---
title: 設定リファレンス
url: https://platform.claude.com/docs/ja/managed-agents/self-hosted/configuration-reference
description: セルフホスト型Claude Managed Agentsサーバーの設定の配置場所を確認し、各設定のキー、環境変数、デフォルト、および目的を調べます。
---
セルフホスト型Claude Managed Agentsへのアクセスをリクエストするには、Anthropicのアカウントチームにお問い合わせください。
このページでは、セルフホスト型Claude Managed Agentsサーバーの設定の配置場所を示し、設定を一覧にしています。機能をセットアップするには、[シングルサインオン](https://platform.claude.com/docs/ja/managed-agents/self-hosted/configure)、[エージェントアイデンティティと認証情報](https://platform.claude.com/docs/ja/managed-agents/self-hosted/agent-identity)、[推論プロバイダー](https://platform.claude.com/docs/ja/managed-agents/self-hosted/inference-provider)を参照してください。
## 設定の配置場所
サーバーは、設定を1つのYAMLファイルから、認証情報を環境から読み取ります。
* **Docker Compose：** ファイルは、展開したアーカイブ内の`docker-compose.yml`の隣にある`compose.config.yaml`です。これを編集してから、そのディレクトリで`docker compose restart cma-server`を実行します。
* **Kubernetes：** ファイルは、サーバーHelmチャートの`server.config`値です。valuesファイルで編集し、`helm upgrade`を実行してから、`kubectl -n cma-server rollout restart deployment -l anthropic.com/role=server`を実行してサーバーを再起動します。[Kubernetesにデプロイする](https://platform.claude.com/docs/ja/managed-agents/self-hosted/kubernetes)を参照してください。
サーバーがセルフホスト型のページに記載された設定を拒否する場合は、[サーバーをアップグレード](https://platform.claude.com/docs/ja/managed-agents/self-hosted/upgrade)してください。アーカイブの最上位にある`cma-server.example.yaml`には、一般的なキーの注記が記載されています。
認証情報はファイルには記述しません。サーバーは、認証情報を環境変数から、またはクラウドがホストに関連付けるアイデンティティから読み取ります。
### Composeスタックに認証情報を渡す
Composeスタックでは、サーバーコンテナは`docker-compose.yml`内の`cma-server`サービスの`environment:`リストにある変数のみを受け取ります。別の変数を渡すには、次のようにします。
1. その名前をリストに追加し、`.env`でその値を設定します。
2. 認証情報がファイルの場合は、そのファイルを`docker-compose.yml`の隣に置き、`docker-compose.yml`内の`x-server-mounts`リストに`- ./gcp-key.json:/etc/cma-server/gcp-key.json:ro`のような行を追加します。最初のコロンの後のパスは、コンテナ内でのファイルのパスです。そのパスを、`.env`での変数の値として、またはファイルを指定する設定の値として使用します。
3. `docker compose up -d`を実行します。再起動では`.env`は再読み込みされません。
アップグレードでは`docker-compose.yml`が置き換えられるため、新しいリリースのスタックを起動する前に、そのリリースのファイルでこれらの編集を繰り返してください。
## 表の読み方
各設定には[設定ファイル](https://platform.claude.com/docs/ja/managed-agents/self-hosted/configuration-reference#where-settings-go)内のキーがあり、ほとんどの設定には環境変数もあります。変数はファイルより優先され、ファイルはデフォルトより優先されます。設定ファイルに不明なキーがある場合、サーバーは起動せず、エラーにそのキーの場所が示されます。
* **キー：** キー内の各ドットは、ファイル内のネストの1レベルを表します。たとえば、`server.addr`は`server`セクション内の`addr`キーです。
* **変数：** 変数名は`CMA_`に続けてキーを大文字で記述したもので、各ドットは2つのアンダースコアに置き換えられます。
* **ファイルのみ：** この設定には変数がありません。
* **環境変数のみ：** この設定がファイルにあると、サーバーは起動しません。
* **`bedrock`のみ、および同様のラベル：** この設定は、そのプロバイダー、ストア、またはシークレットマネージャーでのみ機能します。別のものを使用しているときにこの設定を行うと、サーバーは起動しません。
* **リスト：** リストは、ファイルではYAMLリスト、変数ではカンマ区切りの文字列です。
* **期間：** 期間は、`30s`、`5m`、`1h`のように単位付きの数値です。
* **整数：** 整数は符号、先頭のゼロ、アンダースコアを含まない数字のみです。
起動時、サーバーは設定した値とほとんどのデフォルト値を、それぞれの値の出所とともにログに記録します（例：`server.addr=0.0.0.0:8400 (file)`）。シークレットの代わりに`***`を記録しますが、サーバー自身が生成したサーバーAPIキーは例外です。
## サーバーとログ
| 設定
環境変数 | デフォルト | 説明 |
| --------------------------------------------------------------------------------- | ---------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| `server.addr`
`CMA_SERVER__ADDR` | `127.0.0.1:8400` | サーバーがリッスンするアドレス。 |
| `server.api_key`
`CMA_SERVER__API_KEY` | なし | [サーバーAPIキー](https://platform.claude.com/docs/ja/managed-agents/self-hosted#the-three-credentials)。`auth.refuse_server_api_key`が`true`でない限り、`store.backend: postgres`では必須です。`memory`では、何も設定しない場合サーバーがキーを生成し、起動時にログに記録します。 |
| `server.id_marker`
`CMA_SERVER__ID_MARKER` | `local` | サーバーが作成する各IDのプレフィックスに続く部分。`local`では`sesn_local_01…`となり、`none`ではホスト型サービスと同様に`sesn_01…`となります。 |
| `server.shutdown_delay`
`CMA_SERVER__SHUTDOWN_DELAY` | `0s` | 停止シグナルを受け取った後、「readiness probe」（レディネスプローブ）が`not_ready`を返している間にサーバーがリクエストの処理を続ける時間。最大値は`5m`です。 |
| `server.max_connections`
`CMA_SERVER__MAX_CONNECTIONS` | `0` | `server.addr`でサーバーが同時に開いたままにする接続の最大数。`0`は無制限を意味します。上限に達すると、新しい接続は、別の接続が閉じるか、そのクライアントが断念するまで待機します。イベントストリーム、ワーカーのポーリング、ヘルスプローブはすべてカウントされます。Kubernetesでは、プローブの待機時間が長すぎるポッドをkubeletが再起動します。 |
