วิธีควบคุมดูแล Claude Code ภายในทีมของคุณ
Claude Code เป็นเครื่องมือแบบ Terminal ที่มีสิทธิ์เข้าถึงระบบไฟล์ได้อย่างเต็มรูปแบบ มันไม่ใช่เว็บแอปพลิเคชัน ดังนั้นควรปฏิบัติต่อไฟล์การตั้งค่า (settings files) ของมันเหมือนกับโค้ดที่สามารถรันได้ (executable code) ช่องโหว่สองรายการที่พบในปี 2026 แสดงให้เห็นว่าไฟล์ใน repository ที่เป็นอันตรายสามารถรันคำสั่งหรือขโมย API keys ได้
แก้ไขช่องโหว่ด้านความปลอดภัย 4 ประการนี้เพื่อปกป้องทีมของคุณ:
- รวมศูนย์การจัดการ API Key นักพัฒนามักใช้คีย์ส่วนตัวหรือเก็บไว้ในไฟล์ภายในเครื่อง ซึ่งทำให้ไม่มีประวัติการตรวจสอบ (audit trail)
- ออกคีย์ผ่าน Anthropic Admin Console
- กำหนดวันหมดอายุสำหรับคีย์ทั้งหมด
- ใช้ AWS Secrets Manager หรือ HashiCorp Vault
- ส่งทราฟฟิกผ่าน AI gateway เพื่อไม่ให้คีย์ค้างอยู่ในเครื่องของนักพัฒนา
- ควบคุมการใช้งานโมเดลและค่าใช้จ่าย คุณจำเป็นต้องทราบว่าทีมของคุณใช้โมเดลใดและมีค่าใช้จ่ายเท่าใด
- ตั้งค่าตัวแปร
ANTHROPIC_BASE_URLให้ชี้ไปยัง gateway ของคุณ - วิธีนี้จะช่วยให้คุณสามารถติดตามประวัติการเรียกใช้งาน (request traces) และกำหนดขีดจำกัดการใช้งาน (rate limits) ได้
- คุณสามารถกำหนดเพดานงบประมาณและอนุมัติเฉพาะโมเดลที่ต้องการได้
- บล็อกการเข้าถึงไฟล์ที่สำคัญ
Claude Code สามารถอ่านไฟล์
.env, โฟลเดอร์.sshและข้อมูลรับรอง (credentials) ของ AWS ได้ ซึ่ง repository ที่เป็นอันตรายอาจส่งข้อมูลเหล่านี้ไปยังผู้โจมตีได้
- ใช้เครื่องมือ MDM เช่น Jamf หรือ Ansible เพื่อส่งไฟล์
managed-settings.jsonไปยังเครื่องต่างๆ - เพิ่มกฎการปฏิเสธ (deny rules) สำหรับไฟล์อย่าง
.env,.sshและโฟลเดอร์เก็บความลับ (secrets folders) - บังคับให้เครื่องมือขออนุญาตก่อนที่จะเขียนไฟล์หรือ push โค้ด
- ตรวจสอบ MCP Servers MCP servers ทำงานด้วยสิทธิ์ (permissions) เดียวกับ Claude Code ดังนั้นเซิร์ฟเวอร์ที่ไม่ปลอดภัยอาจขโมยข้อมูลหรือรันคำสั่งได้
- ตรวจสอบ MCP server ทุกตัวก่อนที่ทีมของคุณจะใช้งาน
- จำกัดเซิร์ฟเวอร์ที่สามารถติดตั้งได้ผ่านการตั้งค่าแบบจัดการ (managed settings)
- รัน MCP server ใน sandbox หากเป็นไปได้
รายการตรวจสอบสรุป:
• ใช้ MDM เพื่อตั้งค่า ANTHROPIC_BASE_URL ในระดับ OS
• ใช้ managed-settings.json เพื่อล็อกการตั้งค่า
• ปฏิเสธการเข้าถึงไฟล์ความลับในระบบไฟล์
• ตรวจสอบ MCP server ทั้งหมด
• หมุนเวียน (rotate) API keys ทุกไตรมาส
หากคุณใช้การตั้งค่าที่จัดการโดยเซิร์ฟเวอร์ (server-managed settings) ใน Anthropic Console โปรดจำไว้ว่าการกำหนด ANTHROPIC_BASE_URL แบบกำหนดเองสามารถข้ามผ่านการตั้งค่าเหล่านั้นได้ ดังนั้นควรใช้ MDM เพื่อให้แน่ใจว่ากฎความปลอดภัยของคุณยังคงมีผลบังคับใช้
แหล่งที่มา: https://dev.to/gentic_news/how-to-govern-claude-code-across-your-team-4-gaps-to-fix-before-the-next-cve-4l4
ชุมชนการเรียนรู้เพิ่มเติม (ไม่บังคับ): https://t.me/GyaanSetuAi