驗證

登入 Claude Code

• API 金鑰：您已設定 ANTHROPIC_API_KEY 環境變數，且在 Claude Code 詢問是否使用該金鑰時予以核准
• 先前的登入：您在第一個工作階段之前已在 shell 中執行 claude auth login，或您重建了將憑證保存在 volume 中的 dev container。如果您仍然看到登入提示，請檢查可能造成此情況的原因。

• Claude Pro、Max 或 Ultra 訂閱：使用您的 claude.ai 帳戶登入。在 claude.com/pricing 訂閱。
• Claude for Teams 或 Enterprise：使用您的團隊管理員邀請您的 claude.ai 帳戶登入。
• Claude Console：使用您的 Console 認證登入。您的管理員必須先 邀請您。您可以在有或沒有 建立 API 金鑰 的情況下登入。
• 雲端提供商：如果您的組織使用 Amazon Bedrock、Google Cloud 的 Agent Platform 或 Microsoft Foundry，請在執行 claude 之前設定所需的環境變數，或在登入提示符處選擇 3rd-party platform，這會為 Bedrock 和 Vertex AI 啟動互動式設定精靈。不需要瀏覽器登入。
• Cloud gateway：如果您的組織執行自託管的 Claude 應用程式閘道，請透過 /login 使用公司 SSO 登入。閘道簽發的權杖是工作階段的唯一認證。

先前已登入後仍出現登入提示

• 登入已過期：您先前的登入已過期，且 Claude Code 無法重新整理它。請在提示處再次登入。
• 登入限制於特定組織：管理員在受管設定中設定了 forceLoginOrgUUID，以要求來自特定組織的登入。無論您的帳戶是否屬於其中某個組織，都會出現此提示。請使用屬於所需組織的帳戶登入。如果您沒有這樣的帳戶，請要求您的管理員將您加入。
• 必要的登入方式：您的登入並非設定檔中 forceLoginMethod 所要求的類型。設為 "claudeai" 時，先前 Claude Console 登入所產生的 API 金鑰不算是既有的登入。設為 "console" 時，claude.ai 帳戶不算。請使用該設定所指定類型的帳戶登入。
• 較舊的版本：在 v2.1.290 之前，無論您是否已登入，設定期間都會出現此提示。更新 Claude Code 即可略過它。

使用多個帳戶登入

alias claude-work='CLAUDE_CONFIG_DIR=~/.claude-work claude'

設定團隊身分驗證

• Claude for Teams 或 Enterprise，建議大多數團隊使用
• Claude Console
• Claude apps 閘道，一種自行託管的閘道，會透過您的 IdP 讓開發人員登入，並將推論路由至您設定的雲端供應商
• Amazon Bedrock
• Google Cloud’s Agent Platform
• Microsoft Foundry

Claude for Teams 或 Enterprise

• Claude for Teams：自助式方案，提供協作功能、管理工具、SSO、計費管理，以及用於全組織 Claude Code 設定的伺服器受管設定。最適合較小的團隊。
• Claude for Enterprise：增加網域擷取、角色型權限和合規 API。最適合有安全性與合規需求的大型組織。

Claude Console 身分驗證

不使用 API 金鑰登入

• 使用您的 Console 帳戶登入，標示為 (recommended)：Claude Code 會保留該次登入取得的 OAuth token，並將其儲存為 Anthropic 設定檔。不會建立任何 API 金鑰
• 建立 API 金鑰，標示為 (legacy)：Claude Code 會為您建立 Console API 金鑰，並將其與您的其他憑證一起儲存

• 您透過雲端供應商執行，例如 Amazon Bedrock、Google Cloud’s Agent Platform 或 Microsoft Foundry，或 Claude Platform on AWS
• 任何設定檔設定了 forceLoginOrgUUID，或將 forceLoginMethod 設為 "claudeai"
• forceLoginMethod 為 "console" 且沒有任何設定檔設定 forceLoginOrgUUID，直到您在登入失敗後從錯誤畫面重試為止
• 您機器上的某個受管設定來源（例如受管設定檔、MDM 設定檔或快取的伺服器受管設定）存在，但 Claude Code 無法讀取，且沒有其他受管來源提供政策

• 寫入哪個設定檔：Claude Code 會寫入 ANTHROPIC_PROFILE 所指定的設定檔，或您目前使用中的設定檔，或 default。如果該設定檔是聯合設定檔，Claude Code 會拒絕此次登入，而不會覆寫它
• 會將您登出哪些登入：Claude Code 會將您登出此機器上儲存的任何 claude.ai 登入
• 如何復原：執行 /logout，這會移除並撤銷此次登入所寫入的憑證

