社内で Claude Code を安全に使うには？実行環境の選び方とセキュリティ設定

社内で Claude Code を安全に使うには、権限・ネットワーク・データの扱いを管理者用の設定（managed settings）で全社員に固定し、確認なしで動く全自動（--dangerously-skip-permissions）は、認証情報を置かない隔離環境（devcontainer、社内の VM、使い捨てのクラウド VM）の中だけで許します。社内の PC や VM で動かせば、コードと実行は社内に残ります。社外に出るのは、推論のために Anthropic（Bedrock などならそのクラウド）に送る会話（指示、読んだファイルの中身、応答）と、MCP サーバーや許可したドメインに Claude が送ったものです。

商用の契約（Team、Enterprise、API）では、送った会話は学習に使われず、標準の保存期間は 30 日です。Enterprise の対象の組織は、保存しない契約（ZDR）も結べます。推論まで国内で済ませたいなら、Amazon Bedrock の日本国内のプロファイルを使います。

この記事の Claude Code の仕様は、2026 年 11 月 8 日に読んだ Anthropic の公式ドキュメント（code.claude.com）によるものです。その日の npm の最新版は 2.1.319（11 月 6 日公開）でした。Claude Code は毎週のように変わります。稟議書や社内ガイドラインに写すときは、リンク先で日付と版を確かめてください。

守るものは 4 つ：ソースコード、認証情報、顧客データ、本番

先に、何を守るのかを決めます。設定はそのあとです。

Anthropic は、隔離について「ネットワークに出られる環境なら、エージェントが読めるデータは漏れうる」と書いています（“Any approach that allows network egress can still leak data the agent can read”、Sandbox environments）。サンドボックスは被害を小さくするもので、なくすものではありません。いちばん確かな手当ては、実行環境に置かないことです。

Anthropic の管理機能：managed settings、権限、サンドボックス

managed settings は社員が上書きできない

managed settings は、会社が全社員の端末に配る Claude Code の設定です。社員の設定ファイル、リポジトリの設定、起動時の --settings のどれよりも優先されます（Deploy managed settings）。配り方は 3 つあります。

• サーバーから配る: claude.ai の管理画面（Organization settings > Claude Code > Managed settings）で決めます。Team と Enterprise で使えます。Claude Code は起動時に取りに行き、1 時間ごとに読み直します（Server-managed settings）
• MDM で配る: macOS の構成プロファイル（com.anthropic.claudecode）か Windows のレジストリ（HKLM\SOFTWARE\Policies\ClaudeCode）に置きます。Jamf、Intune、グループポリシーが使えます
• ファイルで配る: macOS は /Library/Application Support/ClaudeCode/managed-settings.json、Linux と WSL は /etc/claude-code/managed-settings.json、Windows は C:\Program Files\ClaudeCode\managed-settings.json に置きます

サーバーから配る設定には注意がいります。Anthropic は、これを「セキュリティの境界ではなく、端末の側で効く制御」とし、管理していない端末では管理者の権限なしに外せると書いています（“a client-side control, not a security boundary. On unmanaged devices, a user doesn't need admin or sudo access to bypass them”）。社員が Bedrock などのクラウドに切り替えた場合も、サーバーから配る設定は効きません。外せないことが要件なら、MDM で管理する端末に、MDM かファイルで配ります。

配り方を重ねると、既定では優先度のいちばん高い 1 つ（サーバー、MDM、ファイルの順）だけが使われ、残りは警告なしに無視されます。サーバーから配る設定と managed-settings.json を重ねるなら、サーバーの設定に "managedSourcesBehavior": "merge" を入れます。無視された配り方は /status の Skipped sources に出ます。

配ったら、1 台で Claude Code を開いて /status を打ちます。Setting sources の行に Enterprise managed settings (file) のように配り方が出れば、効いています。

最初に固定する設定

次の JSON は、Anthropic のドキュメントの例（managed settings、サンドボックス、ログインの制限、OpenTelemetry）を 1 つにまとめたものです。キーはどれもドキュメントのとおりですが、Convika の手元では Enterprise の組織で試していません。