| `logging.format`
`CMA_LOGGING__FORMAT` | `text` | ログ形式。`text`または`json`です。 |
| `logging.level`
`CMA_LOGGING__LEVEL` | `info` | サーバーがログに記録する最低レベル。値は`debug`、`info`、`warn`、`error`です。 |
| `logging.errors`
`CMA_LOGGING__ERRORS` | `false` | `4xx`および`5xx`レスポンスのエラーメッセージをログに含めるかどうか。メッセージにはクライアントが送信した値が引用される場合があります。 |
| `health.check_interval`
`CMA_HEALTH__CHECK_INTERVAL` | `60s` | レディネスプローブのために、サーバーが推論用の認証情報をチェックする頻度。最小値は`5s`です。 |
| `health.upstream_affects_readiness`
`CMA_HEALTH__UPSTREAM_AFFECTS_READINESS` | `true` | 推論プロバイダーがサーバーの認証情報を拒否している間、レディネスプローブが`503`を返すかどうか。 |
## データベース
この表の`store.backend`以外のすべての設定は、`store.backend: postgres`の場合にのみ適用されます。
| 設定
環境変数 | デフォルト | 説明 |
| --------------------------------------------------------------------------------------------------------------- | ---------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `store.backend`
`CMA_STORE__BACKEND` | `memory` | サーバーがデータを保持する場所。値は、再起動で消去される`memory`と、`postgres`です。 |
| `store.database_url`
`CMA_STORE__DATABASE_URL` | なし | PostgreSQLの接続文字列。`postgres`では必須です。 |
| `store.control_database_url`
`CMA_STORE__CONTROL_DATABASE_URL` | `store.database_url`の値 | ハートビートなど、サーバー自身の保守用接続に使用する接続文字列。 |
| `store.listen_database_url`
`CMA_STORE__LISTEN_DATABASE_URL` | `store.database_url`の値 | サーバーが通知をリッスンする1つの接続に使用する接続文字列。トランザクションモードの「connection pooler」（コネクションプーラー）では、この接続を扱えません。 |
| `store.migrate_database_url`
`CMA_STORE__MIGRATE_DATABASE_URL` | `store.database_url`の値 | サーバーの`migrate`コマンドが使用する接続文字列。トランザクションモードのコネクションプーラーでは、この接続を扱えません。 |
| `store.pool_max_conns`
`CMA_STORE__POOL_MAX_CONNS` | `24` | 1つのサーバーのプールが開くデータベース接続の最大数。最小値は`4`です。 |
| `store.event_poll_interval`
`CMA_STORE__EVENT_POLL_INTERVAL` | `25ms` | 各サーバーが、そのクライアントがストリーミングしているセッションの最新イベントをデータベースに問い合わせる頻度。別のサーバーが記録したイベントは、最大でおよそこの時間待ってからストリームに届きます。 |
| `store.credentials_encryption_key`
`CMA_STORE__CREDENTIALS_ENCRYPTION_KEY`
環境変数のみ | なし | データベースに保存される認証情報を暗号化するキー。base64形式の32ランダムバイトで指定します。Docker ComposeおよびKubernetesのインストールではこれが設定されます。`store.allow_unencrypted_credentials`が`true`でない限り、これがないとサーバーは起動しません。 |
| `store.allow_unencrypted_credentials`
`CMA_STORE__ALLOW_UNENCRYPTED_CREDENTIALS` | `false` | サーバーが`store.credentials_encryption_key`なしで起動できるかどうか。キーがない場合、サーバーは認証情報をデータベースに平文で保存します。`git.allowed_hostnames`にホストが記載されている場合、またはDocker ComposeやサーバーHelmチャートでインストールする場合、`true`は効果がありません。 |
| `store.credentials_encryption_keys_retiring`
`CMA_STORE__CREDENTIALS_ENCRYPTION_KEYS_RETIRING`
環境変数のみ | なし | キーのローテーション中にサーバーが引き続き復号に使用できる以前の暗号化キー。この設定には`store.credentials_encryption_key`が必要です。 |
## 推論プロバイダー
プロバイダーのセットアップについては、[推論プロバイダー](https://platform.claude.com/docs/ja/managed-agents/self-hosted/inference-provider)を参照してください。
| 設定
環境変数 | デフォルト | 説明 |
| -------------------------------------------------------------------- | ----------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `inference.provider`
`CMA_INFERENCE__PROVIDER` | `anthropic` | サーバーがモデル呼び出しを送信する先。値は`anthropic`、`bedrock`、`vertex`、`foundry`、`gateway`です。 |
| `inference.headers`
ファイルのみ | なし | サーバーがすべてのモデル呼び出しに追加するリクエストヘッダー。ヘッダー名から値へのマップで指定します。すべての値を引用符で囲んでください。`true`や`0042`のように、YAMLがテキストとして読み取らない引用符なしの値があると、サーバーは起動を拒否します。`gateway`では、値に`{ from: request_id }`または`{ from: session_id }`も指定できます。 |
| `inference.model_fallback`
`CMA_INFERENCE__MODEL_FALLBACK` | `true` | `anthropic`のみ。モデル呼び出しで[サーバー側フォールバック](https://platform.claude.com/docs/ja/build-with-claude/refusals-and-fallback#server-side-fallback)を要求するかどうか。これらの呼び出しには`fallbacks`フィールドとヘッダー`anthropic-beta: server-side-fallback-2026-07-01`が含まれます。`ANTHROPIC_BASE_URL`で指定したプロキシが、このフィールドまたはヘッダーを拒否する場合があります。プロキシが`400`または`422`で応答した場合、サーバーはそれらを除いて呼び出しを再送信します。 |
| `inference.metadata.user_id`
