認証

Claude APIは、リクエストを認証する2つの方法をサポートしています。

どちらの方法もClaude APIエンドポイントへの同じアクセス権を付与します。すぐに始めるにはAPIキーを選択し、ワークロードがすでにフェデレーション可能なプラットフォーム発行のアイデンティティを持っている場合はWorkload Identity Federationに移行してください。



APIキー

APIキーは、Claude Consoleで生成し、すべてのリクエストで渡す静的なシークレットです。

• キーの作成: Claude ConsoleのSettings → API keysに移動します。作成の一環として有効期限を選択します。ワークスペースを使用して、プロジェクトまたは環境ごとにキーのスコープを設定します。
• キーの送信: 直接HTTPリクエストではx-api-keyヘッダーを設定するか、ANTHROPIC_API_KEY環境変数を設定するとクライアントSDKが自動的に取得します。

POST /v1/messages
x-api-key: YOUR_API_KEY
anthropic-version: 2023-06-01
content-type: application/json

APIキーはシークレットマネージャーに保存し、定期的にローテーションし、漏洩が疑われるキーは失効させてください。また、キーの作成時に有効期限を設定して、漏洩した認証情報が使用可能な期間を制限することもできます。

client = Anthropic(api_key="my-anthropic-api-key")
# または、環境変数に ANTHROPIC_API_KEY を設定している場合:
client = Anthropic()



キーの有効期限

Claude ConsoleのAPIキーページからAPIキーを作成する際、有効期限を選択します。プリセット（3時間、1日、7日、または30日）、カスタム期間、またはシークレットマネージャーに保存して自分でローテーションするキーの場合はNeverを選択できます。組織に最大有効期限ポリシーがある場合、Consoleはプリセットとカスタム期間をポリシーの最大値に制限し、Neverは利用できません。既存のキーは現在の動作を維持します。有効期限は作成時に設定され、後から変更することはできません。Claude ConsoleでAdmin APIキーを作成する場合も、同じ有効期限の選択が適用されます。

Anthropicは、有効期限が近づくとキーの作成者にメールを送信します。有効期間が14日以上のキーの場合は有効期限の7日前、有効期間が7日以上のキーの場合は1日前に送信されます。それより短い有効期間のキーは、警告メールなしで期限切れになります。

キーの有効期限が切れた後、そのキーで行われたリクエストは401 authentication_errorを返します。アクセスを復元するには新しいキーを作成してください。期限切れのキーを再有効化することはできません。

ConsoleのAPIキーテーブルには各キーの有効期限が表示され、Admin APIはList API KeysおよびRetrieve API Keyエンドポイントで各キーのexpires_atタイムスタンプを報告するため、期限切れになる前にキーを監査してローテーションできます。有効期限のないキーの場合、このフィールドはnullです。

有効期限は漏洩した認証情報の有効期間を制限しますが、シークレットの衛生管理の代わりにはなりません。有効期限に関係なく、キーはシークレットマネージャーに保存し、漏洩が疑われるキーは失効させてください。



Workload Identity Federation

Workload Identity Federation（WIF）を使用すると、ワークロードは、AWS IAM、Google Cloud、または標準準拠のOIDC発行者（GitHub Actions、Kubernetesサービスアカウント、SPIFFE、Microsoft Entra ID、Oktaなど）といった、すでに信頼しているアイデンティティプロバイダー（IdP）が発行する短命のアイデンティティトークンで認証できます。ワークロードは、IdPが発行したJWTをPOST /v1/oauth/tokenで短命のClaude APIアクセストークンと交換し、SDKはそのトークンが期限切れになる前に自動的に更新します。発行、配布、ローテーションが必要なsk-ant-api...文字列はありません。

フェデレーションは、環境から長命のClaude APIキーを排除します。これにより、漏洩した認証情報の影響範囲が縮小され、クラウドリソースにすでに使用しているのと同じIdPコントロールでアクセスを管理できます。ただし、それだけでエンドツーエンドのセキュリティが保証されるわけではありません。信頼チェーンの強度はアイデンティティプロバイダーの設定次第であり、1ホップ上流にある長命のシークレット（たとえば、IdPトークンを発行できる静的なクラウド認証情報）が依然としてそれを損なう可能性があります。フェデレーションは、IP許可リスト、MFA、監査ログなどのプロバイダーのコントロールと組み合わせて使用してください。

フェデレーションを設定するには、Claude Consoleで3つのリソース（サービスアカウント、フェデレーション発行者、フェデレーションルール）を作成し、SDKをそのルールに向けます。完全なセットアップ手順については、Workload Identity Federationを参照してください。



次のステップ