Claude Code in einem Devcontainer

Eine sandbox-Entwicklungsumgebung zum sicheren Ausführen von Claude Code mit bypassPermissions. Entwickelt bei Trail of Bits für Sicherheitsaudit-Workflows.

Warum dies nutzen?

Claude mit bypassPermissions auf Ihrem Host-Computer auszuführen ist riskant – es kann ohne Bestätigung beliebige Befehle ausführen. Dieser Devcontainer bietet Dateisystem-Isolation, sodass Sie die Produktivitätsvorteile von uneingeschränktem Claude nutzen, ohne Ihr Hostsystem zu gefährden.

Konzipiert für:

• Sicherheitsaudits: Überprüfen Sie Client-Code, ohne Ihr Hostsystem zu gefährden
• Nicht vertrauenswürdige Repositories: Erkunden Sie unbekannte Codebasen sicher
• Experimentelle Arbeit: Lassen Sie Claude in Isolation Code frei modifizieren
• Multi-Repo-Engagements: Arbeiten Sie an mehreren zusammenhängenden Repositories

Voraussetzungen

• Docker-Laufzeitumgebung (eine von):

  • Docker Desktop – stellen Sie sicher, dass es läuft
  • OrbStack
  • Colima: brew install colima docker && colima start

• Für Terminal-Workflows (einmalige Installation):

  npm install -g @devcontainers/cli
  git clone https://github.com/trailofbits/claude-code-devcontainer ~/.claude-devcontainer
  ~/.claude-devcontainer/install.sh self-install
  

# Stop and delete current VM (removes containers/images)
colima stop && colima delete

# Start with optimized settings
colima start \
  --cpu 4 \
  --memory 8 \
  --disk 100 \
  --vm-type vz \
  --vz-rosetta \
  --mount-type virtiofs

Schnellstart

Wählen Sie das Muster, das zu Ihrem Workflow passt:

Muster A: Container pro Projekt (Isoliert)

Jedes Projekt erhält einen eigenen Container mit unabhängigen Volumes. Am besten geeignet für einmalige Überprüfungen, nicht vertrauenswürdige Repos oder wenn Sie Isolation zwischen Projekten benötigen.

Terminal:

git clone <untrusted-repo>
cd untrusted-repo
devc .          # Installs template + starts container
devc shell      # Opens shell in container

VS Code / Cursor:

1. Installieren Sie die Dev Containers-Erweiterung:

   • VS Code: ms-vscode-remote.remote-containers
   • Cursor: anysphere.remote-containers

2. Richten Sie den Devcontainer ein (wählen Sie eine Option):

   # Option A: Use devc (recommended)
   devc .
   
   # Option B: Clone manually
   git clone https://github.com/trailofbits/claude-code-devcontainer .devcontainer/
   

3. Öffnen Sie Ihren Projektordner in VS Code, dann:

   • Drücken Sie Cmd+Shift+P (Mac) oder Ctrl+Shift+P (Windows/Linux)
   • Geben Sie "Reopen in Container" ein und wählen Sie Dev Containers: Reopen in Container

Muster B: Gemeinsamer Workspace-Container (Gruppiert)

Ein übergeordnetes Verzeichnis enthält die Devcontainer-Konfiguration, und Sie klonen mehrere Repos darin. Gemeinsame Volumes über alle Repos hinweg. Am besten geeignet für Kunden-Engagements, zusammenhängende Repositories oder laufende Arbeiten.

# Create workspace for a client engagement
mkdir -p ~/sandbox/client-name
cd ~/sandbox/client-name
devc .          # Install template + start container
devc shell      # Opens shell in container

# Inside container:
git clone <client-repo-1>
git clone <client-repo-2>
cd client-repo-1
claude          # Ready to work

Token-basierte Authentifizierung (Headless)

Für headless-Server oder zum Überspringen des interaktiven Login-Assistenten:

claude setup-token                          # run on host, one-time
export CLAUDE_CODE_OAUTH_TOKEN=sk-ant-oat01-...
devc rebuild                                # rebuilds with token

Das Token wird in den Container weitergeleitet. Bei jeder Containererstellung führt post_install.py einen einmaligen Authentifizierungs-Handshake durch, sodass claude ohne den Login-Assistenten startet.