`CMA_INFERENCE__METADATA__USER_ID` | なし | `anthropic`および`foundry`のみ、または`format: anthropic-messages`を指定した`gateway`。サーバーがすべてのモデル呼び出しで`metadata.user_id`として送信する1つの識別子。起動ログに出力されます。この設定がない場合、サーバーはラベル`cma-server`を送信します。`metadata.user_id`をオフにすることはできません。プロバイダーまたはプロキシがこれを拒否した場合、すべてのモデル呼び出しが失敗します。[ネットワーク外に送信されるもの](https://platform.claude.com/docs/ja/managed-agents/self-hosted-data-and-access#what-leaves-your-network)を参照してください。 |
### クラウドプロバイダー
| 設定
環境変数 | デフォルト | 説明 |
| -------------------------------------------------------------------- | --------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `inference.region`
`CMA_INFERENCE__REGION` | なし | `bedrock`および`vertex`のみ。AWSリージョン、またはGoogle Cloud’s Agent Platformのロケーション。`vertex`では必須です。これがない場合、`bedrock`はAWS SDKのデフォルトチェーンが見つけたリージョンを使用します。 |
| `inference.project_id`
`CMA_INFERENCE__PROJECT_ID` | なし | `vertex`のみ。呼び出しが行われるGoogle Cloudプロジェクト。Googleの認証情報がプロジェクトを指定していない限り必須です。 |
| `inference.api`
`CMA_INFERENCE__API` | `invoke_model` | `bedrock`のみ。呼び出しを伝送するAmazon Bedrock API。`invoke_model`または`messages`です。`messages`は[Claude in Amazon Bedrock（`bedrock-mantle`）](https://platform.claude.com/docs/ja/build-with-claude/claude-in-amazon-bedrock)で説明されているエンドポイントです。これを使用する場合、サーバーのAWSロールには`bedrock:InvokeModel`と`bedrock:InvokeModelWithResponseStream`の代わりに`bedrock-mantle:CreateInference`が必要です。 |
| `inference.list_models`
`CMA_INFERENCE__LIST_MODELS` | `true` | `bedrock`のみ。サーバーがAmazon BedrockのClaudeモデルのリストを読み取るかどうか。これらのリストにより、エージェントはサーバーのリリース後に登場したモデルを使用できます。 |
| `inference.model_id_prefix`
`CMA_INFERENCE__MODEL_ID_PREFIX` | `us.anthropic.` | `bedrock`のみ。サーバーが各モデルIDの前に付加するテキスト。`inference.api: messages`では、デフォルトは`anthropic.`です。 |
| `inference.model_id_overrides`
ファイルのみ | なし | `bedrock`、`vertex`、`foundry`のみ。モデルIDからプロバイダーが期待する正確なIDへのマップ。`foundry`では、そのIDはデプロイメント名です。 |
| `inference.foundry.resource`
`CMA_INFERENCE__FOUNDRY__RESOURCE` | なし | `foundry`のみ。Foundryリソースの名前。これか`inference.foundry.base_url`のどちらか一方を設定し、両方は設定しないでください。 |
| `inference.foundry.base_url`
`CMA_INFERENCE__FOUNDRY__BASE_URL` | なし | `foundry`のみ。デフォルトでは、呼び出しは`https://.services.ai.azure.com/anthropic`に送信されます。プロキシなど別のアドレスでリソースにアクセスするには、代わりにそのURLをここに設定します。URLは`/anthropic`で終わります。 |
### モデルゲートウェイ
これらの設定は`inference.provider: gateway`の場合にのみ適用されます。[モデルゲートウェイ](https://platform.claude.com/docs/ja/managed-agents/self-hosted/inference-provider#model-gateway)を参照してください。
| 設定
環境変数 | デフォルト | 説明 |
| ----------------------------------------------------------------------------------------- | --------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| `inference.gateway.url`
`CMA_INFERENCE__GATEWAY__URL` | なし | 必須。モデル呼び出しを受け取るURL。`bedrock-invoke`および`vertex-raw-predict`では、`{model}`がモデルIDの入る位置を示します。`vertex-raw-predict`では、URLは`/{model}:rawPredict`で終わる必要があります。 |
| `inference.gateway.format`
`CMA_INFERENCE__GATEWAY__FORMAT` | なし | 必須。ゲートウェイが受け付けるリクエスト形式。`bedrock-invoke`、`anthropic-messages`、または`vertex-raw-predict`です。 |
| `inference.gateway.model_map`
ファイルのみ | なし | 必須。エージェントが指定できる各モデルIDから、ゲートウェイが期待するIDへのマップ。`inference.headers`と同様に、すべての値を引用符で囲んでください。 |
| `inference.gateway.streaming`
`CMA_INFERENCE__GATEWAY__STREAMING` | `false` | サーバーがその形式のストリーミング呼び出しを送信するかどうか。有効にすると、モデルが生成するにつれて応答が届きます。`bedrock-invoke`では、その呼び出しは`-with-response-stream`を末尾に付加した同じURLに送信されます。`vertex-raw-predict`では、その呼び出しは`:rawPredict`の代わりに`:streamRawPredict`を含む同じURLに送信されます。`inference.gateway.url`には`:rawPredict`を残してください。 |
| `inference.credentials.supplier`
`CMA_INFERENCE__CREDENTIALS__SUPPLIER` | なし | 必須。ゲートウェイの認証情報の取得元。`env`は1つの長期間有効なキーを意味し、`oauth_exchange`は短期間有効なトークンを意味し、`azure`はサーバー自身のAzureアイデンティティに発行されたMicrosoft Entra IDトークンを意味します。 |
| `inference.credentials.env.var`
`CMA_INFERENCE__CREDENTIALS__ENV__VAR` | なし | `env`では必須。キーを保持する環境変数の名前。 |
| `inference.credentials.azure.scope`
`CMA_INFERENCE__CREDENTIALS__AZURE__SCOPE` | なし | `azure`では必須。サーバーがトークンを要求するスコープ。ゲートウェイのアプリ登録のアプリケーションID URIまたはアプリケーションIDの後に`/.default`を付けたものです。 |