在受管機器上停止提供免金鑰登入

• 免金鑰登入：若要讓開發人員改用 API 金鑰，請讓他們登出後再次登入 Console，這會建立金鑰。若是免金鑰登入，他們需在 shell 中執行 claude auth logout。若是 ant auth login 設定檔，他們需執行 ant auth logout。如果機器上同時存在設定檔與 API 金鑰，Claude Code 會拒絕工作階段，因此他們必須先登出。
• 環境與輔助程式憑證：Claude Code 會拒絕使用 ANTHROPIC_API_KEY、ANTHROPIC_AUTH_TOKEN 或 apiKeyHelper 進行身分驗證的工作階段，即使這些憑證是由受管設定提供的也一樣。請移除這些憑證，然後讓開發人員執行 /login 以建立已儲存的 API 金鑰。
• claude.ai 登入：Claude Code 會拒絕登入您未列出的組織，包括機器上已在使用中的組織。若要保留某個組織，請將其加入 forceLoginOrgUUID 陣列。

雲端供應商身分驗證

將登入限制於您的組織

• 終端機、VS Code 擴充功能和 Agent SDK 登入：會針對 claude.ai 帳戶登入驗證 forceLoginOrgUUID
• claude setup-token 和 /install-github-app：只強制執行 forceLoginMethod，因此可以在不同的組織中產生 token
• 閘道登入：由 forceLoginMethod: "gateway" 選取而非受其限制，且不會針對 Anthropic 組織進行身分驗證，因此 forceLoginOrgUUID 不適用；請使用您的閘道身分識別提供者來限制存取

• ANTHROPIC_API_KEY、ANTHROPIC_AUTH_TOKEN 或 apiKeyHelper：在啟動時遭到封鎖。在 forceLoginOrgUUID 之下，無法驗證環境憑證的組織成員資格；而在 forceLoginMethod 之下，該憑證會取代必要的登入。當受管設定也要求閘道登入時，Claude Code 會以相同方式封鎖先前 Claude Console 登入所儲存的 API 金鑰。請參閱 Administrator policy requires a Cloud gateway sign-in
• 雲端供應商工作階段，例如 Amazon Bedrock：只有在機器上仍存在 ANTHROPIC_API_KEY、ANTHROPIC_AUTH_TOKEN 或 apiKeyHelper 憑證，或先前 Claude Console 登入所儲存的 API 金鑰時，才會遭到封鎖。移除後，工作階段即可啟動。這些工作階段會向您的雲端供應商進行身分驗證，並受其存取政策管轄
• Anthropic 設定檔或聯合憑證：不會遭到封鎖，除非機器上同時存在 ANTHROPIC_API_KEY、ANTHROPIC_AUTH_TOKEN 或 apiKeyHelper 憑證，或先前 Claude Console 登入所儲存的 API 金鑰。這些設定鍵不會檢查設定檔屬於哪個組織

限制機器可使用的 API 供應商

{
  "forceLoginMethod": "claudeai",
  "forceLoginOrgUUID": ["xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"],
  "allowedProviders": ["anthropic", "bedrock"]
}

• 允許 LLM 閘道或代理伺服器：列出 "customEndpoint"，並在同一來源的受管 env 區塊中設定閘道的 URL。設定參考列出了每個值，並說明哪些端點變數需要在受管 env 中固定。
• 在受管機器上部署：將清單放在承載您其餘政策的受管來源中。該項目的範圍說明說明了伺服器受管清單如何與其合併。
• 僅限伺服器受管設定：僅在伺服器受管設定中設定的清單，只會套用到擷取您組織設定的工作階段，因此請將其視為對無法透過裝置管理觸及的機器的便利措施，而非強制執行手段。平台可用性列出了哪些工作階段會擷取這些設定。

