---
title: Управление WIF с помощью Admin API
url: https://platform.claude.com/docs/ru/manage-claude/wif-admin-api
description: Программное создание и управление сервисными аккаунтами, издателями и правилами Workload Identity Federation для сценариев «инфраструктура как код» и CI.
---
Admin API позволяет программно создавать ресурсы [Workload Identity Federation](https://platform.claude.com/docs/ru/manage-claude/workload-identity-federation) и управлять ими: сервисными аккаунтами, издателями федерации и правилами федерации. Используйте его, чтобы хранить конфигурацию федерации в виде «infrastructure as code» (инфраструктуры как кода), разворачивать её из CI и воспроизводить в разных организациях вместо того, чтобы настраивать всё вручную в Claude Console. Эти конечные точки используют общий префикс пути `/v1/organizations` с остальной частью [Admin API](https://platform.claude.com/docs/ru/manage-claude/admin-api).
## Предварительные требования
Каждый запрос на этой странице аутентифицируется с помощью OAuth-токена носителя (bearer token), который несёт область действия (scope) `org:admin`. Эта область действия предоставляется только участникам организации с ролью admin, owner или primary owner и даёт доступ ко всей организации: любая привязка к рабочему пространству игнорируется. Получить токен можно двумя способами, и они несут разные разрешения: токен, полученный через ваш собственный вход, действует от имени пользователя, тогда как федеративный токен действует от имени сервисного аккаунта и не может выполнять все операции, описанные на этой странице.
### Интерактивно (ваш терминал)
Войдите с помощью [CLI `ant`](https://platform.claude.com/docs/ru/cli-sdks-libraries/cli/quickstart) под выделенным профилем, запросив область действия `org:admin` (см. [Доступ администратора](https://platform.claude.com/docs/ru/cli-sdks-libraries/cli/authentication#admin-access)), затем экспортируйте токен носителя. Вход с `--profile admin` сохраняет учётные данные `org:admin` под собственным именем профиля и также делает его активным профилем CLI, а экспортированная переменная применяется к каждому вызову SDK и CLI в этой оболочке; поэтому используйте оболочку, которую вы выделяете для администрирования, сбросьте переменную, когда закончите, и переключите CLI обратно командой `ant profile activate default`:
```bash CLI
ant auth login --profile admin --scope "org:admin"
export ANTHROPIC_AUTH_TOKEN=$(ant auth print-credentials --profile admin --access-token)
```
Интерактивные токены недолговечны; если запросы начинают возвращать 401, повторно выполните команду экспорта (она автоматически обновляет токен).
SDK и CLI `ant` автоматически читают `ANTHROPIC_AUTH_TOKEN`; оставьте `ANTHROPIC_API_KEY` неустановленной в той же оболочке, поскольку эти конечные точки отклоняют ключи API, а некоторые клиенты предпочитают ключ, когда заданы обе переменные.
### Рабочая нагрузка (CI и автоматизация)
Создайте правило федерации с `oauth_scope: org:admin`, нацеленное на сервисный аккаунт, у которого `organization_role` равна `admin`. Само правило должно быть создано в Claude Console: предоставление рабочей нагрузке доступа администратора организации — это осознанное действие человека, а не то, что автоматизация может настроить для себя сама. В следующем разделе описана эта однократная для каждой организации настройка.
## Начальная настройка рабочей нагрузки для управления WIF
Одного правила, созданного в Console, достаточно, чтобы перевести остальную конфигурацию федерации под управление инфраструктурой как кодом: предоставьте одной доверенной рабочей нагрузке область действия `org:admin` и позвольте этой рабочей нагрузке управлять издателями федерации и всеми правилами федерации уровня рабочего пространства через этот API.
В Claude Console перейдите на страницу [Workload identity](https://platform.claude.com/settings/workload-identity-federation) (`platform.claude.com/settings/workload-identity-federation`) и выберите **Connect workload**, чтобы создать одно правило федерации для вашей рабочей нагрузки автоматизации, например рабочего процесса GitHub Actions в вашем инфраструктурном репозитории. В разделе **Advanced rule options** задайте для области действия OAuth правила значение `org:admin`: после этого мастер создаст новый сервисный аккаунт с ролью организации Admin (или попросит вас выбрать существующий административный сервисный аккаунт в качестве цели).
