CLI-Authentifizierungsoptionen

Die ant CLI unterstützt mehrere Anmeldedatenquellen. Der Schnellstart behandelt den Ein-Befehl-Idealweg (ant auth login). Diese Seite behandelt jede Option vollständig.

Interaktiver Login

ant auth login ermöglicht es dir, die API aufzurufen, ohne einen API-Key zu erstellen oder zu verwalten. Es öffnet einen browserbasierten OAuth-Flow gegen die Claude Console und speichert die resultierenden Anmeldedaten unter $ANTHROPIC_CONFIG_DIR (siehe Konfigurationsverzeichnis für den betriebssystemspezifischen Standardwert). Auf einem Remote-Host oder in jeder Umgebung ohne lokalen Browser übergibst du --no-browser, um die Autorisierungs-URL auszugeben und den zurückgegebenen Code wieder in das Terminal einzufügen.

ant auth login

# Auf einem Remote-Host ohne Browser:
ant auth login --no-browser

# An einen bestimmten Workspace binden und die Browser-Auswahl überspringen:
ant auth login --workspace-id wrkspc_01...

# Wenn das benannte Profil, das du mit --profile übergibst, nicht existiert,
# wird ein neues benanntes Profil mit diesem Namen erstellt.
ant auth login --profile <profile-name>

Während des Browser-Flows wählst du eine Organisation und dann einen Workspace aus. Das ausgestellte Token ist auf diesen Workspace beschränkt, sodass die CLI nur Ressourcen sehen kann, die dazu gehören. Übergib --workspace-id, um dich direkt zu binden und die Auswahl zu überspringen. Um in mehr als einem Workspace zu arbeiten, siehe Zwischen Workspaces wechseln.

Der interaktive Login ist für die lokale Entwicklung und das Scripting auf deinem eigenen Rechner gedacht. Für nicht-interaktive Workloads wie CI, Server und Container verwende stattdessen Workload Identity Federation.

Der Login schreibt Anmeldedaten nach credentials/<profile>.json. Der erste Login für ein Profil erstellt außerdem configs/<profile>.json und legt es als aktives Profil fest. Um gespeicherte Anmeldedaten zu entfernen, führe ant auth logout aus, oder ant auth logout --all, um jedes Profil zu löschen.

Admin-Zugriff

Standardmäßig fordert ant auth login ein auf den Workspace beschränktes Token an. Um die auf der Seite Admin API dokumentierten Ressourcen zu verwalten, fordere den org:admin-Scope unter einem dedizierten Profil an:

ant auth login --profile admin --scope "org:admin"

# Gib ein Bearer-Token für Authorization-Header aus:
ant auth print-credentials --profile admin --access-token

Der org:admin-Scope wird nur Organisationsmitgliedern mit der Rolle Admin, Owner oder Primary Owner gewährt. Das ausgestellte Token hat organisationsweiten Zugriff, und jede Workspace-Bindung am Profil schränkt es nicht ein. Halte das Admin-Profil von deinem alltäglichen Profil getrennt, damit Routinebefehle niemals mit erhöhtem Zugriff ausgeführt werden.

API-Key

Die CLI liest deinen API-Key auch aus der Umgebungsvariable ANTHROPIC_API_KEY. Hol dir einen Key aus der Claude Console.

echo 'export ANTHROPIC_API_KEY=sk-ant-api03-...' >> ~/.zshrc
source ~/.zshrc

echo 'export ANTHROPIC_API_KEY=sk-ant-api03-...' >> ~/.bashrc
source ~/.bashrc

setx ANTHROPIC_API_KEY "sk-ant-api03-..."

Um den Key für einen einzelnen Aufruf zu überschreiben, übergib --api-key. Um auf einen anderen API-Host zu verweisen, setze ANTHROPIC_BASE_URL oder übergib --base-url.

Wenn du einen API-Key verwendest, der auf mehrere Workspaces beschränkt ist, wie etwa einen persönlichen oder Service-Account-Key, musst du den Workspace angeben, in dem dein Befehl ausgeführt werden soll. Tu dies, indem du eine Umgebungsvariable ANTHROPIC_WORKSPACE_ID setzt, die die CLI automatisch liest, oder indem du das --workspace-id-Flag verwendest. Der Wert muss eine wrkspc_...-ID sein.

ant messages create \
  --workspace-id wrkspc_01... \
  --model claude-opus-5-5 \
  --max-tokens 1024 \
  --message '{role: user, content: "Hello, Claude"}'

Authentifizierungsstatus prüfen

ant auth status gibt die von der CLI ausgewählte Anmeldedatenquelle (API-Key-Umgebungsvariable, OAuth-Login, Federation oder Profil), das aktive Profil, den Workspace, an den das aktive Token gebunden ist, und die Pfade des Konfigurationsverzeichnisses aus. Verwende es, um zu diagnostizieren, warum ein Workload die falschen Anmeldedaten oder den falschen Workspace ausgewählt hat.

ant auth status

Active profile:  default
Config dir:      ~/.config/anthropic
Profile config:  ~/.config/anthropic/configs/default.json
Credentials:     ~/.config/anthropic/credentials/default.json

Credentials
  (active) * Profile (user_oauth) [via active_config]       sk-ant-oat01-EXA...
...

Workspace
  (active) * Workspace                                      wrkspc_01... (Engineering)

Lies die (active)-Zeilen, um zu sehen, welche Anmeldedatenquelle und welcher Workspace gewonnen haben. Der Befehl meldet den Status, anstatt eine Integritätsprüfung durchzuführen, also skripte nicht gegen den Exit-Status. Für die vollständige Reihenfolge der Anmeldedatenquellen siehe Anmeldedaten-Priorität.

Zwischen Workspaces wechseln

Ein Token aus dem interaktiven Login ist an einen einzelnen Workspace gebunden. Um die CLI gegen mehr als einen Workspace zu verwenden, melde dich bei jedem unter seinem eigenen benannten Profil an und wechsle dann zwischen ihnen:

# 1. Erstelle das Profil (interaktiv; wähle den anderen Workspace im
#    Browser aus oder übergib --workspace-id, um die Auswahl zu überspringen):
# ant auth login --profile other-ws

# 2. Mache es zum Standard für nachfolgende Befehle:
ant profile activate other-ws

# 3. Oder wähle es für einen einzelnen Befehl aus, ohne den Standard zu ändern:
ant --profile other-ws models list
ANTHROPIC_PROFILE=other-ws ant models list

Führe ant auth status aus, um zu bestätigen, welches Profil und welcher Workspace aktiv sind.

Profile verwalten

Die ant profile-Unterbefehle inspizieren und bearbeiten den Profilzustand direkt:

ant profile list
ant profile get --profile other-ws
ant profile set workspace_id wrkspc_01... --profile other-ws

Die beschreibbaren Keys für ant profile set sind workspace_id, base_url, organization_id, scope, client_id und console_url. Das Setzen von workspace_id erfasst den Ziel-Workspace in der Profilkonfiguration, bindet aber keine bereits ausgestellten Anmeldedaten neu; führe ant auth login unter diesem Profil erneut aus, um ein Token für den neuen Workspace zu erzeugen.

Für das Profildatei-Schema und den Federation-Block siehe Profilkonfigurationsdatei. Für Workload Identity Federation siehe die Authentifizierungsübersicht und die WIF-Referenz.

Nächste Schritte