Options d'authentification de la CLI

La CLI ant prend en charge plusieurs sources d'identifiants. Le Démarrage rapide couvre le parcours idéal en une seule commande (ant auth login). Cette page couvre chaque option en détail.

Connexion interactive

ant auth login vous permet d'appeler l'API sans créer ni gérer de clé API. Elle ouvre un flux OAuth basé sur le navigateur contre la Claude Console et stocke les identifiants résultants sous $ANTHROPIC_CONFIG_DIR (voir Répertoire de configuration pour la valeur par défaut spécifique au système d'exploitation). Sur un hôte distant ou dans tout environnement sans navigateur local, passez --no-browser pour afficher l'URL d'autorisation et coller le code renvoyé dans le terminal.

ant auth login

# Sur un hôte distant sans navigateur :
ant auth login --no-browser

# Se lier à un espace de travail spécifique et ignorer le sélecteur de navigateur :
ant auth login --workspace-id wrkspc_01...

# Si le profil nommé que vous passez avec --profile n'existe pas,
# un nouveau profil nommé sera créé avec ce nom.
ant auth login --profile <profile-name>

Pendant le flux du navigateur, vous sélectionnez une organisation puis un workspace. Le token émis est limité à ce workspace, de sorte que la CLI ne peut voir que les ressources qui lui appartiennent. Passez --workspace-id pour vous lier directement et ignorer le sélecteur. Pour travailler dans plus d'un workspace, consultez Basculer entre les workspaces.

La connexion interactive est destinée au développement local et au scripting sur votre propre machine. Pour les charges de travail non interactives telles que la CI, les serveurs et les conteneurs, utilisez plutôt la Workload Identity Federation.

La connexion écrit les identifiants dans credentials/<profile>.json. La première connexion pour un profil crée également configs/<profile>.json et le définit comme profil actif. Pour supprimer les identifiants stockés, exécutez ant auth logout, ou ant auth logout --all pour effacer tous les profils.

Accès administrateur

Par défaut, ant auth login demande un token limité au workspace. Pour gérer les ressources documentées sur la page Admin API, demandez le scope org:admin sous un profil dédié :

ant auth login --profile admin --scope "org:admin"

# Affiche un jeton bearer pour les en-têtes Authorization :
ant auth print-credentials --profile admin --access-token

Le scope org:admin n'est accordé qu'aux membres de l'organisation ayant le rôle d'administrateur, de propriétaire ou de propriétaire principal. Le token émis dispose d'un accès à l'échelle de l'organisation, et toute liaison de workspace sur le profil ne le contraint pas. Gardez le profil administrateur séparé de votre profil quotidien afin que les commandes de routine ne s'exécutent jamais avec un accès élevé.

Clé API

La CLI lit également votre clé API à partir de la variable d'environnement ANTHROPIC_API_KEY. Obtenez une clé depuis la Claude Console.

echo 'export ANTHROPIC_API_KEY=sk-ant-api03-...' >> ~/.zshrc
source ~/.zshrc

echo 'export ANTHROPIC_API_KEY=sk-ant-api03-...' >> ~/.bashrc
source ~/.bashrc

setx ANTHROPIC_API_KEY "sk-ant-api03-..."

Pour remplacer la clé pour une seule invocation, passez --api-key. Pour pointer vers un hôte API différent, définissez ANTHROPIC_BASE_URL ou passez --base-url.

Si vous utilisez une clé API limitée à plusieurs workspaces, telle qu'une clé de compte personnel ou de service, vous devez spécifier le workspace dans lequel exécuter votre commande. Faites-le en définissant une variable d'environnement ANTHROPIC_WORKSPACE_ID, que la CLI lit automatiquement, ou en utilisant le drapeau --workspace-id. La valeur doit être un ID wrkspc_....

ant messages create \
  --workspace-id wrkspc_01... \
  --model claude-opus-5-5 \
  --max-tokens 1024 \
  --message '{role: user, content: "Hello, Claude"}'

Vérifier l'état de l'authentification

ant auth status affiche la source d'identifiants que la CLI a sélectionnée (variable d'environnement de clé API, connexion OAuth, fédération ou profil), le profil actif, le workspace auquel le token actif est lié, et les chemins du répertoire de configuration. Utilisez-la pour diagnostiquer pourquoi une charge de travail a choisi le mauvais identifiant ou workspace.

ant auth status

Active profile:  default
Config dir:      ~/.config/anthropic
Profile config:  ~/.config/anthropic/configs/default.json
Credentials:     ~/.config/anthropic/credentials/default.json

Credentials
  (active) * Profile (user_oauth) [via active_config]       sk-ant-oat01-EXA...
...

Workspace
  (active) * Workspace                                      wrkspc_01... (Engineering)

Lisez les lignes (active) pour voir quelle source d'identifiants et quel workspace l'ont emporté. La commande rapporte l'état plutôt que d'effectuer une vérification de santé, donc ne scriptez pas en fonction du statut de sortie. Pour l'ordre complet des sources d'identifiants, consultez Priorité des identifiants.

Basculer entre les workspaces

Un token de connexion interactive est lié à un seul workspace. Pour utiliser la CLI contre plus d'un workspace, connectez-vous à chacun sous son propre profil nommé, puis basculez entre eux :

# 1. Créez le profil (interactif ; choisissez l'autre espace de travail dans le
#    navigateur, ou passez --workspace-id pour ignorer le sélecteur) :
# ant auth login --profile other-ws

# 2. Définissez-le par défaut pour les commandes suivantes :
ant profile activate other-ws

# 3. Ou sélectionnez-le pour une seule commande sans changer la valeur par défaut :
ant --profile other-ws models list
ANTHROPIC_PROFILE=other-ws ant models list

Exécutez ant auth status pour confirmer quel profil et quel workspace sont actifs.

Gérer les profils

Les sous-commandes ant profile inspectent et modifient directement l'état du profil :

ant profile list
ant profile get --profile other-ws
ant profile set workspace_id wrkspc_01... --profile other-ws

Les clés modifiables pour ant profile set sont workspace_id, base_url, organization_id, scope, client_id et console_url. Définir workspace_id enregistre le workspace cible dans la configuration du profil mais ne relie pas les identifiants qui ont déjà été émis ; exécutez à nouveau ant auth login sous ce profil pour générer un token pour le nouveau workspace.

Pour le schéma du fichier de profil et le bloc de fédération, consultez Fichier de configuration de profil. Pour la Workload Identity Federation, consultez l'Aperçu de l'authentification et la référence WIF.

Étapes suivantes