Сопоставляйте правило с одной точной идентичностью рабочей нагрузки, а не с широким шаблоном. `subject_prefix` — это точное совпадение, если только он не заканчивается на `*`. Для GitHub Actions закрепите subject за защищённой веткой, например `repo:my-org/my-repo:ref:refs/heads/main`. Завершающий подстановочный знак, такой как `repo:my-org/my-repo:*`, также соответствует запускам `pull_request`, включая запуски, инициированные из форков, поэтому любой, кто может открыть pull request в репозиторий, сможет выпустить токен `org:admin`. См. [Ограничение рабочих процессов, которые могут аутентифицироваться](https://platform.claude.com/docs/ru/manage-claude/wif-providers/github-actions#restrict-which-workflows-can-authenticate).
Рабочая нагрузка, использующая один из SDK или CLI `ant`, не выполняет обмен самостоятельно. Укажите клиенту правило с помощью переменных окружения федерации и создайте его без аргументов, точно так же, как для инференса в разделе [Создание клиента SDK](https://platform.claude.com/docs/ru/manage-claude/workload-identity-federation#construct-the-sdk-client); клиент обменивает токен идентичности при первом запросе и, до истечения срока действия полученного токена доступа, повторно считывает токен идентичности и обменивает его снова:
```bash
export ANTHROPIC_FEDERATION_RULE_ID=fdrl_... # the org:admin rule from step 1
export ANTHROPIC_ORGANIZATION_ID=00000000-0000-0000-0000-000000000000
export ANTHROPIC_SERVICE_ACCOUNT_ID=svac_... # the rule's target service account
export ANTHROPIC_IDENTITY_TOKEN_FILE=/path/to/jwt # or ANTHROPIC_IDENTITY_TOKEN
# ANTHROPIC_WORKSPACE_ID требуется, только если правило включено для всех
# рабочих пространств или более чем одного; эндпоинты org:admin игнорируют привязку.
unset ANTHROPIC_API_KEY ANTHROPIC_AUTH_TOKEN # both take precedence over federation
```
CLI `ant` читает те же переменные или принимает флаги `--federation-rule`, `--organization-id`, `--service-account-id` и `--identity-token-file`. Для рабочей нагрузки, которая выполняет более одной команды `ant`, используйте [профиль федерации](https://platform.claude.com/docs/ru/manage-claude/wif-reference#profile-configuration-file) вместо флагов или переменных окружения: с флагами или переменными CLI заново обменивает токен идентичности в каждом процессе, а токены идентичности, содержащие утверждение `jti` (токены GitHub Actions его содержат), принимаются только один раз, поэтому вторая команда будет отклонена; профиль также является единственным способом передать CLI `workspace_id` для обмена, когда правило включено для всех рабочих пространств или более чем для одного, поскольку, в отличие от SDK, CLI не передаёт `ANTHROPIC_WORKSPACE_ID` или `--workspace-id` в обмен. Каждый SDK также принимает те же настройки в виде явных аргументов конструктора, показанных для каждого языка в разделе [Создание клиента SDK](https://platform.claude.com/docs/ru/manage-claude/workload-identity-federation#construct-the-sdk-client). Полный список и порядок см. в разделах [Переменные окружения](https://platform.claude.com/docs/ru/manage-claude/wif-reference#environment-variables) и [Приоритет учётных данных](https://platform.claude.com/docs/ru/manage-claude/wif-reference#credential-precedence).
Рабочая нагрузка, вызывающая API с помощью curl, сама обменивает JWT на недолговечный токен носителя `org:admin`, используя тот же [обмен токенов](https://platform.claude.com/docs/ru/manage-claude/workload-identity-federation#authenticate-from-your-workload), что и любая другая федеративная рабочая нагрузка, и отправляет его в заголовке `authorization: Bearer`.
Когда клиент настроен (или, для curl, выпущенный токен находится в `ANTHROPIC_AUTH_TOKEN`), рабочая нагрузка создаёт вашу конфигурацию федерации и управляет ею с помощью конечных точек на этой странице.
О том, какие операции может и не может выполнять токен, выпущенный рабочей нагрузкой, см. [Разрешения и ограничения](https://platform.claude.com/docs/ru/manage-claude/wif-admin-api#permissions-and-constraints). Если вы уже создали издателей, сервисные аккаунты или правила с помощью мастера **Connect workload**, получите их список с помощью следующих конечных точек и импортируйте их в состояние вашей инфраструктуры как кода вместо того, чтобы создавать заново.
