式のelevatedとunelevatedだけで、空は不可です。
requirements.tomlはWindowsが%ProgramData%\OpenAI\Codex\requirements.toml、LinuxとmacOSが/etc/codex/requirements.tomlです(出典: managed-configuration)。
Windowsのmanaged_config.tomlはユーザーのホーム配下(%USERPROFILE%\.codex\)なので、強制したい設定は、利用者が上書きできない要件を書くrequirements.tomlに置いてください。

Claude Desktopの法人配布はMSIX(x64とarm64)で、Intune、SCCM、GPO、DISM、PowerShellに対応しています。
各配布基盤での登録手順は、公式のClaude Desktop配布記事で確認してください。
Claude Desktopは既定で約4時間ごとに自動更新します。
公式はdisableAutoUpdatesポリシーを1にすると書いています。
書く場所は同記事がリンクする法人向け設定ページで確認してください(出典: Claude Desktop配布記事)。
個人向けのダウンロードはsetup形式で、MSIXは法人配布用です。
設定の配布と統制を含めた進め方はClaude Code・Codex 法人セットアップのページにまとめています。

止まった原因をその場で手順書に足す

私たちの進め方では、キックオフから設定を終えるまで2〜4週間が目安です。
会社の指示書(CLAUDE.md)、作業フォルダの構成、繰り返し使う前提情報の保存先、よく使う作業の手順を先に作ります。
毎回の指示で同じ説明を繰り返さないための土台です。

引き渡す前に、完了判定を通します。
あらかじめ決めた指示の文で作業が始まること、つないだツールで実際に1操作成功すること、主目的の業務を1つ完走すること、担当者が自分の手で1回再現できることを確かめます。
動作確認が足りないまま「できたつもり」で終わるのが、定着しない案件の典型です。
既存システムとの競合や認証の切れといった想定外のつまずきは、握りつぶさずに原因と対処をその場で手順書に足します。

点検、配布、完了判定、最初の1業務、2つ目の業務へ広げる、という導入の流れの図
点検、配布、完了判定、最初の1業務、2つ目の業務へ広げる、という導入の流れの図

完成した事前点検表の実例

【Claude Code / Codex 会社PC導入 事前点検表】   記入日: 20__/__/__

── 1. ネットワーク ─────────────────────────────
[ ] プロキシの種類            HTTP / SOCKS
    → SOCKS: Claude Codeは非対応。LLMゲートウェイの設置を検討
[ ] プロキシ認証              なし / Basic / NTLM / Kerberos
    → NTLM, Kerberos: 公式がLLMゲートウェイの検討を案内
[ ] 環境変数の設定            HTTPS_PROXY / HTTP_PROXY / NO_PROXY
    → 小文字の https_proxy が残っていれば、そちらが優先される
                              (NO_PROXYは空白区切りとカンマ区切りの両方可)
[ ] 許可ドメインの申請        api.anthropic.com / claude.ai / claude.com /
                              platform.claude.com / downloads.claude.ai /
                              registry.npmjs.org / mcp-proxy.anthropic.com ほか
                              (全件は公式の許可ドメイン表で確認する)
    確認者: ____________   日付: ________

── 2. 社内証明書 ───────────────────────────────
[ ] 通信検査で証明書を差し替えているか        はい / いいえ
[ ] 社内CAのPEMファイルの受領                 済 / 未
[ ] Claude Code: NODE_EXTRA_CA_CERTS に指定
[ ] Claude Code: OSストアを使う場合、npm経由ならNode.js 22.15以降か
[ ] Codex: CODEX_CA_CERTIFICATE に指定(SSL_CERT_FILEより優先)
[ ] 相互TLSが必要か → CLAUDE_CODE_CLIENT_CERT 系で指定
    確認者: ____________   日付: ________

── 3. 権限と実行ポリシー ───────────────────────
[ ] 利用者の端末は標準ユーザーか              はい / いいえ
    → CLI本体は「管理者として実行する必要はない」と公式に明記
[ ] PowerShellの実行ポリシー                  Restricted / RemoteSigned / 他
    → 止まるのはnpmが作る .ps1 ランチャー。対処は
      CurrentUserでRemoteSigned / npm.cmd や claude.cmd を呼ぶ / PowerShellインストーラ
[ ] 管理者権限が必要な作業の洗い出し
      Coworkまで使う構成でのClaude Desktopの導入
        (管理者権限とWindowsの機能Virtual Machine Platformの有効化。インストール中にUAC)
      Codexのelevatedサンドボックスの事前セットアップ(codex sandbox setup --elevated
        --user '<ドメイン\利用者名>' --codex-home '<その利用者の.codexのパス>')
    確認者: ____________   日付: ________

── 4. 認証とプラン ─────────────────────────────
[ ] 契約プラン   Claude: Pro / Max / Team / Enterprise のいずれか、
                 またはConsoleアカウント(開発者向け画面で作る、API従量課金用)
                 (無料プランはClaude Code対象外)
                 Codex : Plus 以上
[ ] APIキー方式を使わない運用にしたか         はい / いいえ
[ ] 端末と利用者ごとの環境変数設定に ANTHROPIC_API_KEY が残っていないか
    → 残っていればPowerShellやCMD、環境変数設定から削除(公式表記は unset)
      残すとAPIキー側が使われ従量課金になる
[ ] ブラウザを開けない端末の認証手段
      デバイスコード(beta)/ auth.json のコピー /
      ポート1455のSSHポートフォワード
    確認者: ____________   日付: ________