| `inference.credentials.send_as.header`
`CMA_INFERENCE__CREDENTIALS__SEND_AS__HEADER` | `Authorization` | 認証情報を伝送するリクエストヘッダー。 |
| `inference.credentials.send_as.scheme`
`CMA_INFERENCE__CREDENTIALS__SEND_AS__SCHEME` | `Bearer` | ヘッダー内で認証情報の前に置かれる語。`Authorization`以外のヘッダーでは、デフォルトはスキームなしです。 |
| `inference.credentials.renew_before`
`CMA_INFERENCE__CREDENTIALS__RENEW_BEFORE` | `90s` | `oauth_exchange`で、サーバーがトークンをどれだけ早く置き換えるか。サーバーは、キャッシュ済みトークンの有効期限のこの時間前にその使用を停止し、次のモデル呼び出しのために別のトークンを取得します。値はトークンの有効期間より小さくしてください。有効期間がこの値未満のトークンは、サーバーが拒否します。 |
### 短期間有効なゲートウェイトークン
これらの設定は`inference.credentials.supplier: oauth_exchange`の場合にのみ適用されます。[短期間有効なトークン](https://platform.claude.com/docs/ja/managed-agents/self-hosted/inference-provider#short-lived-tokens)を参照してください。`exchange`設定はグループとして任意です。これらがない場合、サーバーはコールバックが返したものをゲートウェイに送信します。
| 設定
環境変数 | デフォルト | 説明 |
| ----------------------------------------------------------------------------------------------------------------- | ------------ | ----------------------------------------------------------------------------------------------------------------- |
| `inference.credentials.assertion.url`
`CMA_INFERENCE__CREDENTIALS__ASSERTION__URL` | なし | 必須。署名付きアサーションを返すHTTPコールバックのURL。 |
| `inference.credentials.assertion.auth.type`
`CMA_INFERENCE__CREDENTIALS__ASSERTION__AUTH__TYPE` | なし | 必須。サーバーがコールバックに対して認証する方法。`mtls`または`bearer_file`です。 |
| `inference.credentials.assertion.auth.cert_file`
`CMA_INFERENCE__CREDENTIALS__ASSERTION__AUTH__CERT_FILE` | なし | `mtls`では必須。サーバーのクライアント証明書のパス。 |
| `inference.credentials.assertion.auth.key_file`
`CMA_INFERENCE__CREDENTIALS__ASSERTION__AUTH__KEY_FILE` | なし | `mtls`では必須。クライアント証明書の秘密鍵のパス。 |
| `inference.credentials.assertion.auth.token_file`
`CMA_INFERENCE__CREDENTIALS__ASSERTION__AUTH__TOKEN_FILE` | なし | `bearer_file`では必須。ベアラートークンを保持するファイルのパス。 |
| `inference.credentials.assertion.auth.ca_file`
`CMA_INFERENCE__CREDENTIALS__ASSERTION__AUTH__CA_FILE` | なし | サーバーがコールバックに対して信頼する認証局を含むPEMファイルのパス。 |
| `inference.credentials.assertion.forward_metadata`
`CMA_INFERENCE__CREDENTIALS__ASSERTION__FORWARD_METADATA` | なし | サーバーがその値をコールバックに送信するセッションメタデータのキー。これらはリクエスト本文の`session.metadata`として届きます。値はAPI呼び出し元が書き込んだものそのままなので、自身の記録と照合してください。 |
| `inference.credentials.exchange.token_url`
`CMA_INFERENCE__CREDENTIALS__EXCHANGE__TOKEN_URL` | なし | 交換を行う場合は必須。サーバーがアサーションをトークンと交換するOAuthトークンエンドポイント。 |
| `inference.credentials.exchange.grant_type`
`CMA_INFERENCE__CREDENTIALS__EXCHANGE__GRANT_TYPE` | なし | 交換を行う場合は必須。サーバーが送信する`grant_type`（例：`urn:ietf:params:oauth:grant-type:jwt-bearer`）。 |
| `inference.credentials.exchange.encoding`
`CMA_INFERENCE__CREDENTIALS__EXCHANGE__ENCODING` | `form` | サーバーが交換リクエストをエンコードする方法。`form`または`multipart`です。 |
| `inference.credentials.exchange.expiry`
`CMA_INFERENCE__CREDENTIALS__EXCHANGE__EXPIRY` | `expires_in` | サーバーがトークンの有効期間を読み取る場所。`expires_in`は、レスポンスの`expires_in`とトークンの`exp`クレームのうち早いほうを意味します。`jwt_exp`は`exp`クレームのみを意味します。 |
| `inference.credentials.exchange.headers`
ファイルのみ | なし | トークンエンドポイント用の追加リクエストヘッダー。ヘッダー名から値へのマップで指定します。`inference.headers`と同様に、すべての値を引用符で囲んでください。 |
| `inference.credentials.exchange.ca_file`
`CMA_INFERENCE__CREDENTIALS__EXCHANGE__CA_FILE` | なし | サーバーがトークンエンドポイントに対して信頼する認証局を含むPEMファイルのパス。 |
## シングルサインオン
サインインのセットアップについては、[シングルサインオン](https://platform.claude.com/docs/ja/managed-agents/self-hosted/configure)を参照してください。
| 設定
環境変数 | デフォルト | 説明 |
| ---------------------------------------- | ------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `auth.issuers`
ファイルのみ | なし | サーバーがトークンを受け付けるOpenID Connect発行者。[発行者エントリ](https://platform.claude.com/docs/ja/managed-agents/self-hosted/configuration-reference#issuer-entries)を参照してください。 |
| `auth.refuse_server_api_key`
ファイルのみ | `false` | サーバーがすべてのルートでサーバーAPIキーを拒否するかどうか。`true`には少なくとも1つの発行者が必要です。その場合、キーを受け取るすべての管理CLIコマンドは失敗します。 |