{
  "permissions": {
    "deny": ["Read(.env)", "Read(.env.*)", "Read(./secrets/**)"],
    "disableBypassPermissionsMode": "disable"
  },
  "sandbox": {
    "enabled": true,
    "failIfUnavailable": true,
    "allowUnsandboxedCommands": false,
    "credentials": {
      "files": [
        { "path": "~/.aws/credentials", "mode": "deny" },
        { "path": "~/.ssh", "mode": "deny" }
      ]
    }
  },
  "forceLoginMethod": "claudeai",
  "forceLoginOrgUUID": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "requiredMinimumVersion": "2.1.311",
  "env": {
    "CLAUDE_CODE_ENABLE_TELEMETRY": "1",
    "OTEL_METRICS_EXPORTER": "otlp",
    "OTEL_LOGS_EXPORTER": "otlp",
    "OTEL_EXPORTER_OTLP_PROTOCOL": "grpc",
    "OTEL_EXPORTER_OTLP_ENDPOINT": "http://collector.example.com:4317"
  }
}

ネットワークは、許可するドメインを sandbox.network.allowedDomains に書き、sandbox.network.allowManagedDomainsOnly を true にすると、管理者が書いたドメインだけに絞れます（Sandboxing）。このとき、リポジトリの設定ファイルはサンドボックスを緩められません（Claude Code 2.1.285 から）。

Windows の社用 PC では、もう一つ確かめることがあります。サンドボックスは macOS、Linux、WSL2 で動き、素の Windows では動きません。failIfUnavailable を配ると、素の Windows では Claude Code が起動しなくなります。Windows の社員には WSL2 の中で使ってもらうか、この設定を macOS と Linux の端末にだけ配ります。WSL2 の /etc/claude-code は利用者が書き換えられます。外せないことが要件なら、Windows の HKLM か C:\Program Files\ClaudeCode\managed-settings.json に "wslInheritsWindowsSettings": true を入れ、WSL にも Windows の設定を読ませます。

既定は auto mode になった

Claude Code 2.1.283 から、ターミナルと VS Code のセッションは auto mode で始まります（Permission modes）。auto mode では、人の代わりに別のモデル（分類器）が操作を確かめ、危ないと判断したものを止めます。Anthropic は、この分類器を「操作ごとの制御で、隔離の境界ではない」としています（“a per-action control, not an isolation boundary”、Sandbox environments）。

社員の PC では、auto mode とサンドボックスを組み合わせるのを標準にし、全自動（bypass）だけを止めるのが現実的です。操作のたびに人が承認する決まりの会社は、permissions.disableAutoMode を "disable" にして auto mode を外します。

プランで変わること

出典は Anthropic の Data usage、Zero data retention、Set up Claude Code for your organization、Enterprise deployment overview、Use Claude Code in the cloud、Self-hosted environments です（すべて 2026 年 11 月 8 日に読んだもの）。Anthropic の SOC 2 Type 2 の報告書と ISO 27001 の認証書は、Anthropic Trust Center で入手できます。

情報漏洩のリスク：社内に残るもの、Anthropic に届くもの

どこで動かしても、推論に使う会話は社外に出ます。Anthropic は、隔離は「モデルに送るものを変えない」と書いています（“Isolation also does not change what is sent to the model. Your prompts and the files Claude reads are transmitted to the Anthropic API or your configured provider with or without a sandbox”）。稟議書には、次の 4 つを分けて書きます。

• 実行（コマンド、ビルド、テスト）: 社員の PC、devcontainer、社内の VM、セルフホストの実行環境なら社内です。クラウドセッションは Anthropic の VM、使い捨てのクラウド VM のサービスはその事業者の基盤で動きます
• 会話（指示、Claude が読んだファイルの中身、応答）: 推論のために Anthropic に送られます。Bedrock などを使うなら、そのクラウドに送られます
• Anthropic での保存: 商用の契約は標準で 30 日です。ZDR の組織は、応答を返したあとに保存しません。ただし利用ポリシー（Usage Policy）の違反と判定されたセッションは、ZDR でも最大 2 年保存されることがあります。/feedback で送った記録は 5 年保存されます（DISABLE_FEEDBACK_COMMAND=1 で止められます）。セッション中に出る評価のアンケートのあとで記録の送信を選ぶと、コードを含む記録が最大 6 か月保存されます（CLAUDE_CODE_DISABLE_FEEDBACK_SURVEY=1 で止められます）
• 社員の PC での保存: Claude Code は、セッションの記録を ~/.claude/projects/ に平文で 30 日残します（cleanupPeriodDays で変えられます）。PC のディスクの暗号化は、この記録も守る前提で決めます

