Cấu hình Claude Code cho cả đội

Một lập trình viên dùng Claude Code thì cấu hình thế nào cũng được. Một trăm người dùng cùng lúc thì khác: thứ phải giống nhau cho cả nhóm, thứ không ai được tắt, thứ để mỗi người tự chọn đều phải nằm đúng chỗ.

Bài này giúp bạn trả lời: cấu hình Claude Code cho một đội hay cả tổ chức thế nào để vừa thống nhất, vừa an toàn, vừa không bó tay từng người?

Ví dụ xuyên suốt: công ty game di động

Một công ty game di động có 120 lập trình viên trong 8 nhóm sắp dùng Claude Code. Yêu cầu từ các phía:

• Phòng an toàn thông tin: Claude không được đọc file .env chứa khoá dịch vụ, không ai được bật chế độ bỏ qua mọi lời hỏi quyền, và chỉ dùng tài khoản của công ty.
• Nhóm làm server game: mọi người trong repo dùng chung một MCP server tra cứu hệ thống quản lý công việc, và chung một bộ quy ước code.
• Từng người: có người muốn Claude trả lời bằng tiếng Việt, có người thích theme sáng.

Năm nơi đặt cấu hình, mỗi nơi chạm tới ai

Khi hai nơi đặt cùng một thiết lập, thứ tự ưu tiên từ cao xuống thấp là managed > dòng lệnh > local > project > user. Với thiết lập một giá trị, nơi cao hơn thắng. Với các mảng như danh sách luật quyền, docs nói các mảng được gộp từ mọi nơi, nên một luật deny ở bất kỳ nơi nào cũng có hiệu lực.

.mcp.json là cách để cả nhóm dùng chung MCP server mà không phải đồng bộ tay: commit vào repo, ai kéo code về cũng có. Docs Claude Code nói server khai báo ở đây cần mỗi người duyệt một lần trước khi dùng.

Luật quyền: allow, ask, deny

Luật quyền quyết định Claude được làm gì mà không cần hỏi. Claude Code xét deny trước, rồi ask, rồi allow. Docs nói rõ một luật allow không khoét được ngoại lệ trong một luật deny.

Cách viết đúng là hẹp theo việc thật cần, kèm deny rõ cho thao tác nhạy cảm:

{
  "permissions": {
    "allow": ["Bash(npm run test *)", "Bash(npm run lint *)", "Bash(git diff *)"],
    "ask": ["Bash(git push *)"],
    "deny": ["Read(./.env)", "Read(./.env.*)", "Bash(git push --force *)"]
  }
}

Trong ví dụ, git push thường thì Claude phải hỏi, còn git push --force thì bị cấm: lệnh khớp cả luật ask lẫn luật deny thì deny thắng.

Có một giới hạn cần nhớ: luật dạng Bash(...) so theo chuỗi lệnh, nên không phải ranh giới bảo mật tuyệt đối. Ví dụ trong docs gỡ lỗi cấu hình: deny Bash(rm *) không chặn được lệnh gọi bằng đường dẫn đầy đủ /bin/rm. Muốn chặn ở mức hệ điều hành thì bật sandbox.

Thứ bắt buộc thì đưa vào managed settings

Phòng an toàn thông tin muốn những thiết lập không ai tắt được. Chỗ duy nhất làm được việc đó là managed settings, đặt tập trung cho cả tổ chức. Docs Claude Code nêu ba cách phát: cấu hình trên máy chủ qua bảng quản trị của claude.ai, qua công cụ quản lý thiết bị (plist trên macOS, registry trên Windows), hoặc file managed-settings.json trong thư mục hệ thống như /etc/claude-code/ hay C:\Program Files\ClaudeCode\. Lập trình viên không ghi đè được giá trị managed. Có nhiều nguồn managed cùng lúc thì mặc định Claude Code chỉ dùng nguồn xếp hạng cao nhất (cấu hình từ máy chủ, rồi tới công cụ quản lý thiết bị, rồi tới file) và bỏ qua các nguồn còn lại. Dòng Setting sources trong /status cho biết máy đang nhận nguồn nào.

Vài thiết lập hay đặt trong managed settings để khoá chặt hơn. Nhóm allowManaged...Only chỉ được đọc từ managed:

Còn hướng dẫn cho Claude thì sao? Quy ước code, kiến trúc dự án nên ghi vào CLAUDE.md của repo và commit, để phiên nào cũng tự nạp, không ai phải gõ lại đầu mỗi phiên. Docs cũng có CLAUDE.md managed cho cả tổ chức. Nhưng docs nói rõ CLAUDE.md là ngữ cảnh, không phải cấu hình bắt buộc. Chặn đọc .env phải là luật deny, không phải một dòng "đừng đọc .env" trong CLAUDE.md.

Triển khai cho cả đội từng bước

Trang hướng dẫn quản trị của Claude Code đi theo các câu hỏi: dùng nhà cung cấp nào, phát cấu hình bằng cách nào, thứ gì cần ép, theo dõi mức dùng ra sao, dữ liệu đi đâu, và kiểm bằng /status trên một máy sau khi phát. Áp vào ví dụ, thứ tự hợp lý là:

1. Trước khi chạy thử: xác định quy trình làm việc của các nhóm, ranh giới bảo mật, và việc nào thuộc managed, việc nào thuộc project. Soạn cấu hình nền ở project scope: MCP server, luật quyền, subagent dùng chung.
2. Chạy thử với một nhóm nhỏ, lấy phản hồi.
3. Chỉnh và ổn định cấu hình nền theo kết quả chạy thử.
4. Mở rộng sang các nhóm khác, kèm tài liệu và một kênh hỗ trợ.

Skill (gói hướng dẫn và script Claude nạp khi cần) là chỗ dễ loạn khi đội lớn. Câu luyện thi có tình huống 280 lập trình viên trong 14 nhóm muốn dùng skill cho chuẩn code, checklist review, mẫu báo cáo sự cố. Cách quản lý được chấm đúng: mỗi nhóm tự viết skill của mình, nhưng có một cổng duyệt và phát hành chung. Để một nhóm trung tâm viết hết thì nghẽn; để ai cũng viết, không duyệt thì không ai tin được. Docs Claude Code gợi ý đóng gói skill dùng chung thành plugin để một nhóm nền tảng quản lý phiên bản ở một chỗ.