## Аутентификация
Все конечные точки находятся по адресу `https://api.anthropic.com/v1/organizations/`. Каждому запросу к конечным точкам федерации и сервисных аккаунтов нужны заголовок версии API и токен носителя:
В SDK эти конечные точки доступны как `client.organization.service_accounts` (typescript: `client.organization.serviceAccounts`; csharp, go: `client.Organization.ServiceAccounts`; java: `client.organization().serviceAccounts()`; php: `$client->organization->serviceAccounts`), `client.organization.federation.issuers` (csharp, go: `client.Organization.Federation.Issuers`; java: `client.organization().federation().issuers()`; php: `$client->organization->federation->issuers`) и `client.organization.federation.rules` (csharp, go: `client.Organization.Federation.Rules`; java: `client.organization().federation().rules()`; php: `$client->organization->federation->rules`) (`ant organization:service-accounts`, `federation:issuers` и `federation:rules` в CLI). Примеры для SDK и CLI создают клиент по умолчанию, который отправляет токен носителя из `ANTHROPIC_AUTH_TOKEN` или, в автоматизированной рабочей нагрузке, сам выполняет обмен федерации, как описано в разделе [Начальная настройка рабочей нагрузки для управления WIF](https://platform.claude.com/docs/ru/manage-claude/wif-admin-api#bootstrap-a-workload-to-manage-wif). Методы получения списков в SDK загружают последующие страницы по требованию, поэтому `limit` задаёт размер страницы; примеры на PHP и Ruby считывают одну страницу.
```bash cURL
curl --fail-with-body -sS "https://api.anthropic.com/v1/organizations/service_accounts" \
-H "authorization: Bearer $ANTHROPIC_AUTH_TOKEN" \
-H "anthropic-version: 2023-06-01"
```
```bash CLI
ant organization:service-accounts list
```
```python Python
client = anthropic.Anthropic()
service_accounts = client.organization.service_accounts.list()
for service_account in service_accounts:
print(f"{service_account.id}: {service_account.name}")
```
```typescript TypeScript
const client = new Anthropic();
for await (const serviceAccount of client.organization.serviceAccounts.list()) {
console.log(`${serviceAccount.id}: ${serviceAccount.name}`);
}
```
```csharp C#
AnthropicClient client = new();
var page = await client.Organization.ServiceAccounts.List();
await foreach (var serviceAccount in page.Paginate())
{
Console.WriteLine($"{serviceAccount.ID}: {serviceAccount.Name}");
}
```
```go Go
client := anthropic.NewClient()
serviceAccounts := client.Organization.ServiceAccounts.ListAutoPaging(context.Background(), anthropic.OrganizationServiceAccountListParams{})
for serviceAccounts.Next() {
serviceAccount := serviceAccounts.Current()
fmt.Printf("%s: %s\n", serviceAccount.ID, serviceAccount.Name)
}
if err := serviceAccounts.Err(); err != nil {
log.Fatal(err)
}
```
```java Java
AnthropicClient client = AnthropicOkHttpClient.fromEnv();
var serviceAccounts = client.organization().serviceAccounts().list();
for (var serviceAccount : serviceAccounts.autoPager()) {
IO.println(serviceAccount.id() + ": " + serviceAccount.name());
}
```
```php PHP
$client = new Client();
$serviceAccounts = $client->organization->serviceAccounts->list();
foreach ($serviceAccounts->getItems() as $serviceAccount) {
echo "{$serviceAccount->id}: {$serviceAccount->name}\n";
}
```
```ruby Ruby
client = Anthropic::Client.new
service_accounts = client.organization.service_accounts.list
service_accounts.data.each do |service_account|
puts "#{service_account.id}: #{service_account.name}"
end
```
Ключи Admin API не принимаются на этих конечных точках; примеры с `x-api-key` со страницы Admin API здесь не применимы.
## Сервисные аккаунты
[Сервисный аккаунт](https://platform.claude.com/docs/ru/manage-claude/workload-identity-federation#service-accounts) (`svac_...`) — это нечеловеческая идентичность, от имени которой действует федеративный токен. Установите `organization_role` в `developer`.
