新機能：MDM ゼロタッチ配布（v0.73.0）
Jamf / Intune / Workspace ONE / Ivanti 等から macOS 13.5 以上の管理端末へ、Claude Code CLI と starter-kit をサイレントインストール（2026-07-19 リリース）。“標準作業台を配る”工程そのものが MDM に載ります。
| 要素 | 内容 |
|---|---|
| 配布 | mdm/install-mdm.sh：commit SHA（40桁）＋ policy SHA-256 の事前 pin を必須化。再実行は冪等で、drift を期待状態へ修復 |
| 検知 | mdm/detect-mdm.sh：Git 不要・固定 exit code。Jamf EA / Intune Custom Attribute へ組込む手順を同梱 |
| 監査 | root 保有の JSON receipt（schema v3・manifest / deployment / policy の SHA-256・対象 UID 束縛）＋ dry-run |
| 信頼境界 | root は checkout コードを実行しない。host-global lock で競合時は状態を変えず exit 21 |
| 更新統制 | MDM 管理下は auto-update・marketplace plugin・Codex Plugin を固定 OFF —— 版管理を MDM 側へ一元化 |
- Windows MDM は対象外（WSL2 は従来手順）／Xcode CLT は MDM baseline で事前配布が既定
- 配布と復元はできても「強制」は managed settings の役割 —— 役割分担は変わらない
配るのは MDM、縛るのは managed settings —— “作業台の配布”までゼロタッチに