---
title: エンタープライズ向けSkills
url: https://platform.claude.com/docs/ja/agents-and-tools/agent-skills/enterprise
description: エンタープライズ規模でAgent Skillsをデプロイするためのガバナンス、セキュリティレビュー、評価、および組織向けガイダンス。
---

このガイドは、組織全体でAgent Skillsを管理する必要があるエンタープライズの管理者およびアーキテクトを対象としています。Skillsを大規模に審査、評価、デプロイ、管理する方法について説明します。作成に関するガイダンスについては、[Skill作成のベストプラクティス](https://platform.claude.com/docs/ja/agents-and-tools/agent-skills/best-practices)を参照してください。アーキテクチャの詳細については、[Agent Skills](https://platform.claude.com/docs/ja/agents-and-tools/agent-skills/overview)を参照してください。

## セキュリティレビューと審査

エンタープライズでSkillsをデプロイするには、2つの異なる問いに答える必要があります。

1. **Skillsは一般的に安全か？** プラットフォームレベルのセキュリティの詳細については、概要の[セキュリティに関する考慮事項](https://platform.claude.com/docs/ja/agents-and-tools/agent-skills/overview#security-considerations)セクションを参照してください。
2. **特定のSkillをどのように審査するか？** 以下のリスク評価とレビューチェックリストを使用してください。

### リスク階層の評価

デプロイを承認する前に、各Skillを以下のリスク指標に照らして評価してください。

| リスク指標           | 確認すべき点                                                    | 懸念レベル                             |
| --------------- | --------------------------------------------------------- | --------------------------------- |
| コード実行           | Skillディレクトリ内のスクリプト（`*.py`、`*.sh`、`*.js`）                  | 高：スクリプトは環境への完全なアクセス権で実行される        |
| 指示の操作           | 安全ルールを無視する、ユーザーからアクションを隠す、または条件に応じてClaudeの動作を変更するよう指示する記述 | 高：セキュリティ制御を回避できる                  |
| MCPサーバーの参照      | MCPツールを参照する指示（`ServerName:tool_name`）                     | 高：Skill自体を超えてアクセスを拡張する            |
| ネットワークアクセスのパターン | URL、APIエンドポイント、`fetch`、`curl`、または`requests`の呼び出し          | 高：データ流出の経路となる可能性がある               |
| ハードコードされた認証情報   | Skillファイルまたはスクリプト内のAPIキー、トークン、またはパスワード                    | 高：シークレットがGit履歴およびコンテキストウィンドウに露出する |
| ファイルシステムのアクセス範囲 | Skillディレクトリ外のパス、広範なglobパターン、パストラバーサル（`../`）               | 中：意図しないデータにアクセスする可能性がある           |
| ツール呼び出し         | bash、ファイル操作、またはその他のツールの使用をClaudeに指示する内容                   | 中：どのような操作が実行されるかを確認する             |

### レビューチェックリスト

サードパーティまたは社内のコントリビューターによるSkillをデプロイする前に、以下の手順を完了してください。

1. **Skillディレクトリのすべての内容を読む。** `SKILL.md`、参照されているすべてのmarkdownファイル、および同梱されているスクリプトやリソースを確認します。
2. **スクリプトの動作が記載された目的と一致することを確認する。** サンドボックス環境でスクリプトを実行し、出力がSkillの説明と一致することを確認します。
3. **敵対的な指示がないか確認する。** Claudeに安全ルールを無視させる、ユーザーからアクションを隠させる、応答を通じてデータを流出させる、または特定の入力に基づいて動作を変更させる指示を探します。
4. **外部URLの取得やネットワーク呼び出しがないか確認する。** スクリプトと指示の中でネットワークアクセスのパターン（`http`、`requests.get`、`urllib`、`curl`、`fetch`）を検索します。
5. **ハードコードされた認証情報がないことを確認する。** Skillファイル内のAPIキー、トークン、またはパスワードを確認します。認証情報は環境変数または安全な認証情報ストアを使用すべきであり、Skillの内容に含めてはなりません。
6. **SkillがClaudeに実行を指示するツールとコマンドを特定する。** すべてのbashコマンド、ファイル操作、およびツール参照を一覧化します。Skillがファイル読み取りツールとネットワークツールの両方を併用する場合は、その組み合わせによるリスクを考慮してください。
7. **リダイレクト先を確認する。** Skillが外部URLを参照している場合、それらが想定されるドメインを指していることを確認します。
8. **データ流出のパターンがないことを確認する。** 機密データを読み取った後、それを外部送信のために書き込み、送信、またはエンコードする指示（Claudeの会話応答を通じたものを含む）を探します。