Создание сервисного аккаунта:
```bash cURL
curl --fail-with-body -sS "https://api.anthropic.com/v1/organizations/service_accounts" \
-H "authorization: Bearer $ANTHROPIC_AUTH_TOKEN" \
-H "anthropic-version: 2023-06-01" \
-H "content-type: application/json" \
-d '{
"name": "inference-worker",
"organization_role": "developer"
}'
```
```bash CLI
ant organization:service-accounts create \
--name inference-worker \
--organization-role developer
```
```python Python
client = anthropic.Anthropic()
service_account = client.organization.service_accounts.create(
name="inference-worker", organization_role="developer"
)
print(f"id: {service_account.id}")
print(f"name: {service_account.name}")
```
```typescript TypeScript
const client = new Anthropic();
const serviceAccount = await client.organization.serviceAccounts.create({
name: "inference-worker",
organization_role: "developer"
});
console.log(`id: ${serviceAccount.id}`);
console.log(`name: ${serviceAccount.name}`);
```
```csharp C#
using Anthropic.Models.Organization.ServiceAccounts;
AnthropicClient client = new();
var serviceAccount = await client.Organization.ServiceAccounts.Create(new()
{
Name = "inference-worker",
OrganizationRole = OrganizationRole.Developer
});
Console.WriteLine($"id: {serviceAccount.ID}");
Console.WriteLine($"name: {serviceAccount.Name}");
```
```go Go
client := anthropic.NewClient()
serviceAccount, err := client.Organization.ServiceAccounts.New(context.Background(), anthropic.OrganizationServiceAccountNewParams{
Name: "inference-worker",
OrganizationRole: anthropic.OrganizationServiceAccountNewParamsOrganizationRoleDeveloper,
})
if err != nil {
log.Fatal(err)
}
fmt.Printf("id: %s\n", serviceAccount.ID)
fmt.Printf("name: %s\n", serviceAccount.Name)
```
```java Java
import com.anthropic.models.organization.serviceaccounts.ServiceAccountCreateParams;
void main() {
AnthropicClient client = AnthropicOkHttpClient.fromEnv();
var params = ServiceAccountCreateParams.builder()
.name("inference-worker")
.organizationRole(ServiceAccountCreateParams.OrganizationRole.DEVELOPER)
.build();
var serviceAccount = client.organization().serviceAccounts().create(params);
IO.println("id: " + serviceAccount.id());
IO.println("name: " + serviceAccount.name());
}
```
```php PHP
use Anthropic\Organization\ServiceAccounts\ServiceAccountCreateParams\OrganizationRole;
// ...
$client = new Client();
$serviceAccount = $client->organization->serviceAccounts->create(
name: 'inference-worker',
organizationRole: OrganizationRole::DEVELOPER,
);
echo "id: {$serviceAccount->id}\n";
echo "name: {$serviceAccount->name}\n";
```
```ruby Ruby
client = Anthropic::Client.new
service_account = client.organization.service_accounts.create(
name: "inference-worker",
organization_role: :developer
)
puts "id: #{service_account.id}"
puts "name: #{service_account.name}"
```
Список сервисных аккаунтов:
```bash cURL
curl --fail-with-body -sS "https://api.anthropic.com/v1/organizations/service_accounts?limit=20" \
-H "authorization: Bearer $ANTHROPIC_AUTH_TOKEN" \
-H "anthropic-version: 2023-06-01"
```
```bash CLI
ant organization:service-accounts list --limit 20
```
```python Python
client = anthropic.Anthropic()
service_accounts = client.organization.service_accounts.list(limit=20)
for service_account in service_accounts:
print(f"{service_account.id}: {service_account.name}")
```
```typescript TypeScript
const client = new Anthropic();
for await (const serviceAccount of client.organization.serviceAccounts.list({
limit: 20
})) {
console.log(`${serviceAccount.id}: ${serviceAccount.name}`);
}
```
```csharp C#
AnthropicClient client = new();
var page = await client.Organization.ServiceAccounts.List(new() { Limit = 20 });
await foreach (var serviceAccount in page.Paginate())
{
Console.WriteLine($"{serviceAccount.ID}: {serviceAccount.Name}");
}
```
```go Go
client := anthropic.NewClient()
serviceAccounts := client.Organization.ServiceAccounts.ListAutoPaging(context.Background(), anthropic.OrganizationServiceAccountListParams{
Limit: anthropic.Int(20),
})
for serviceAccounts.Next() {
serviceAccount := serviceAccounts.Current()
fmt.Printf("%s: %s\n", serviceAccount.ID, serviceAccount.Name)
}
if err := serviceAccounts.Err(); err != nil {
log.Fatal(err)
}
```
```java Java
import com.anthropic.models.organization.serviceaccounts.ServiceAccountListParams;
void main() {
AnthropicClient client = AnthropicOkHttpClient.fromEnv();
var params = ServiceAccountListParams.builder()
.limit(20)
.build();
var serviceAccounts = client.organization().serviceAccounts().list(params);
