Options d'authentification de la CLI

La CLI ant prend en charge plusieurs sources d'identifiants. Le Démarrage rapide couvre le parcours simple en une seule commande (ant auth login). Cette page couvre chaque option en détail.

Connexion interactive

ant auth login vous permet d'appeler l'API sans créer ni gérer de clé API. Elle ouvre un flux OAuth dans le navigateur auprès de la Claude Console et stocke les identifiants obtenus sous $ANTHROPIC_CONFIG_DIR (consultez Répertoire de configuration pour la valeur par défaut propre à chaque système d'exploitation). Sur un hôte distant ou dans tout environnement sans navigateur local, passez --no-browser pour afficher l'URL d'autorisation et collez le code renvoyé dans le terminal.

ant auth login

# Sur un hôte distant sans navigateur :
ant auth login --no-browser

# Lier à un espace de travail spécifique et ignorer le sélecteur du navigateur :
ant auth login --workspace-id wrkspc_01...

# Si le profil nommé que vous passez avec --profile n'existe pas,
# un nouveau profil nommé sera créé avec ce nom.
ant auth login --profile <profile-name>

Pendant le flux dans le navigateur, vous sélectionnez une organisation puis un workspace (espace de travail). Le jeton émis est limité à cet espace de travail, de sorte que la CLI ne peut voir que les ressources qui lui appartiennent. Passez --workspace-id pour effectuer la liaison directement et ignorer le sélecteur. Pour travailler dans plusieurs espaces de travail, consultez Basculer entre les espaces de travail.

La connexion interactive est destinée au développement local et à l'écriture de scripts sur votre propre machine. Pour les charges de travail non interactives telles que la CI, les serveurs et les conteneurs, utilisez plutôt Workload Identity Federation.

La connexion écrit les identifiants dans credentials/<profile>.json. La première connexion pour un profil crée également configs/<profile>.json et le définit comme profil actif. Pour supprimer les identifiants stockés, exécutez ant auth logout, ou ant auth logout --all pour effacer tous les profils.

Accès administrateur

Par défaut, ant auth login demande un jeton limité à un espace de travail. Pour gérer les ressources documentées sur la page Admin API, demandez la portée org:admin sous un profil dédié :

ant auth login --profile admin --scope "org:admin"

# Afficher un jeton bearer pour les en-têtes Authorization :
ant auth print-credentials --profile admin --access-token

La portée org:admin n'est accordée qu'aux membres de l'organisation disposant du rôle admin, owner ou primary owner. Le jeton émis dispose d'un accès à l'échelle de l'organisation, et toute liaison à un espace de travail sur le profil ne le restreint pas. Gardez le profil administrateur séparé de votre profil quotidien afin que les commandes courantes ne s'exécutent jamais avec un accès élevé.

Clé API

La CLI lit également votre « API key » (clé API) depuis la variable d'environnement ANTHROPIC_API_KEY. Obtenez une clé depuis la Claude Console.

echo 'export ANTHROPIC_API_KEY=sk-ant-api03-...' >> ~/.zshrc
source ~/.zshrc

Pour remplacer la clé pour une seule invocation, passez --api-key. Pour cibler un hôte d'API différent, définissez ANTHROPIC_BASE_URL ou passez --base-url.

Si vous utilisez une clé API dont la portée couvre plusieurs espaces de travail, comme une clé personnelle ou de compte de service, vous devez spécifier l'espace de travail dans lequel exécuter votre commande. Pour ce faire, définissez une variable d'environnement ANTHROPIC_WORKSPACE_ID, que la CLI lit automatiquement, ou utilisez l'option --workspace-id. La valeur doit être un identifiant wrkspc_... ; la valeur littérale default que les SDK acceptent dans ANTHROPIC_WORKSPACE_ID pour l'échange de jetons fédérés n'est pas valide ici.

ant messages create \
  --workspace-id wrkspc_01... \
  --model claude-opus-5 \
  --max-tokens 1024 \
  --message '{role: user, content: "Hello, Claude"}'

Vérifier l'état de l'authentification

ant auth status affiche la source d'identifiants sélectionnée par la CLI (variable d'environnement de clé API, connexion OAuth, fédération ou profil), le profil actif, l'espace de travail auquel le jeton actif est lié, ainsi que les chemins du répertoire de configuration. Utilisez-la pour diagnostiquer pourquoi une charge de travail a choisi le mauvais identifiant ou le mauvais espace de travail.

ant auth status

Active profile:  default
Config dir:      ~/.config/anthropic
Profile config:  ~/.config/anthropic/configs/default.json
Credentials:     ~/.config/anthropic/credentials/default.json

Credentials
  (active) * Profile (user_oauth) [via active_config]       sk-ant-oat01-EXA...
...

Workspace
  (active) * Workspace                                      wrkspc_01... (Engineering)

Lisez les lignes (active) pour voir quelle source d'identifiants et quel espace de travail ont été retenus. La commande rapporte un état plutôt que d'effectuer une vérification de santé ; n'écrivez donc pas de scripts basés sur son code de sortie. Pour l'ordre complet des sources d'identifiants, consultez Priorité des identifiants.

Basculer entre les espaces de travail

Un jeton de connexion interactive est lié à un seul espace de travail. Pour utiliser la CLI avec plusieurs espaces de travail, connectez-vous à chacun sous son propre profil nommé, puis basculez entre eux :

# 1. Créez le profil (interactif ; choisissez l'autre espace de travail dans le
#    navigateur, ou passez --workspace-id pour ignorer le sélecteur) :
# ant auth login --profile other-ws

# 2. Définissez-le comme valeur par défaut pour les commandes suivantes :
ant profile activate other-ws

# 3. Ou sélectionnez-le pour une seule commande sans modifier la valeur par défaut :
ant --profile other-ws models list
ANTHROPIC_PROFILE=other-ws ant models list

Exécutez ant auth status pour confirmer quel profil et quel espace de travail sont actifs.

Gérer les profils

Les sous-commandes ant profile inspectent et modifient directement l'état des profils :

ant profile list
ant profile get --profile other-ws
ant profile set workspace_id wrkspc_01... --profile other-ws

Les clés modifiables pour ant profile set sont workspace_id, base_url, organization_id, scope, client_id et console_url. Définir workspace_id enregistre l'espace de travail cible dans la configuration du profil, mais ne relie pas à nouveau les identifiants déjà émis ; exécutez à nouveau ant auth login sous ce profil pour émettre un jeton pour le nouvel espace de travail.

Pour le schéma du fichier de profil et le bloc de fédération, consultez Fichier de configuration de profil. Pour Workload Identity Federation, consultez la Présentation de l'authentification et la référence WIF.

Étapes suivantes