Codex CLI の approval mode と sandbox 設定の違い:安全に自動実行させる組み合わせ

このエラー文が出ている時点で、granular 形式の approval policy が実際に効いています。approval_policy は on-request、never、または { granular = { ... } } の 3 形態で、granular 形式では承認プロンプトの種類ごとに「出すか、自動で拒否するか」を決めます。公式の設定リファレンスに載っているフィールドは次の 5 つです。

sandbox_approval が false だと、サンドボックスのエスカレーション承認はプロンプトを出さずに拒否されます。エラー文はその状態をそのまま述べたものです。対話的に承認したいなら、~/.codex/config.toml に次のどちらかを書きます。

# 承認プロンプトをすべて出す(対話実行の推奨値)
approval_policy = "on-request"

# 種類を選んで出す
[approval_policy.granular]
sandbox_approval = true
rules = true
mcp_elicitations = true
request_permissions = true
skill_approval = true

untrusted は未サポート、on-failure は非推奨で、対話実行では on-request を使うよう公式に案内されています。

ユーザーの config.toml に approval_policy を書いていないのにこのエラーが出る場合、値はそれ以外の経路から来ています。公式ドキュメントには、Agent Security UI で管理者が「Allowed approval policies」を指定する managed requirements の仕組みが載っており、これは管理者側の設定でユーザー設定ではありません。もう 1 つ関係するキーが approvals_reviewer で、「on-request または granular の承認ポリシーで、対象の承認プロンプトを誰がレビューするか」を決め、既定は user です。この設定はサンドボックス自体や、サンドボックス内で既に許可されている動作を変えません。

設定の全体像は Codex の承認ポリシーとサンドボックスの設定 にまとめてあります。

このメッセージは「その操作は承認を求める必要があるが、承認ポリシーが never なので誰にも聞けない」という状態を指しています。承認を出せないので、そのまま拒否されます。

2026 年 10 月 6 日時点の公式設定リファレンスでは、approval_policy に指定できる形は 3 つです。

ドキュメントにはこう書かれています。

untrusted is unsupported, and on-failure is deprecated; use on-request for interactive runs or never for non-interactive runs.

(untrusted はサポートされず、on-failure は非推奨です。対話的な実行には on-request、非対話的な実行には never を使ってください。)

手元で操作しながら使っているなら、never ではなく on-request が想定された値です。

approval_policy = "on-request"

一部の確認だけ出したい場合は granular を使います。true にした種類だけ確認が表に出て、false の種類は自動的に拒否されます。

[approval_policy.granular]
sandbox_approval = true      # サンドボックスのエスカレーション確認
rules = true                 # execpolicy の prompt ルールによる確認
mcp_elicitations = true      # MCP の elicitation
request_permissions = true   # request_permissions ツールからの確認
skill_approval = true        # スキルスクリプトの承認確認

外部サービスの操作が止まる場合は mcp_elicitations が関係します。never のままだと、MCP サーバーからの確認要求が自動で拒否されるため、サインインや許可を求める操作が進みません。

なお、引用元の報告は「同じ操作が Web では成功し、デスクトップアプリでは失敗する」という内容で、bug ラベルが付いています。プラットフォーム間で有効な承認ポリシーが食い違う原因そのものは、公式ドキュメントでは確認できませんでした。 設定を直しても解消しない場合は、その報告の経過を追ってください。

承認ポリシーとサンドボックスの組み合わせは Codex の承認モードとサンドボックスを使い分ける にまとめています。

はい。workspace-write サンドボックスは既定でネットワークを遮断するため、パッケージのダウンロードが失敗します。承認ポリシーが on-failure なら「サンドボックス外で再実行してよいか」を聞かれるので許可すれば通ります。毎回聞かれたくない場合は ~/.codex/config.toml でネットワークだけ許可します。

sandbox_mode = "workspace-write"

[sandbox_workspace_write]
network_access = true

ネットワークを許可すると外部へのデータ送信も可能になるので、信頼できるリポジトリでだけ有効にしてください。調査だけの作業は read-only のままで問題ありません。