── 5. サンドボックスとOSビルド ─────────────────
[ ] Claude Codeのサンドボックスが必要か
    → ネイティブWindowsは非サンドボックス。必要ならWSL2
[ ] WSLの利用可否(社内規程)                 可 / 不可
    → WSL1はCodex 0.114まで対応。0.115以降は非対応
[ ] Codexのサンドボックス実装                 mxc / elevated / unelevated
[ ] 端末のOSビルド(mxcを使う場合)
      Windows 11 24H2 = build 26100.9278 以降
      Windows 11 25H2 = build 26200.9278 以降
      対象台数 ____台 / 条件を満たす台数 ____台
    確認者: ____________   日付: ________

── 6. 配布と管理設定 ───────────────────────────
[ ] 導入経路   PowerShellインストーラ / npm / WinGet(自動更新しない)/
               デスクトップアプリ(Node.jsとCLIが不要)
[ ] 管理設定の配布先(「→」の左が右を上書きする)
      管理コンソール(claude.aiの管理コンソール。ここから配るにはTeamかEnterpriseのプランが必要。
      前出のConsoleアカウント=開発者向け画面とは別)
      → HKLM\SOFTWARE\Policies\ClaudeCode →
      C:\Program Files\ClaudeCode\managed-settings.json →
      HKCU\SOFTWARE\Policies\ClaudeCode(管理者権限なしで書けるので強制には使わない)
[ ] WSLにもWindows側の管理設定を適用するか
      → managed-settings.json に "wslInheritsWindowsSettings": true
      (レジストリに置く場合の値の形は公式のadmin-setupで確認)
[ ] Codexの管理設定
      managed_config.toml(起動時の既定値。実行中は利用者が変更可)
        → approval_policy と sandbox_mode は要件として読み替えられる
      requirements.toml(上書き不可の要件: allowed_login_methods,
        allowed_chatgpt_workspaces, allowed_approval_policies(承認方針の候補),
        allowed_sandbox_modes(モードの候補),
        [windows] の allow_mxc(mxcを許可するか), allowed_sandbox_implementations(古い方式 elevated/unelevated の候補。空は不可))
      managed_config.toml の置き場所  Windows = %USERPROFILE%\.codex\managed_config.toml
      requirements.toml の置き場所
        Windows = %ProgramData%\OpenAI\Codex\requirements.toml
        Linux / macOS = /etc/codex/requirements.toml
[ ] Claude Desktopの配布   MSIX(Intune / SCCM / GPO / DISM / PowerShell)
                           自動更新は既定で約4時間ごと
                           止めるなら disableAutoUpdates = 1
                           (書く場所は公式の法人向け設定ページで確認)
    確認者: ____________   日付: ________

よくあるご質問

会社PCでWSLは必要ですか

必須ではありません。
Claude CodeはネイティブWindowsで動き、Codexも2026年からPowerShellとWindowsのサンドボックスで動きます。
ただしClaude Codeのサンドボックスを使いたい場合は、WSL2が前提になります。

管理者権限がない社員でも入れられますか

CLI本体は、管理者として実行する必要はないと公式に書かれています。
デスクトップアプリも管理者権限なしで入ります(アプリ内のCoworkは使えません)。
情シスの先行対応が要るのは、Codexのelevatedサンドボックスを選ぶ場合と、台数が多い場合です。
推奨のmxcを選ぶなら、管理者承認のセットアップは不要です。

プロキシを設定してもつながりません

許可ドメイン、claude --debugのログ、/statusの3つを順に見てください。
社内CAの指定先はClaude CodeとCodexで違うので、そこも併せて確かめます。
通信を検査するプロキシ配下では、送信データの圧縮(gzip)の扱いと証明書ストアの指定も疑います。

個人の有料プランで始めて、あとから全社に広げられますか

広げられます。
設定の強制と監査の記録が必要になった段階で、ClaudeはTeamかEnterprise、CodexはBusinessかEnterpriseに移ります。

つながるか、課金、権限の順に決める

会社PCのセットアップで迷うのは、手順ではなく判断です。
つながるか(プロキシと証明書)、課金がどこに乗るか(サブスクかゲートウェイか)、どこまで触れるか(権限とサンドボックス)の順に決めると、作業は詰まりません。

仕様と設定値は2026年10月15日に公式ドキュメントで確認しました。
配布の直前に、公式ページでもう一度確かめてください。
確認できなかった項目は、表の中でそのまま「断定しません」と書いています。

点検表を埋めてみて、台数の多さや設定の配布で手が止まったときは、法人セットアップのページから相談してください。
設定を配るところから、最初の1業務が自走するまでを一緒に設計します。

法人でのClaude Code / Codex 導入

Claude Code / Codex
法人セットアップの相談

自社の業務に合わせて、どこから導入するかを一緒に決めます。
設定から社内で使い続けられるまでを、Re-railが支援します。

大城 芳樹

大城 芳樹(株式会社Re-rail 代表取締役)
Anthropic公式パートナープログラム「Claude Partner Network」の登録パートナーとして、企業のAI導入を促進。AIを「ただ入れて終わり」にしないための初期設計と定着・運用伴走支援をしています。AIで社会課題を解決すべく、日本の伝統や地域を元気にするプロジェクトの促進、クライアント様との導入事例、すぐに役立つ Claude Code / Codex 活用術を、制作実績(Works)と共に発信しています。