### 発行者エントリ
`auth.issuers`の各エントリは、次のフィールドを受け取ります。
| フィールド | デフォルト | 説明 |
| ----------------- | ---------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `name` | なし | 必須。ログ行における発行者のラベル。サーバーはこれを各リソースの作成者の一部としても記録します。 |
| `issuer_url` | なし | 必須。発行者のURL。そのトークンの`iss`クレームと完全に一致させます。サーバーは、このホストと、発行者のディスカバリードキュメントが指定する`jwks_uri`のホストから署名鍵を取得します。ネットワークで送信接続を制限している場合は、両方のホストを許可してください。 |
| `audiences` | なし | 必須。トークンの`aud`クレームが持つことのできる値。アプリケーションがすでに保持しているトークンを転送する場合は、各アプリケーションのクライアントIDを列挙してください。 |
| `roles` | なし | `group`と`role`のペアのリスト。グループは完全一致で、または`*`が任意の文字列、`?`が1文字を表すパターンとして一致します。ロールは`admin`、`developer`、または`user`です。一致するロールのうち最も高いものが適用されます。`roles`、`default_role`、またはその両方を設定してください。 |
| `default_role` | なし | グループがどの`roles`エントリにも一致しない呼び出し元のロール。このオーディエンスのトークンを取得できる全員がアクセス権を持つべき場合にのみ設定してください。 |
| `subject_claim` | `sub` | 呼び出し元を識別するクレーム。`/`で始まる名前は、ネストされたクレームへのJSON Pointerです。 |
| `stable_subject` | `false` | `subject_claim`が`sub`または`oid`以外のクレームを指定する場合にのみ適用されます。プロバイダーがある人物のそのクレームの値を変更せず、他の人に割り当てることもないことを確認するには、`true`を設定します。サーバーはこれをチェックしません。`false`の場合、[エージェントトークン](https://platform.claude.com/docs/ja/managed-agents/self-hosted/configuration-reference#agent-identity)は`actor_sub`および`actor_iss`クレームを省略します。 |
| `groups_claim` | `groups` | 呼び出し元のグループを列挙するクレーム。`/`で始まる名前は、ネストされたクレームへのJSON Pointerです。 |
| `jwks_file` | なし | JSON Web Key Setファイルのパス。サーバーはここから署名鍵を読み取り、発行者には一切接続しません。 |
| `login_client_id` | なし | [ターミナルログイン](https://platform.claude.com/docs/ja/managed-agents/self-hosted/configure#let-developers-log-in-from-a-terminal)が使用するアプリケーションのクライアントID。これを設定できる発行者は1つだけです。 |
| `login_scopes` | `[openid]` | ログインが要求するスコープ。このフィールドには`login_client_id`が必要です。 |
## シークレットマネージャー
ストアのセットアップについては、[シークレットマネージャー](https://platform.claude.com/docs/ja/managed-agents/self-hosted/agent-identity#secret-manager)を参照してください。
| 設定
環境変数 | デフォルト | 説明 |
| ----------------------------------------------------------- | ----- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `secret_store.type`
`CMA_SECRET_STORE__TYPE` | なし | ボールトの認証情報を保持するシークレットマネージャー。値は`aws_secrets_manager`、`gcp_secret_manager`、`azure_key_vault`、`hashicorp_vault`です。これがない場合、ボールトの認証情報はデータベースに残ります。 |
| `secret_store.prefix`
`CMA_SECRET_STORE__PREFIX` | なし | `secret_store.type`を使用する場合は必須。サーバーが作成するすべてのシークレットの名前の先頭部分。`aws_secrets_manager`と`hashicorp_vault`では`/`、`gcp_secret_manager`では`-`または`_`、`azure_key_vault`では`-`で終わる必要があります。 |
| `secret_store.region`
`CMA_SECRET_STORE__REGION` | なし | `aws_secrets_manager`のみで、その場合は必須。シークレットを保持するAWSリージョン。 |
| `secret_store.project`
`CMA_SECRET_STORE__PROJECT` | なし | `gcp_secret_manager`のみで、その場合は必須。シークレットを保持するGoogle CloudプロジェクトのID。 |
| `secret_store.vault_url`
`CMA_SECRET_STORE__VAULT_URL` | なし | `azure_key_vault`のみで、その場合は必須。キーボールトのURL（例：`https://my-vault.vault.azure.net`）。 |
### HashiCorp Vault
これらの設定は`secret_store.type: hashicorp_vault`の場合にのみ適用されます。ログイン方法は`token_file`、`kubernetes`、`approle`のいずれか1つだけを設定してください。
| 設定
環境変数 | デフォルト | 説明 |
| -------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------- | --------------------------------------------------------------------- |
| `secret_store.address`
`CMA_SECRET_STORE__ADDRESS` | なし | 必須。Vaultサーバーの`https://` URL。 |
| `secret_store.namespace`
`CMA_SECRET_STORE__NAMESPACE` | なし | マウントとログイン方法を保持するVault Enterpriseのネームスペース。 |
| `secret_store.mount`
`CMA_SECRET_STORE__MOUNT` | `secret` | KVバージョン2シークレットエンジンのパス。 |
| `secret_store.ca_cert_file`
`CMA_SECRET_STORE__CA_CERT_FILE` | なし | Vaultの証明書に署名した認証局を含むPEMファイルのパス。 |
| `secret_store.token_file`
`CMA_SECRET_STORE__TOKEN_FILE` | なし | Vault Agentなどの別のプロセスが最新の状態に保つVaultトークンを含むファイルのパス。 |
| `secret_store.kubernetes.role`
`CMA_SECRET_STORE__KUBERNETES__ROLE` | なし | `kubernetes`では必須。サーバーがログインに使用するVaultロール。これをサーバーのサービスアカウントにバインドしてください。 |
| `secret_store.kubernetes.mount_path`
`CMA_SECRET_STORE__KUBERNETES__MOUNT_PATH` | `kubernetes` | VaultがKubernetesログイン方法をマウントする場所。 |