Dies umgeht den interaktiven Onboarding-Assistenten von Claude Code, der in Containern immer angezeigt wird, selbst mit gültigen Anmeldeinformationen (#8938).

Wenn Sie kein Token setzen, funktioniert der interaktive Login-Ablauf wie zuvor.

CLI-Hilfebefehle

devc .              Vorlage installieren + Container im aktuellen Verzeichnis starten
devc up             Devcontainer starten
devc rebuild        Container neu erstellen (behält persistente Volumes)
devc destroy [-f]   Container, Volumes und Image für aktuelles Projekt entfernen
devc down           Container anhalten
devc shell          zsh-Shell im Container öffnen
devc exec CMD       Befehl im Container ausführen
devc upgrade        Claude Code im Container aktualisieren
devc mount SRC DST  Bind-Mount hinzufügen (Host → Container)
devc sync [NAME]    Claude Code-Sitzungen von Devcontainern auf den Host synchronisieren
devc template DIR   Devcontainer-Dateien in Verzeichnis kopieren
devc self-install   devc nach ~/.local/bin installieren

Hinweis: Verwenden Sie devc destroy, um die Docker-Ressourcen eines Projekts zu bereinigen. Das manuelle Entfernen von Containern (z. B. docker rm) hinterlässt verwaiste Volumes und Images, die devc destroy nicht finden kann.

Sitzungssynchronisation für /insights

Der Befehl /insights von Claude Code analysiert Ihren Sitzungsverlauf, liest aber nur von ~/.claude/projects/ auf dem Host. Sitzungen in Devcontainer-Volumes sind für ihn unsichtbar.

devc sync kopiert Sitzungsprotokolle von allen Devcontainern (laufende und gestoppte) auf den Host, sodass /insights sie einbeziehen kann:

devc sync              # Sync all devcontainers
devc sync crypto       # Filter by project name (substring match)

Devcontainer werden automatisch über Docker-Labels erkannt – es ist nicht nötig, Containernamen oder -IDs zu kennen. Die Synchronisation ist inkrementell, daher kann sie wiederholt ausgeführt werden.

Dateifreigabe

VS Code / Cursor

Ziehen Sie Dateien von Ihrem Host in das VS Code Explorer-Panel – sie werden automatisch in /workspace/ kopiert. Keine Konfiguration erforderlich.

Terminal: devc mount

Um ein Host-Verzeichnis im Container verfügbar zu machen:

devc mount ~/drop /drop           # Read-write
devc mount ~/secrets /secrets --readonly

Dies fügt einen Bind-Mount zu devcontainer.json hinzu und erstellt den Container neu. Vorhandene Mounts bleiben bei devc template-Aktualisierungen erhalten.

Tipp: Ein gemeinsamer "Drop-Ordner" ist nützlich, um Dateien zu übergeben, ohne Ihr gesamtes Home-Verzeichnis zu mounten.

Sicherheitshinweis: Vermeiden Sie das Mounten großer Host-Verzeichnisse (z. B. $HOME). Jeder gemountete Pfad ist von innen schreibbar, es sei denn, --readonly ist angegeben, was die Dateisystem-Isolation untergräbt, die dieses Projekt bietet.

Netzwerkisolation

Standardmäßig haben Container vollen ausgehenden Netzwerkzugriff. Für strengere Sicherheit verwenden Sie iptables, um den Netzwerkzugriff einzuschränken.

Wann Netzwerkisolation aktivieren

• Überprüfen von Code, der bösartige Abhängigkeiten enthalten könnte
• Auditieren von Software mit Telemetrie- oder Phone-Home-Verhalten
• Maximale Isolation für hochsensible Überprüfungen