<Warning>
  信頼できないソースからのSkillsを、完全な監査なしにデプロイしないでください。悪意のあるSkillは、Claudeに任意のコードを実行させたり、機密ファイルにアクセスさせたり、データを外部に送信させたりする可能性があります。Skillのインストールは、本番システムへのソフトウェアのインストールと同じ厳格さで扱ってください。
</Warning>

### Skillコンテンツのスキャン

Claude Enterpriseの組織では、claude.aiおよびClaude Coworkのカスタムスキルに対する自動セキュリティスキャンを有効にできます。[claude.ai > Organization settings > Skills](https://claude.ai/admin-settings/skills)で**Skill and plugin security scanning**を有効にすると、その後メンバーがclaude.aiまたはCoworkでアップロードまたは編集したSkillsは、隠れたコード実行、外部サービスへのデータ送信、Claudeのセーフガードを改ざんする指示など、悪意のある動作の兆候がないかスキャンされます。スキャンに失敗したSkill、またはスキャンが完了していないSkillは使用がブロックされます。管理者は、スキャンに失敗した一部のSkillsを許可できます。警告付きで合格したSkillは、注意通知付きで引き続き使用できます。組織でスキャンが利用可能な場合は、有効にしてください。スキャンは[レビューチェックリスト](https://platform.claude.com/docs/ja/agents-and-tools/agent-skills/enterprise#review-checklist)を補完するものですが、それに代わるものではありません。

スキャンはClaude APIを対象としていません。Claude Consoleからのものを含め、Skills API（`/v1/skills`）を通じてアップロードしたSkillsはスキャンされないため、APIでのデプロイについてはレビューチェックリストと[バージョン固定](https://platform.claude.com/docs/ja/agents-and-tools/agent-skills/enterprise#versioning-strategy)に依拠してください。また、スキャンを有効にした時点ですでに組織内に存在していたSkillsや、顧客管理の暗号化キー（CMEK）、ゼロデータ保持（ZDR）、HIPAA対応など、特定のデータ処理構成を持つ組織にもスキャンは適用されません。セットアップ手順、除外事項、結果の種類については、Claudeヘルプセンターの[Get started with skill and plugin scanning](https://support.claude.com/en/articles/15927065-get-started-with-skill-and-plugin-scanning)を参照してください。

## デプロイ前のSkillsの評価

Skillsは、誤ってトリガーされたり、他のSkillsと競合したり、質の低い指示を提供したりすると、エージェントのパフォーマンスを低下させる可能性があります。本番デプロイの前には必ず評価を義務付けてください。

### 評価すべき項目

Skillをデプロイする前に、以下の観点について承認ゲートを設けてください。

| 観点     | 測定内容                                    | 失敗例                                                      |
| ------ | --------------------------------------- | -------------------------------------------------------- |
| トリガー精度 | Skillは適切なクエリに対して起動し、無関係なクエリに対しては起動しないか？ | ユーザーが単にデータについて議論したいだけの場合でも、スプレッドシートに言及するたびにSkillがトリガーされる |
| 単独での動作 | Skillは単独で正しく動作するか？                      | Skillが自身のディレクトリに存在しないファイルを参照している                         |
| 共存性    | このSkillを追加すると他のSkillsの性能が低下するか？         | 新しいSkillの説明が広すぎて、既存のSkillsからトリガーを奪ってしまう                  |
| 指示への追従 | ClaudeはSkillの指示に正確に従うか？                 | Claudeが検証ステップをスキップしたり、誤ったライブラリを使用したりする                   |
| 出力品質   | Skillは正確で有用な結果を生成するか？                   | 生成されたレポートに書式エラーやデータの欠落がある                                |

### 評価の要件

Skillの作成者には、各Skillについて3～5個の代表的なクエリを含む評価スイートの提出を求めてください。評価スイートには、Skillがトリガーされるべきケース、トリガーされるべきでないケース、および曖昧なエッジケースを含める必要があります。Skillの有効性はモデルによって異なるため、組織で使用しているモデル（Haiku、Sonnet、Opus）全体でのテストを必須としてください。