| `secret_store.kubernetes.service_account_token_file`
`CMA_SECRET_STORE__KUBERNETES__SERVICE_ACCOUNT_TOKEN_FILE` | `/var/run/secrets/kubernetes.io/serviceaccount/token` | サーバーが各ログイン時に提示するサービスアカウントトークンのパス。 |
| `secret_store.approle.role_id`
`CMA_SECRET_STORE__APPROLE__ROLE_ID` | なし | `approle`では必須。サーバーがログインに使用するAppRoleロールのID。 |
| `secret_store.approle.secret_id_file`
`CMA_SECRET_STORE__APPROLE__SECRET_ID_FILE` | なし | `approle`では必須。ロールの`secret_id`を含むファイルのパス。 |
| `secret_store.approle.mount_path`
`CMA_SECRET_STORE__APPROLE__MOUNT_PATH` | `approle` | VaultがAppRoleログイン方法をマウントする場所。 |
## エージェントアイデンティティ
エージェントトークンのセットアップについては、[エージェントアイデンティティ](https://platform.claude.com/docs/ja/managed-agents/self-hosted/agent-identity#agent-identity)を参照してください。この表のいずれかの設定を行うと、この機能が有効になります。その場合、サーバーには`agent_identity.issuer`と、署名鍵の場所として`key_file`、`key_secret`、`kms_key`のいずれか1つだけが必要です。
| 設定
環境変数 | デフォルト | 説明 |
| ----------------------------------------------------------------------------------- | -------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `agent_identity.issuer`
`CMA_AGENT_IDENTITY__ISSUER` | なし | エージェントトークンが`iss`クレームとして持つ`https://` URL。 |
| `agent_identity.key_file`
`CMA_AGENT_IDENTITY__KEY_FILE` | なし | トークンに署名するPEM秘密鍵のパス。 |
| `agent_identity.key_secret`
`CMA_AGENT_IDENTITY__KEY_SECRET` | なし | シークレットマネージャー内でPEM秘密鍵を保持するシークレットの名前（`secret_store.prefix`を除く）。 |
| `agent_identity.kms_key.provider`
`CMA_AGENT_IDENTITY__KMS_KEY__PROVIDER` | なし | 署名鍵を保持する鍵管理サービス。`aws_kms`または`gcp_kms`です。 |
| `agent_identity.kms_key.key`
`CMA_AGENT_IDENTITY__KMS_KEY__KEY` | なし | `kms_key.provider`を使用する場合は必須。`aws_kms`では鍵のARN、`gcp_kms`では1つの鍵バージョンのリソース名です。 |
| `agent_identity.published_key_files`
`CMA_AGENT_IDENTITY__PUBLISHED_KEY_FILES` | なし | 鍵セット用の追加のPEM公開鍵のパス。サーバーはこれらの鍵を公開しますが、これらで署名することはありません。署名鍵をローテーションするときにこの設定を使用します。 |
| `agent_identity.token_lifetime`
`CMA_AGENT_IDENTITY__TOKEN_LIFETIME` | `5m` | トークンの`iat`クレームから`exp`クレームまでの時間。すでに送信されたトークンは、その`exp`まで有効です。最小値は`limits.mcp_call_timeout`に`1m`を加えた値で、最大値は`15m`です。 |
| `agent_identity.jwks_uri`
`CMA_AGENT_IDENTITY__JWKS_URI` | `/.well-known/jwks.json` | 発行者のディスカバリードキュメントが鍵セットとして示すURL。発行者URL配下以外の場所で鍵セットをホストする場合にのみ設定してください。 |
| `agent_identity.direct.audiences`
ファイルのみ | なし | トークンを取得できる受信者。各エントリには、`audience` URLと、その受信者のMCPサーバーのURLプレフィックスである`urls`があります。 |
| `agent_identity.actor.enabled`
`CMA_AGENT_IDENTITY__ACTOR__ENABLED` | `true` | サーバーがツール呼び出しのトークンに`actor_sub`および`actor_iss`クレームを追加するかどうか。`actor_sub`は、セッションを作成した呼び出し元のサブジェクトです。`actor_iss`は、呼び出し元がサインインに使用した`auth.issuers`エントリの`issuer_url`です。どちらのクレームも、呼び出し元がその呼び出しを承認したことを意味するものではありません。 |
## エグレスゲートウェイ
ゲートウェイのセットアップについては、[環境変数の認証情報](https://platform.claude.com/docs/ja/managed-agents/self-hosted/agent-identity#environment-variable-credentials)を参照してください。この表のその他の設定は、`egress.gateway_enabled: true`の場合にのみ設定してください。これがない場合、いずれかが設定されているとサーバーは起動しません。
| 設定
環境変数 | デフォルト | 説明 |
| ----------------------------------------------------------------------- | --------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `egress.gateway_enabled`
`CMA_EGRESS__GATEWAY_ENABLED` | `false` | サーバーがエグレスゲートウェイと連携し、`environment_variable`のボールト認証情報を受け付けるかどうか。 |
| `egress.allowed_hostnames`
`CMA_EGRESS__ALLOWED_HOSTNAMES` | なし | サンドボックスがゲートウェイ経由でアクセスできる、完全一致の公開ホスト名。`api.example.com`のようにポートのないエントリは、`https` URLではポート443、`http` URLではポート80を許可します。`api.example.com:8443`のようにポート付きのエントリは、そのポートのみを許可します。 |
| `egress.swap_header_names`
`CMA_EGRESS__SWAP_HEADER_NAMES` | `Authorization` | ゲートウェイが認証情報の値を入れることができるリクエストヘッダー。独自のリストはデフォルトを置き換えるため、そのリストに`Authorization`を含めてください。 |
| `egress.gateway_listen`
`CMA_EGRESS__GATEWAY_LISTEN` | `:8410` | ゲートウェイのみにサービスを提供する、サーバーの2番目のリスナーのアドレス。デフォルトではすべてのインターフェースでリッスンします。 |
| `egress.gateway_key_file`
`CMA_EGRESS__GATEWAY_KEY_FILE` | なし | 必須。ゲートウェイがサーバーに提示するキーを含むファイルのパス。 |