個人のアカウントで使わせない

Free、Pro、Max、Ultra の個人のプランでは、本人がオンにしていれば会話が学習に使われ、保存期間は 5 年になります（Data usage）。会社の ZDR も、会社の組織にログインしたセッションにしか効きません。上の forceLoginMethod と forceLoginOrgUUID で、会社の組織以外のログインを止めます。

ZDR を選ぶと使えなくなるもの

ZDR の組織では、保存が前提の機能が止まります。クラウドセッション、Remote Control、/feedback などです（Zero data retention）。セルフホストの実行環境も使えません。ZDR は推論の会話にだけ効き、MCP のサーバーやほかの外部の連携が扱うデータは対象外です。ZDR が要件なら、実行環境は社員の PC、devcontainer、社内の VM から選びます。

推論も国内で済ませるには

Claude を Amazon Bedrock 経由で使い、日本国内のクロスリージョン推論（jp. で始まるプロファイル）を選びます。AWS は、このプロファイルの推論は東京と大阪のリージョンだけに送られ、「データが国外に出ることはありません」と書いています（AWS のブログ、2025 年 10 月 16 日）。

Claude Code では、環境変数 ANTHROPIC_BEDROCK_REGION_PREFIX に jp を指定します。東京リージョン（ap-northeast-1）を指定しただけでは、Claude Code はアジア太平洋の apac. のプロファイルを選びます（Amazon Bedrock）。この指定は「保証ではなく優先」で、jp. のプロファイルがないモデルは別のプロファイルに切り替わることがあります。確実にするには、IAM で jp. のプロファイルしか呼べないようにして、使うモデルに jp. のプロファイルがあるかを自社の AWS アカウントで確かめます。

Bedrock の認証で使うセッションには、サーバーから配る managed settings が届きません。クラウドセッションと Remote Control は claude.ai のアカウントが要るので、Bedrock の認証だけでは使えません。

実行環境の比較：6 つの選択肢

Claude の契約の費用はどの行にもかかるので、費用の列には実行環境のぶんだけを書きました。

費用の出典は、Docker のライセンスの説明と料金ページ（2026 年 11 月 8 日）、AWS の EC2 のオンデマンド料金の価格データ（2026 年 11 月 7 日公開）、Anthropic の Use Claude Code in the cloud です。EC2 は、1 日 8 時間・月 20 日で約 $35 です。

表に収まらない注意

• 社員の PC ＋サンドボックス: サンドボックスが包むのはシェルのコマンドだけです。Claude のファイルの読み書きは権限のルールに従い、MCP のサーバーとフックはサンドボックスの外で社員の権限のまま動きます。既定では ~/.ssh や ~/.aws/credentials も読めるので、sandbox.credentials で塞ぎます
• devcontainer: Anthropic は、コンテナを使うことは「決まりであって、強制の境界ではない」と書いています（“a convention rather than an enforcement boundary”）。Claude Code はコンテナの外でも動くからです。コンテナの外で使わせないなら、MDM やソフトウェアの許可リストで止めます。全自動で動かすと、コンテナの中の Claude のログイン情報も持ち出されうるので、信頼できるリポジトリだけに使います
• 社内の VM: Anthropic は VM を「最も強い分離」としていて、信頼できないコードを扱うときや、規程でカーネルからの分離が要るときに勧めています。そのぶん、イメージ、パッチ、出口の制御を自社で持ちます
• クラウドセッション: GitHub の認証情報は Anthropic のサーバーに暗号化して置かれ、VM には入りません。ネットワークを None にしても、Claude Code から Anthropic の API への通信は通ります。VM が動く国や地域は、11 月 8 日に読んだドキュメントには見当たりませんでした。ZDR の組織では使えません
• セルフホストの実行環境: Anthropic は、リポジトリ、ビルドの成果物、シークレット、セッションがつくったファイルは自社のマシンに残り、会話（指示、応答、ツールの結果）は api.anthropic.com に送られて記録が保存される、と書いています。Team と Enterprise の公開ベータで、既定ではオフです
• 使い捨てのクラウド VM のサービス: 1 台を複数の会社で分け合う基盤です。何を確かめるかは、後の「2026 年 10 月の脆弱性と侵害から」に書きました