評価の構築に関する詳細なガイダンスについては、Skill作成のベストプラクティスの[評価と反復](https://platform.claude.com/docs/ja/agents-and-tools/agent-skills/best-practices#evaluation-and-iteration)を参照してください。一般的な評価方法については、[成功基準を定義して評価を構築する](https://platform.claude.com/docs/ja/test-and-evaluate/develop-tests)を参照してください。

### ライフサイクルの判断に評価を活用する

評価結果は、いつ行動すべきかを示すシグナルとなります。

* **トリガー精度の低下：** Skillの説明または指示を更新する
* **共存性の競合：** 重複するSkillsを統合するか、説明を絞り込む
* **出力品質が一貫して低い：** 指示を書き直すか、検証ステップを追加する
* **更新を重ねても失敗が続く：** Skillを非推奨にする

## Skillのライフサイクル管理

<Steps>
  <Step title="計画">
    反復的な、エラーが発生しやすい、または専門知識を必要とするワークフローを特定します。これらを組織内の役割に対応付け、どれがSkillsの候補となるかを判断します。
  </Step>

  <Step title="作成とレビュー">
    Skillの作成者が[ベストプラクティス](https://platform.claude.com/docs/ja/agents-and-tools/agent-skills/best-practices)に従っていることを確認します。[レビューチェックリスト](https://platform.claude.com/docs/ja/agents-and-tools/agent-skills/enterprise#review-checklist)を使用したセキュリティレビューを義務付けます。承認前に評価スイートを義務付けます。職務の分離を確立してください。Skillの作成者が自身のレビュアーになるべきではありません。
  </Step>

  <Step title="テスト">
    単独（Skillのみ）での評価と、既存のSkillsと併用した評価（共存性テスト）を義務付けます。本番向けに承認する前に、トリガー精度、出力品質、およびアクティブなSkillセット全体でリグレッションがないことを確認します。
  </Step>

  <Step title="デプロイ">
    ワークスペース全体でアクセスできるよう、Skills APIを通じてアップロードします。アップロードとバージョン管理については、[APIでAgent Skillsを使用する](https://platform.claude.com/docs/ja/build-with-claude/skills-guide)を参照してください。目的、所有者、バージョンとともに、社内レジストリにSkillを記録します。
  </Step>

  <Step title="監視">
    使用パターンを追跡し、ユーザーからフィードバックを収集します。ワークフローやモデルの進化に伴うドリフトやリグレッションを検出するため、定期的に評価を再実行します。使用状況の分析は現在Skills APIでは利用できません。どのSkillsがリクエストに含まれているかを追跡するため、アプリケーションレベルのロギングを実装してください。
  </Step>

  <Step title="反復または非推奨化">
    新しいバージョンを昇格させる前に、評価スイート全体に合格することを義務付けます。ワークフローが変更された場合や評価スコアが低下した場合は、Skillsを更新します。評価が一貫して失敗する場合やワークフローが廃止された場合は、Skillsを非推奨にします。
  </Step>
</Steps>

## 大規模なSkillsの整理

### 再現率の限界

一般的なガイドラインとして、信頼性の高い「recall accuracy」（想起精度）を維持するため、同時に読み込むSkillsの数を制限してください。各Skillのメタデータ（名前と説明）は、システムプロンプト内で注意を奪い合います。有効なSkillsが多すぎると、Claudeが適切なSkillを選択できなかったり、関連するSkillを完全に見落としたりする可能性があります。Skillsを追加する際は評価スイートを使用して想起精度を測定し、パフォーマンスが低下した時点で追加を停止してください。

APIリクエストでは、1リクエストあたり最大20個のSkillsがサポートされることに注意してください（[APIでAgent Skillsを使用する](https://platform.claude.com/docs/ja/build-with-claude/skills-guide)を参照）。ある役割で1回のリクエストでサポートされる数を超えるSkillsが必要な場合は、範囲の狭いSkillsをより広範なSkillに統合するか、タスクの種類に応じてリクエストを異なるSkillセットにルーティングすることを検討してください。

### 具体的なものから始め、後で統合する

広範で多目的なSkillsではなく、範囲の狭いワークフロー固有のSkillsから始めるようチームに奨励してください。組織全体でパターンが見えてきたら、関連するSkillsを役割ベースのバンドルに統合します。

<Tip>
  統合のタイミングを判断するには評価を使用してください。統合後のSkillの評価が、置き換え対象の個々のSkillsと同等のパフォーマンスを確認できた場合にのみ、範囲の狭いSkillsをより広範なものにマージしてください。
</Tip>