| `egress.ca_cert_file`
`CMA_EGRESS__CA_CERT_FILE` | なし | 必須。ゲートウェイの認証局のPEM証明書のパス。 |
| `egress.gateway_proxy_address`
`CMA_EGRESS__GATEWAY_PROXY_ADDRESS` | なし | 必須。サンドボックスがゲートウェイのプロキシポートにアクセスする`host:port`。 |
## MCPサーバー
[MCPサーバーには許可リストのエントリが必要](https://platform.claude.com/docs/ja/managed-agents/self-hosted/differences#mcp-servers-need-an-allowlist-entry)を参照してください。
| 設定
環境変数 | デフォルト | 説明 |
| --------------------------------------------------------- | ----------------- | ------------------------------------------------------ |
| `mcp.allowed_hostnames`
`CMA_MCP__ALLOWED_HOSTNAMES` | なし | サーバーが接続できるMCPサーバーの完全一致のホスト名。これがない場合、サーバーはどこにも接続しません。 |
| `mcp.private_hostnames`
ファイルのみ | なし | `mcp.allowed_hostnames`のうち、プライベートアドレスに解決される可能性のあるホスト名。 |
| `mcp.max_result_bytes`
`CMA_MCP__MAX_RESULT_BYTES` | `102400`（100 KiB） | 1つのMCPツール結果のうち、モデルが参照する最大バイト数。最小値は`1024`です。 |
## Gitリポジトリ
[Gitリポジトリには許可リストのエントリが必要](https://platform.claude.com/docs/ja/managed-agents/self-hosted/differences#git-repositories-need-an-allowlist-entry)を参照してください。
| 設定
環境変数 | デフォルト | 説明 |
| --------------------------------------------------------------------------- | ----------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `git.allowed_hostnames`
`CMA_GIT__ALLOWED_HOSTNAMES` | なし | セッションのリポジトリが置かれることのできるGitホスト。ホスト名はワイルドカードなしで完全一致し、エントリはそのサブドメインを対象としません。エントリは、ポート443、または`git.example.com:8443`のようにエントリが指定する1つのポートを許可します。この設定がない場合、サーバーはリポジトリを受け付けません。 |
| `git.private_hostnames`
ファイルのみ | なし | `git.allowed_hostnames`のうち、プライベートアドレスに解決されるホスト名。ポートなしで記述します。その他のホスト名については、サーバーはそのパブリックアドレスにのみ接続します。 |
| `git.allowed_push_refs`
`CMA_GIT__ALLOWED_PUSH_REFS` | なし | エージェントがプッシュできるブランチ（それぞれ`refs/heads/`配下）。`/`で終わるエントリは、その配下のすべてのブランチを許可します。その他のエントリは、その1つのブランチを許可します。この設定がない場合、エージェントはプッシュできません。 |
| `git.commit_author_name`
`CMA_GIT__COMMIT_AUTHOR_NAME` | `Claude` | エージェントのコミットの作成者名。`git.commit_author_email`と一緒に設定してください。 |
| `git.commit_author_email`
`CMA_GIT__COMMIT_AUTHOR_EMAIL` | `noreply@anthropic.com` | エージェントのコミットの作成者メールアドレス。`git.commit_author_name`と一緒に設定してください。 |
| `git.max_concurrent_transfers`
`CMA_GIT__MAX_CONCURRENT_TRANSFERS` | `32` | 1つのサーバーが同時に処理するGitリクエストの最大数。最小値は`1`です。 |
| `git.max_session_transfer_bytes`
`CMA_GIT__MAX_SESSION_TRANSFER_BYTES` | `8589934592`（8 GiB） | 1つのサーバーが1つのセッションのために処理するGitトラフィックの最大量（バイト単位、アップロードとダウンロードの合計）。カウントは、サンドボックスがセッションを引き継ぐたびにゼロから再開します。上限に達すると、サーバーはそのセッションの以降のGitリクエストを`403`で拒否します。`0`は無制限を意味します。それ以外の場合、最小値は`1048576`です。 |
| `git.max_push_bytes`
`CMA_GIT__MAX_PUSH_BYTES` | `2147483648`（2 GiB） | 1回のプッシュで送信できる最大バイト数。最小値は`1048576`です。 |
Gitリポジトリには次の制限が適用されます。
* **プロトコル：** サーバーはSSHやGit LFSをサポートしておらず、名前が変更されたリポジトリのリダイレクトなど、リダイレクトを拒否します。
* **トークン：** Gitホストは、ユーザー名`x-access-token`でのHTTP Basic認証のパスワードとしてトークンを受け付ける必要があります。
* **URL：** リポジトリURLには1つのオーナーと1つのリポジトリ名しか含まれないため、GitLabのサブグループ内のリポジトリは使用できません。
* **ホスト：** `git.allowed_hostnames`に記載されていないホスト上のURLに対しては、サーバーは`400`を返します。エラーメッセージには、他のホストを記載していても、URLは`github.com`上にある必要があると示されます。
* **プッシュ：** サーバーは、ブランチを削除するプッシュや、タグなどブランチ以外のものを変更するプッシュを常に拒否します。
## Webツールとスキル
[Webツールにはサーバー設定が必要](https://platform.claude.com/docs/ja/managed-agents/self-hosted/differences#web-tools-need-a-server-setting)を参照してください。
| 設定
環境変数 | デフォルト | 説明 |
| ----------------------------------------------------------------------- | ------- | --------------------------------------------------------------------------------------- |
| `web_tools.enabled`
`CMA_WEB_TOOLS__ENABLED` | `false` | エージェントが`web_search`および`web_fetch`ツールを使用できるかどうか。別の`web_tools`設定を行った場合、デフォルトは`true`になります。 |
| `web_tools.allowed_domains`
`CMA_WEB_TOOLS__ALLOWED_DOMAINS` | なし | エージェントがWebツールで読み取れる唯一のドメイン。エントリはそのサブドメインも対象とします。 |
| `web_tools.blocked_domains`
`CMA_WEB_TOOLS__BLOCKED_DOMAINS` | なし | どのエージェントもWebツールで読み取れないドメイン。これか`web_tools.allowed_domains`のどちらか一方を設定し、両方は設定しないでください。 |
| `web_tools.max_content_tokens`