どれを選ぶか

• 全社員の標準: 社員の PC ＋ managed settings ＋サンドボックス。全自動は止めます
• 全自動や長い作業: 信頼できるリポジトリなら devcontainer、そうでなければ社内の VM。コードを社外の VM に置いてよければ、クラウドセッションの auto mode
• 信頼できないリポジトリ: 専用の VM か、クラウドセッション（Anthropic の推奨どおり）
• コードを社外に置けない: 社内の VM か、セルフホストの実行環境
• ZDR が要件: 社員の PC、devcontainer、社内の VM。クラウドセッションとセルフホストの実行環境は使えません

全自動（--dangerously-skip-permissions）を許すなら

全自動のモードでは、Claude は確認なしにコマンドを実行し、ファイルを書き換えます。Anthropic は、このモードを「必ずコンテナ、VM、サンドボックスランタイムの中で動かす」よう書いています（“Always run --dangerously-skip-permissions sessions inside a container, a VM, or the sandbox runtime”）。社内ガイドラインには、場所と条件を合わせて書きます。

1. 場所: devcontainer、社内の VM、使い捨てのクラウド VM の中だけ。社員の PC の素の環境では、disableBypassPermissionsMode で止めたままにします
2. 中に置かないもの: SSH 鍵、クラウドの鍵、本番の鍵、顧客データ。渡すのは、リポジトリ 1 つに絞った短命のトークン（GitHub の fine-grained token など）だけです。Anthropic も、~/.ssh やクラウドの認証ファイルをコンテナに持ち込まず、リポジトリ単位か短命のトークンを使うよう書いています
3. ネットワーク: パッケージのレジストリ、GitHub、推論先など、要るドメインだけを許可します
4. ユーザー: root で動かしません。Linux と macOS の Claude Code は、root ではこのモードで起動しません
5. 結果の戻し方: ブランチと PR で戻し、main への push はブランチ保護で止めます。人がレビューしてからマージします
6. 後始末: 終わったら環境を捨てます。捨てられない環境なら、書き込めたパスに何が残ったかを確かめてから次に使います

開発者 1 人が自分のパソコンで隔離環境を作る手順（Docker Sandboxes、devcontainer、クラウド VM）と料金の比較は「Claude Code の --dangerously-skip-permissions を安全に使うには」に書きました。

managed settings の deny ルールは、全自動のモードでも効きます。全自動の環境にも、社員の PC と同じ deny のリストを配ります。

Anthropic のクラウドセッションには、全自動のモードがありません。選べるのは Accept edits、Plan、Auto の 3 つです（Permission modes）。Anthropic の VM の中で auto mode を使えば、人が見ていなくても作業は進むので、コードを社外の VM に置いてよい会社には全自動の代わりになります。

監査とログ：OpenTelemetry、フック、管理画面

OpenTelemetry で利用を記録する

Claude Code は、セッション、ツールの実行、トークンの量を OpenTelemetry で書き出せます（Monitoring）。上の JSON のように managed settings の env で配ると、送り先は管理者が決めたところに固定されます。リポジトリの設定ファイルからは、記録をオンにすることも、送り先を変えることもできません。

既定では、指示の本文とツールの中身（Bash のコマンド、ファイルのパス）は記録されません。監査に使うなら OTEL_LOG_TOOL_DETAILS=1、指示の本文まで残すなら OTEL_LOG_USER_PROMPTS=1 を足します。社員の書いた文が残るので、社内の個人情報の扱いと合わせて決めます。届いたかどうかは、収集先に claude_code.session.count が来るかで確かめます。

フックで止めて、残す

フックは、Claude Code がツールを使う直前や設定が変わったときに、決めたスクリプトを動かす仕組みです。

• PreToolUse: git push や本番のコマンドなど、決めた操作を実行の前に止めます。書き方とテストは「Claude Code のガードレールはフックで作る」に載せました
• ConfigChange: 設定ファイルが変わったときに動き、変更を記録したり止めたりできます。ただし、managed-settings.json の変更は止められず、サーバーから配る設定や MDM の設定の変更では動きません
• allowManagedHooksOnly: managed settings で true にすると、会社が配ったフックだけが動きます。フックはサンドボックスの外で社員の権限のまま動くので、リポジトリに入っているフックを勝手に動かさないために使います