**進行の例：**

* 開始時：`formatting-sales-reports`、`querying-pipeline-data`、`updating-crm-records`
* 統合後：`sales-operations`（評価で同等のパフォーマンスが確認された場合）

### 命名とカタログ化

組織全体で一貫した命名規則を使用してください。ベストプラクティスの[命名規則](https://platform.claude.com/docs/ja/agents-and-tools/agent-skills/best-practices#naming-conventions)セクションに書式のガイダンスがあります。

各Skillについて、以下を含む社内レジストリを維持してください。

* **目的：** Skillがサポートするワークフロー
* **オーナー：** 保守を担当するチームまたは個人
* **バージョン：** 現在デプロイされているバージョン
* **依存関係：** 必要なMCPサーバー、パッケージ、または外部サービス
* **評価ステータス：** 最終評価日と結果

### 役割ベースのバンドル

各ユーザーのアクティブなSkillセットを絞り込むため、組織内の役割ごとにSkillsをグループ化してください。

* **営業チーム：** CRM操作、パイプラインレポート、提案書の作成
* **エンジニアリング：** コードレビュー、デプロイワークフロー、インシデント対応
* **財務：** レポート作成、データ検証、監査準備

各役割ベースのバンドルには、その役割の日常的なワークフローに関連するSkillsのみを含めるべきです。

## 配布とバージョン管理

### ソース管理

履歴の追跡、プルリクエストによるコードレビュー、およびロールバックを可能にするため、SkillディレクトリをGitに保存してください。各Skillディレクトリ（`SKILL.md`と同梱ファイルを含む）は、Gitで追跡されるフォルダに自然に対応します。

### APIベースの配布

Skills APIは、ワークスペース単位の配布を提供します。APIを通じてアップロードされたSkillsは、ワークスペースのすべてのメンバーが利用できます。アップロード、バージョン管理、および管理用エンドポイントについては、[APIでAgent Skillsを使用する](https://platform.claude.com/docs/ja/build-with-claude/skills-guide)を参照してください。

### バージョン管理戦略

* **本番環境：** Skillsを特定のバージョンに固定してください。`version`を省略すると、リクエストは最新バージョンを使用するため、ワークスペース内の誰かが新しいバージョンをアップロードすると、本番エージェントが実行する内容が即座に変わります。新しいバージョンを昇格させる前に、評価スイート全体を実行してください。すべての更新を、完全なセキュリティレビューを必要とする新規デプロイとして扱ってください。
* **開発とテスト：** 本番への昇格前に変更を検証するため、最新バージョンを使用します。
* **ロールバック計画：** 以前のバージョンをフォールバックとして維持してください。新しいバージョンが本番環境で評価に失敗した場合は、直ちに最後の正常なバージョンに戻してください。
* **完全性の検証：** レビュー済みのSkillsのチェックサムを計算し、デプロイ時に検証してください。出所を保証するため、Skillリポジトリでは署名付きコミットを使用してください。

### サーフェス間の考慮事項

<Warning>
  カスタムSkillsはサーフェス間で同期されません。APIにアップロードされたSkillsはclaude.aiやClaude Codeでは利用できず、その逆も同様です。各サーフェスで個別のアップロードと管理が必要です。
</Warning>

Skillのソースファイルは、信頼できる唯一の情報源としてGitで管理してください。組織が複数のサーフェスにわたってSkillsをデプロイする場合は、一貫性を保つために独自の同期プロセスを実装してください。詳細については、[サーフェス間の利用可能性](https://platform.claude.com/docs/ja/agents-and-tools/agent-skills/overview#cross-surface-availability)を参照してください。

## 次のステップ

<CardGroup cols={2}>
  <Card title="Agent Skills" icon="book-open" href="https://platform.claude.com/docs/ja/agents-and-tools/agent-skills/overview">
    アーキテクチャとプラットフォームの詳細
  </Card>

  <Card title="Skill作成のベストプラクティス" icon="lightbulb" href="https://platform.claude.com/docs/ja/agents-and-tools/agent-skills/best-practices">
    Skill作成者向けの作成ガイダンス
  </Card>

  <Card title="APIでAgent Skillsを使用する" icon="code" href="https://platform.claude.com/docs/ja/build-with-claude/skills-guide">
    プログラムによるSkillsのアップロードと管理
  </Card>
</CardGroup>