Artikel ini menjelaskan cara Claude Cowork berjalan di perangkat anggota dan kontrol admin yang tersedia untuk membatasi cakupannya di perangkat yang dikelola.
Artikel ini untuk admin Enterprise. Arsitektur yang dijelaskan di sini sama di semua paket. Kontrol admin tingkat perangkat di akhir berlaku untuk paket Team dan Enterprise.
Dua lingkungan eksekusi Claude Cowork
Claude Cowork menggunakan dua lingkungan eksekusi di setiap perangkat anggota:
Loop agen berjalan secara native di perangkat. Ini mencakup penanganan percakapan Claude, pembacaan dan penulisan file di folder yang terhubung, pengambilan web, dan server MCP plugin lokal. Akses diatur oleh sistem izin tingkat aplikasi yang memberlakukan aturan folder terhubung anggota dan pengaturan egress jaringan organisasi Anda.
Eksekusi kode berjalan di mesin virtual (VM) yang terisolasi. Perintah shell dan kode apa pun yang ditulis Claude dijalankan di dalam VM Linux khusus, terisolasi dari sistem operasi host oleh hypervisor platform (Apple Virtualization.framework di macOS, Hyper-V di Windows). VM memberlakukan penyaringan egress jaringan, pembatasan syscall, dan isolasi pengguna per-sesi.
Ikhtisar arsitektur keamanan desktop Claude Cowork di Trust Center kami untuk gambaran teknis yang lebih detail.
Kontrol admin untuk perangkat yang dikelola
Dua kunci MDM memungkinkan Anda membatasi cakupan Cowork di perangkat yang dikelola. Keduanya adalah pengaturan tingkat perangkat yang diterapkan melalui solusi MDM Anda, bukan dari pengaturan organisasi.
Nonaktifkan server MCP lokal: Atur isLocalDevMcpEnabled ke false untuk menonaktifkan server MCP bundel plugin dan yang dikonfigurasi secara lokal.
Nonaktifkan ekstensi desktop: Atur isDesktopExtensionEnabled ke false untuk memblokir server ekstensi MCPB dan DXT agar tidak berjalan.
Kedua kontrol dijelaskan dalam Konfigurasi Enterprise untuk Claude Desktop.
Sakelar Cowork di seluruh organisasi di Pengaturan Organisasi > Cowork (Aktifkan untuk organisasi Anda) mengontrol apakah Cowork tersedia sama sekali. Kontrol tingkat perangkat di atas hanya berlaku ketika Cowork diaktifkan.
Pertanyaan yang sering diajukan
Organisasi saya mulai menggunakan Cowork selama pratinjau penelitian. Apakah artikel ini berlaku untuk saya?
Belum. Organisasi Anda masih menggunakan arsitektur yang lebih lama dan sedang dimigrasikan ke arsitektur yang dijelaskan di sini. Kami akan mengirim email ke admin organisasi Anda sebelum peralihan.
Apa yang terjadi jika perangkat anggota tidak dapat memulai VM?
Cowork terus menjalankan alat file dan web saat VM tidak tersedia. Perintah shell dan eksekusi kode melaporkan "workspace tidak tersedia" hingga VM pulih.
Apakah aktivitas Cowork muncul dalam log audit?
Saat ini tidak. Aktivitas Cowork tidak ditangkap dalam log audit, API Kepatuhan, atau ekspor data. Untuk panduan tentang memantau aktivitas Cowork, lihat Pantau aktivitas Claude Cowork dengan OpenTelemetry.
Dapatkah alat deteksi endpoint (EDR) memeriksa aktivitas di dalam VM?
Tidak. VM terisolasi dari alat keamanan berbasis host dengan desain. Jika postur kepatuhan Anda bergantung pada visibilitas endpoint, pertimbangkan hal ini sebelum meluncurkan Cowork.