管理画面と API

Team と Enterprise には、利用の状況を見る分析の画面があります。Enterprise には Compliance API があり、サーバーから配る設定をだれが何に変えたかも取り出せます。リクエストごとの記録が要るなら、Anthropic は社員と推論先の間にゲートウェイ（Claude apps gateway など）を置くよう勧めています。クラウドセッションの操作は、Anthropic の側ですべて記録されます。

2026 年 10 月の脆弱性と侵害から：マルチテナントの VM で見ること

10 月には、1 台の基盤を多くの利用者で分け合う VM で、脆弱性の公表と、管理サーバーを経由した侵害が 1 つずつありました。

Linux カーネルの脆弱性 PwnEscape（CVE-2026-99999）。 VM の中から送った細工したパケットで、ホストのメモリを読み、条件がそろえばホストでコードを実行できる脆弱性です（CSO Online、10 月 20 日）。研究者は Vercel のサンドボックスの懸賞で見つけ、本番のサンドボックスからホストのメモリが漏れることを示しました。Vercel は、顧客のファイルや秘密情報に触れた報告はないとしています。修正はホストのカーネルに当てる必要があり、VM の中を更新しても直りません。国内では、さくらインターネットが 10 月 16 日から VPS などの新規申し込みを止め（@IT、10 月 20 日）、お名前.com は 10 月 19 日 16 時から VPS（KVM）の新規申し込みを止めました（お名前.com のお知らせ）。AWS は、EC2、Lambda、Fargate は影響を受けないとしています。

お名前.com デスクトップクラウドへの不正アクセス。 11 月 2 日の GMO の記者会見によると、攻撃者は 8 月 5 日に利用者のリモートデスクトップの VPS に入り、8 月 17 日に管理者のアカウントを奪って GMO の管理サーバーに入りました。9 月 20 日から 10 月 14 日に、その管理サーバーから最大 26,739 台の利用者の VM にマルウェアが配られ、GMO が気づいたのは 10 月 20 日、利用者からの問い合わせがきっかけでした。リモートデスクトップのドライブ共有が既定でオンだったため、利用者の手元の PC のファイルまで抜き取られました（@IT、11 月 3 日）。経緯は「お名前.com デスクトップクラウド不正アクセスの対象範囲」にもまとめています。

2 つから分かるのは、マルチテナントの VM の安全は、自分の VM の設定だけでは決まらないということです。事業者に次の 4 つを聞き、答えを稟議書に残します。

1. 隔離の方式（microVM、VM、コンテナ）と、ホストのカーネルの修正を何日で当てるか
2. 事業者の管理系（管理サーバー、管理者アカウント）から利用者の VM に何ができ、その操作をだれがどう監視しているか
3. VM から社員の PC につながる機能（ドライブ共有、クリップボード）を既定で切れるか
4. 侵害に気づいたとき、いつ、どこに知らせるか

利用者の側でできるのは、長く使える鍵を VM に置かず、作業ごとに VM を捨てることです。破られても、持っていかれるものと、居座られる時間が減ります。

社内ガイドラインに入れるチェックリスト

1. 契約: Team か Enterprise、または Bedrock などの法人の契約で使う。個人の Free、Pro、Max、Ultra のアカウントで会社のコードを扱わない
2. ログイン: forceLoginMethod と forceLoginOrgUUID で、会社の組織以外のログインを止める
3. 配り方: MDM か managed-settings.json で配る。管理していない端末では、サーバーから配る設定だけに頼らない。サーバーから配る設定と重ねるなら managedSourcesBehavior を "merge" にする
4. 権限: disableBypassPermissionsMode で社員の PC の全自動を止める。.env や秘密のフォルダの読み取りを deny にする
5. サンドボックス: enabled、failIfUnavailable、allowUnsandboxedCommands: false、鍵のフォルダの credentials を配る。Windows の社員は WSL2 で使う
6. ネットワーク: 許可するドメインを、allowManagedDomainsOnly で管理者のものだけにする
7. 全自動: 「全自動（--dangerously-skip-permissions）を許すなら」の 6 つの条件（場所、中に置かないもの、ネットワーク、ユーザー、結果の戻し方、後始末）をすべて満たす隔離環境の中だけで許す
8. データ: 学習に使われないこと、保存期間（30 日か ZDR か）、MCP や外部の連携は ZDR の対象外であることを稟議書に書く。推論の国内処理が要件なら、Bedrock の jp. のプロファイルを使う
9. 記録: OpenTelemetry の送り先を managed settings で固定し、コマンドや指示の本文まで残すかを決める
10. 版: requiredMinimumVersion で古い版を止め、Claude Code の変更履歴を月に 1 回読む。auto mode が既定になったように、既定の動きが変わる
11. 確かめる: 配ったら 1 台で /status と claude doctor を見て、設定が効いているかを確かめる

