選ぶと設定の行ができる
上から順に選ぶと、下の欄に config.toml の行が出ます。「書かない」を選んだ項目は行を作りません（Codex の既定のまま動きます）。よく使われる組み合わせは、公式の「Common sandbox and approval combinations」の5つをボタンにしました。
config.toml に書く行
# 項目を選ぶと、ここに行が出ます
同じ動きを1回だけ CLI で試すとき
codexモデル名（model）はこの道具に入れていません。選べるモデルは入れ替わりが早く、たとえば GPT-5.5 は2026年10月14日に ChatGPT・Codex から提供終了になります。モデルはCodexのモデル選択で、いま選べる名前を確かめてから書いてください。
書いた行をどこに置くか
自分用の既定は ~/.codex/config.toml に書きます。プロジェクトだけに効かせたい時は、そのリポジトリに .codex/config.toml を置きます。ただしプロジェクトの .codex/ は、そのプロジェクトを信頼した時だけ読み込まれます。IDE 拡張からは、右上の歯車から Codex Settings > Open config.toml で開けます。CLI と IDE 拡張は同じ設定の層を使います。
| 強い順 | どこで決めるか |
|---|---|
| 1 | CLI のフラグと --config（-c）での上書き |
| 2 | プロジェクトの .codex/config.toml（今いるフォルダに近いものが勝つ・信頼したプロジェクトだけ） |
| 3 | --profile 名前 で選んだプロファイルのファイル（~/.codex/名前.config.toml） |
| 4 | 自分用の ~/.codex/config.toml |
| 5 | サインインしたワークスペースに配られるクラウド管理の既定 |
| 6 | システムの設定（Unix では /etc/codex/config.toml） |
| 7 | 組み込みの既定 |
組織が管理するパソコンでは、requirements.toml で approval_policy = "never" や sandbox_mode = "danger-full-access" を禁止できます。禁止されている値は、ここで作った行を書いても使えません。
出典: OpenAI公式ドキュメント「Config basics」。2026年10月14日に確認。
選べる項目と値（公式の説明）
| 項目 | 値 | 公式の説明（要約） |
|---|---|---|
approval_policy | on-request / never / { granular = { ... } } | コマンドを実行する前に、いつ止まって確認するか。対話で使うなら on-request、人が見ていない実行なら never。untrusted は使えなくなり、on-failure は非推奨 |
sandbox_mode | read-only / workspace-write / danger-full-access | コマンド実行中のファイルとネットワークの範囲。read-only は読むだけ、workspace-write は作業フォルダ内の編集と普段のコマンド、danger-full-access は制限なし |
[sandbox_workspace_write]network_access | true / false | workspace-write の中から外へのネット接続を許すか。既定の workspace-write ではオフ |
approvals_reviewer | user / auto_review | on-request か granular の時に、承認の確認を誰が見るか。既定は user。auto_review は確認をレビュー用のエージェントに回す。サンドボックスの範囲は変わらない |
web_search | cached / indexed / live / disabled | 既定は cached（OpenAI が持つ索引から返す）。--yolo などのフルアクセスでは live が既定になる |
model_reasoning_effort | low / medium / high / xhigh / max / ultra など | 選んだモデルが示す推論の深さ。使える段階はモデルとクライアントによって違う |
[windows]sandbox | mxc / elevated / unelevated | Windows のサンドボックスの実装。mxc を直接指定すると、使えない時に失敗する。公式は [features] prefer_mxc = true と従来の指定（elevated）を組み合わせて、使えない時に戻る書き方を勧めている。unelevated は elevated の準備ができず、組織の方針が許す時だけ |
出典: OpenAI公式ドキュメント「Configuration Reference」「Config basics」「Sandbox」。2026年10月14日に確認。
書く前に確かめること
approval_policy = "untrusted"が残っていたら消す。公式は、この廃止された値があると Codex が起動しないことがあるとしています。読むだけで対話したい時はsandbox_mode = "read-only"とapproval_policy = "on-request"に置き換えます。- フルアクセスは2つの組み合わせ。
sandbox_mode = "danger-full-access"とapproval_policy = "never"を一緒に使う形で、公式の一覧では「サンドボックスなし・承認なし（推奨しない）」です。違いはフルアクセスモードの解説の比較表にまとめています。 network_accessは workspace-write の時だけの設定。read-only や danger-full-access と一緒に書いても意味がありません。- 権限プロファイルと混ぜない。公式は
default_permissionsをsandbox_modeや[sandbox_workspace_write]と一緒に書かないよう案内しています。権限プロファイルを使う場合はPermission profiles の解説の書き方に寄せます。 - auto_review は使用量にも入る。自動レビューは追加でモデルを呼ぶため、Codex の使用量が増えることがあります。
- workspace-write でも書き込めない場所がある。作業フォルダの中の
.git・.agents・.codex・.awsは、既定では読み取り専用で守られています。
出典: OpenAI公式ドキュメント「Agent approvals & security」「Sandbox」「Configuration Reference」。2026年10月14日に確認。
効いているかを確かめる
書いたつもりの行が効いていない時は、もっと強い層（CLI のフラグ、プロジェクトの設定、組織の要件）に上書きされていることがあります。Codex CLI では、/debug-config で設定の層の順番と、どこから来た要件かを表示できます。作業フォルダとして扱われている場所は /status で確かめられます。
うまく起動しない・設定どおりに動かない時の切り分けは、codex doctor の解説の「エラー・症状ごとの対処」の表から当たってください。
出典: OpenAI公式ドキュメント「Agent approvals & security」と Codex CLI の /debug-config の説明。2026年10月14日に確認。
確かめた公式情報
どれも2026年10月14日に確認しました。公式の文書が変わった時は、この道具の選択肢も合わせて直します。