認證管理

• 儲存位置：
  • 在 macOS 上，認證儲存在加密的 macOS Keychain 中。當 Keychain 拒絕寫入時，例如在 SSH 工作階段中被鎖定時，Claude Code 會改為將您的登入儲存在 ~/.claude/.credentials.json 中，檔案模式為 0600，這與它在 Linux 上使用的儲存方式相同。使用建立 API 金鑰的 Console 登入會失敗，直到 Keychain 可寫入。若要將您的登入移回 Keychain，請遵循復原步驟。
  • 在 Linux 上，認證儲存在 ~/.claude/.credentials.json 中，檔案模式為 0600。
  • 在 Windows 上，認證儲存在 %USERPROFILE%\.claude\.credentials.json 中，並繼承您的使用者設定檔目錄的存取控制，預設情況下將檔案限制為您的使用者帳戶。
  • 如果您設定了 CLAUDE_CONFIG_DIR 環境變數，Claude Code 會將 .credentials.json 檔案保存在該目錄下，包括 macOS 後備寫入的檔案，並讓 macOS Keychain 項目也以該目錄為鍵，因此具有不同 CLAUDE_CONFIG_DIR 的工作階段會讀取不同的項目。
  • Claude Code 透過 /login 和 /logout 管理 .credentials.json。若要透過自訂 API 端點路由請求，請改為設定 ANTHROPIC_BASE_URL 環境變數。
• 支援的驗證類型：claude.ai 認證、Claude API 認證、Microsoft Foundry Auth、Bedrock Auth、Vertex Auth、Anthropic 設定檔和 Workload Identity Federation 認證，以及 Claude apps gateway 工作階段令牌。
• 自訂認證指令碼：設定 apiKeyHelper 設定以執行傳回 API 金鑰的 shell 指令碼。
• 重新整理間隔：請參閱 apiKeyHelper 以了解 Claude Code 重新執行協助程式的情況。
• 緩慢協助程式通知：如果 apiKeyHelper 花費超過 10 秒的時間傳回金鑰，Claude Code 會在提示符列中顯示警告通知，顯示經過的時間。如果您經常看到此通知，請檢查您的認證指令碼是否可以最佳化。
• 協助程式失敗：當指令碼以錯誤結束、逾時或不列印任何內容時，請求在三次嘗試內失敗，並顯示 Your apiKeyHelper script is failing。

續約即將過期的登入

驗證優先順序

1. 雲端提供商認證，當設定了 CLAUDE_CODE_USE_BEDROCK、CLAUDE_CODE_USE_VERTEX 或 CLAUDE_CODE_USE_FOUNDRY 時。請參閱第三方整合以取得設定。
2. ANTHROPIC_AUTH_TOKEN 環境變數。作為 Authorization: Bearer 標頭傳送。當透過LLM 閘道或代理路由時使用此選項，該閘道或代理使用持有人令牌而不是 Anthropic API 金鑰進行驗證。
3. ANTHROPIC_API_KEY 環境變數。作為 X-Api-Key 標頭傳送。用於直接 Anthropic API 存取，使用來自 Claude Console 的金鑰。在互動模式下，系統會提示您一次以核准或拒絕金鑰，您的選擇會被記住。若要稍後變更，請使用 /config 中的「使用自訂 API 金鑰」切換。該切換僅在 ANTHROPIC_API_KEY 在您的環境中設定時出現。在非互動模式 (-p) 中，當金鑰存在時始終使用該金鑰。
4. apiKeyHelper 指令碼輸出。用於動態或輪換認證，例如從保管庫擷取的短期令牌。
5. CLAUDE_CODE_OAUTH_TOKEN 環境變數。由 claude setup-token 產生的長期 OAuth token。用於 CI 管道和指令碼，其中瀏覽器登入不可用。如果您在設定變數時執行 /login，Claude Code 會將目前工作階段切換到新登入。若要在新工作階段中保留該登入，請從您的 shell 設定檔以及可設定它的設定檔（例如您的使用者設定）中移除該變數。
6. Anthropic 設定檔和聯盟認證，ant CLI 和 Workload Identity Federation 使用的認證。ant auth login 寫入的設定檔僅在您在 ANTHROPIC_PROFILE 中命名它時才排名在此處；否則它排名在 /login 下方。請參閱 Anthropic 設定檔和聯盟認證。
7. 來自 /login 的訂閱 OAuth 憑證。這是 Claude Pro、Max、Ultra、Team 和 Enterprise 使用者的預設值。

Anthropic 設定檔和聯盟認證

• 具名設定檔或聯盟變數：取消設定 ANTHROPIC_PROFILE，或取消設定任一聯盟變數
• 有效設定檔：對於您透過在沒有 API 金鑰的情況下登入 Console 帳戶寫入其目前認證的 user_oauth 設定檔執行 /logout，對於 ant auth login 寫入其目前認證的設定檔執行 ant auth logout，或對於任一驗證模式從您設定目錄中的 configs/ 刪除設定檔的檔案

產生長期令牌

claude setup-token

export CLAUDE_CODE_OAUTH_TOKEN=your-token

$env:CLAUDE_CODE_OAUTH_TOKEN = "your-token"

set CLAUDE_CODE_OAUTH_TOKEN=your-token