Convika は、人間 1 人と役割を分けた Claude Code のエージェントで運営していて、エージェントの push と本番のタグ付けはフックで止めています（17 日間の記録）。この仕組みを自社の PC と自社の業務 1 本で組み立てる法人向けのオンライン講座「Claude Codeによる事業立ち上げワークショップ」を開いていて、社内説明用の 1 枚と見積書も受け取れます。

よくある質問

Claude Code は会社で使っても安全ですか？

設定と契約しだいです。Team か Enterprise の契約で使い、managed settings で全自動を止め、サンドボックスとネットワークの許可リストを全社員に配れば、社員の PC でも事故の範囲を絞れます。全自動は、認証情報を置かない隔離環境の中だけで許します。Anthropic 自身も、サンドボックスは被害を小さくするもので、なくすものではないと書いています。

Claude Code に入力したソースコードは学習に使われますか？

Team、Enterprise、API、Bedrock などのクラウド経由の商用の契約では使われません。Anthropic は、商用の契約で Claude Code に送ったコードや指示で生成モデルを学習しないと書いています（会社が Development Partner Program などでデータの提供を選んだ場合を除く）。個人の Free、Pro、Max、Ultra のプランでは、本人がオンにしていれば学習に使われます（2026 年 11 月 8 日に読んだ Data usage）。

Claude Code のデータは日本国内で処理できますか？

推論は、Amazon Bedrock の日本国内のプロファイル（jp.）を使えば、東京と大阪のリージョンの中で処理されます。Claude Code では ANTHROPIC_BEDROCK_REGION_PREFIX=jp を指定し、IAM で jp. 以外のプロファイルを呼べないようにします。実行は、社員の PC、社内の VM、セルフホストの実行環境を国内に置けば国内です。Anthropic のクラウドセッションの VM の場所は、ドキュメントに書かれていません。

--dangerously-skip-permissions を社内で禁止するには？

managed settings で permissions.disableBypassPermissionsMode を "disable" にします。Claude Code は --dangerously-skip-permissions を拒み、サブエージェントの定義に書いた bypass も無視します。社員が外せないよう、MDM か managed-settings.json で配ってください。全自動を使う隔離環境には、この設定を入れない別の managed settings を配ります。

Windows の社用 PC でもサンドボックスは使えますか？

素の Windows では使えません。Claude Code のサンドボックスは macOS、Linux、WSL2 で動き、素の Windows ではコマンドがサンドボックスなしで動きます。Windows の社用 PC では WSL2 の中で Claude Code を使うか、コンテナか VM の中で動かします。failIfUnavailable を配ると、素の Windows では Claude Code が起動しなくなるので、配る端末を OS ごとに分けます。

クラウドセッション（Claude Code on the web）は社内で使っていい？

コードを社外の VM に置いてよいなら使えます。Anthropic の隔離された VM で動き、GitHub の認証情報は VM に入らず、ネットワークは既定で許可リストの範囲（Trusted）です。全自動のモードはなく、auto mode までです。VM の別料金はなく、プランの利用枠を使います。ただし、リポジトリは Anthropic の VM に clone され、セッションの記録も Anthropic が保存します。ZDR の組織では使えません。コードを社内に置く必要があるなら、セルフホストの実行環境（Team と Enterprise の公開ベータ）を検討します。

個人の Pro や Max のプランで会社のコードを扱ってもいい？

勧めません。個人のプランは消費者向けの規約で、本人がオンにしていれば会話が学習に使われ、保存期間は 5 年になります。サーバーから配る managed settings と ZDR は、会社の組織にログインしたときにしか効きません。会社の Team か Enterprise の席を用意し、forceLoginOrgUUID で会社の組織以外のログインを止めます。