`CMA_WEB_TOOLS__MAX_CONTENT_TOKENS` | なし | `web_fetch`が取得した1ページのうち、モデルに返す最大トークン数。 |
| `skills.max_name_chars`
`CMA_SKILLS__MAX_NAME_CHARS` | `64` | `SKILL.md`ファイルに指定できる`name`の最大長。最大値は`255`です。 |
| `skills.max_description_chars`
`CMA_SKILLS__MAX_DESCRIPTION_CHARS` | `1024` | `SKILL.md`ファイルに指定できる`description`の最大長。 |
## 制限、タイムアウト、スケジューリング
| 設定
環境変数 | デフォルト | 説明 |
| ------------------------------------------------------------------------------- | ----------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `limits.max_active_sessions`
`CMA_LIMITS__MAX_ACTIVE_SESSIONS` | `64` | `store.backend: memory`のみ。同時にターンを実行するセッションの最大数。`0`は無制限を意味します。 |
| `limits.max_live_subagent_threads`
`CMA_LIMITS__MAX_LIVE_SUBAGENT_THREADS` | `25` | 1つのセッションが同時に保持できるサブエージェントスレッドの最大数。スレッドはアーカイブまたは終了されるまでカウントされるため、アイドル状態のスレッドもカウントされます。上限に達すると、エージェントは別のサブエージェントを開始できません。最小値は`1`、最大値は`4000`です。 |
| `scheduler.max_concurrent_turns`
`CMA_SCHEDULER__MAX_CONCURRENT_TURNS` | `64` | `store.backend: postgres`のみ。1つのサーバーが同時に実行するターンの最大数。最小値は`1`です。サーバーは、サブエージェントのターン専用の追加スロットを確保します。その数はこの値の4分の1で、最低でも`4`です。デフォルトでは、1つのサーバーで64ターンに加えて16のサブエージェントターンを実行できます。 |
| `scheduler.claim_poll_interval`
`CMA_SCHEDULER__CLAIM_POLL_INTERVAL` | `1s` | `store.backend: postgres`のみ。空きターンスロットのあるサーバーが、待機中の作業をデータベースで探す頻度。最小値は`50ms`です。 |
| `scheduler.sandbox_claim`
`CMA_SCHEDULER__SANDBOX_CLAIM` | `immediate` | ワーカーがセッションのサンドボックスを開始できるタイミング。`immediate`はセッションが作成されるとすぐを意味するため、最初のツール呼び出しの待機時間が最も短くなります。`tool_call`は、サンドボックスを必要とするセッションの最初のツール呼び出し時を意味するため、そのような呼び出しを行わないセッションはサンドボックスを使用しません。 |
| `limits.model_call_timeout`
`CMA_LIMITS__MODEL_CALL_TIMEOUT` | `20m` | サーバーがキャンセルするまでに、1回のモデル呼び出しがリトライを含めて実行できる時間。 |
| `limits.stream_idle_timeout`
`CMA_LIMITS__STREAM_IDLE_TIMEOUT` | `5m` | サーバーがその試行を断念するまでに、モデル呼び出しのレスポンスが何も返さずにいられる時間。 |
| `limits.mcp_call_timeout`
`CMA_LIMITS__MCP_CALL_TIMEOUT` | `4m` | サーバーが断念するまでに、1回のMCPツール呼び出しが実行できる時間。 |
## モデルとコンパクション
| 設定
環境変数 | デフォルト | 説明 |
| --------------------------------- | --------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `models.settings`
ファイルのみ | なし | サーバーの組み込みモデルカタログへの変更。モデルIDをキーとします。[モデルエントリ](https://platform.claude.com/docs/ja/managed-agents/self-hosted/configuration-reference#model-entries)を参照してください。 |
| `compaction.triggers`
ファイルのみ | 各モデルのコンテキストウィンドウの約90% | モデル上のターンが履歴をコンパクションするコンテキストサイズ（トークン単位）。モデルIDをキーとします。最小値は`50000`です。各モデルはコンパクションをサポートしている必要があります。 |
### モデルエントリ
`models.settings`の各エントリは、カタログ内のモデルを変更するか、モデルを追加します。カタログ内のモデルの場合、省略したフィールドは組み込みの値を保持します。
| フィールド | 説明 |
| ------------------------------ | -------------------------------------------------------------------------------------------------------------------------------------------- |
| `fast_supported` | モデルが`speed: "fast"`を受け付けるかどうか。追加するモデルでは必須です。 |
| `inference_geo_supported` | モデルが`inference_geo`を受け付けるかどうか。 |
| `forced_tool_choice_supported` | モデルが、1つのツールの呼び出しを強制するリクエストを受け付けるかどうか。サーバーがこのようなリクエストを送信するのは、承認された`web_search`または`web_fetch`呼び出しを実行する場合のみです。`false`の場合、サーバーはこのモデルでツールを強制しません。 |
| `effort_supported` | モデルがeffortレベルを受け付けるかどうか。 |
| `effort_levels` | モデルが受け付けるeffortレベル。`low`、`medium`、`high`、`xhigh`、`max`から選びます。組み込みのレベルがないモデルで`effort_supported: true`を指定する場合は必須です。 |
| `effort_default` | エージェントがeffortレベルを指定しないセッションのeffortレベル。`effort_levels`のいずれかである必要があります。組み込みのデフォルトがないモデルで`effort_supported: true`を指定する場合は必須です。 |
| `thinking` | サーバーが要求する思考モード。`enabled`または`adaptive`です。 |
| `thinking_budget` | `thinking: enabled`の場合にサーバーが送信する思考予算（トークン単位）。 |
| `max_tokens` | 各モデル呼び出しの`max_tokens`値。 |
## サーバー上のコンソール
| 設定
環境変数 | デフォルト | 説明 |
| ----------------------------------------- | ------ | ----------------------------------------------------------------------------------------------- |
| `console.serve`
`CMA_CONSOLE__SERVE` | `true` | [サーバー上のコンソール](https://platform.claude.com/docs/ja/managed-agents/self-hosted/console)を提供するかどうか。 |