for (var serviceAccount : serviceAccounts.autoPager()) {
IO.println(serviceAccount.id() + ": " + serviceAccount.name());
}
}
```
```php PHP
$client = new Client();
$serviceAccounts = $client->organization->serviceAccounts->list(limit: 20);
foreach ($serviceAccounts->getItems() as $serviceAccount) {
echo "{$serviceAccount->id}: {$serviceAccount->name}\n";
}
```
```ruby Ruby
client = Anthropic::Client.new
service_accounts = client.organization.service_accounts.list(limit: 20)
service_accounts.data.each do |service_account|
puts "#{service_account.id}: #{service_account.name}"
end
```
Архивирование сервисного аккаунта:
```bash cURL
curl --fail-with-body -sS -X POST "https://api.anthropic.com/v1/organizations/service_accounts/svac_01ABCDEFabcdef0123456789XY/archive" \
-H "authorization: Bearer $ANTHROPIC_AUTH_TOKEN" \
-H "anthropic-version: 2023-06-01"
```
```bash CLI
ant organization:service-accounts archive svac_01ABCDEFabcdef0123456789XY
```
```python Python
client = anthropic.Anthropic()
service_account = client.organization.service_accounts.archive(
"svac_01ABCDEFabcdef0123456789XY"
)
print(f"id: {service_account.id}")
print(f"archived_at: {service_account.archived_at}")
```
```typescript TypeScript
const client = new Anthropic();
const serviceAccount = await client.organization.serviceAccounts.archive(
"svac_01ABCDEFabcdef0123456789XY"
);
console.log(`id: ${serviceAccount.id}`);
console.log(`archived_at: ${serviceAccount.archived_at}`);
```
```csharp C#
AnthropicClient client = new();
var serviceAccount = await client.Organization.ServiceAccounts.Archive(
"svac_01ABCDEFabcdef0123456789XY"
);
Console.WriteLine($"id: {serviceAccount.ID}");
Console.WriteLine($"archived_at: {serviceAccount.ArchivedAt:O}");
```
```go Go
client := anthropic.NewClient()
serviceAccount, err := client.Organization.ServiceAccounts.Archive(
context.Background(),
"svac_01ABCDEFabcdef0123456789XY",
)
if err != nil {
log.Fatal(err)
}
fmt.Printf("id: %s\n", serviceAccount.ID)
fmt.Printf("archived_at: %s\n", serviceAccount.ArchivedAt)
```
```java Java
AnthropicClient client = AnthropicOkHttpClient.fromEnv();
var serviceAccount = client.organization().serviceAccounts()
.archive("svac_01ABCDEFabcdef0123456789XY");
IO.println("id: " + serviceAccount.id());
IO.println("archived_at: " + serviceAccount.archivedAt().orElseThrow());
```
```php PHP
$client = new Client();
$serviceAccount = $client->organization->serviceAccounts->archive(
serviceAccountID: 'svac_01ABCDEFabcdef0123456789XY',
);
echo "id: {$serviceAccount->id}\n";
echo "archived_at: {$serviceAccount->archivedAt?->format(DATE_ATOM)}\n";
```
```ruby Ruby
client = Anthropic::Client.new
service_account_id = "svac_01ABCDEFabcdef0123456789XY"
service_account = client.organization.service_accounts.archive(service_account_id)
puts "id: #{service_account.id}"
puts "archived_at: #{service_account.archived_at}"
```
Конечная точка создания возвращает новый сервисный аккаунт:
```json
{
"id": "svac_...",
"name": "inference-worker",
"organization_role": "developer",
"created_at": "...",
"type": "service_account",
"...": "..."
}
```
Чтобы прочитать или обновить отдельный сервисный аккаунт, используйте `GET` и `POST` на `/v1/organizations/service_accounts/{service_account_id}`. Сервисный аккаунт должен быть участником рабочего пространства, прежде чем федеративные токены смогут действовать в нём. Каждый сервисный аккаунт имеет неявное членство в рабочем пространстве по умолчанию вашей организации; добавляйте явные членства для других рабочих пространств с помощью `GET`, `POST` и `DELETE` на `/v1/organizations/service_accounts/{service_account_id}/workspaces`, где `DELETE` нацелен на `.../workspaces/{workspace_id}`.
Полное описание параметров и схем ответов см. в [справочнике API сервисных аккаунтов](https://platform.claude.com/docs/ru/api/organization/service_accounts).
## Издатели федерации
[Издатель федерации](https://platform.claude.com/docs/ru/manage-claude/workload-identity-federation#federation-issuers) (`fdis_...`) регистрирует поставщика идентичности OIDC в вашей организации. Поле `jwks` — это размеченное объединение (discriminated union), которое управляет тем, как Anthropic получает ключи подписи поставщика:
| Значение `jwks` | Когда использовать |
| ---------------------------------------- | ---------------------------------------------------------------------------- |
| `{"type": "discovery"}` | Поставщик отдаёт `/.well-known/openid-configuration` по URL издателя. |
| `{"type": "explicit_url", "url": "..."}` | Указать непосредственно на конечную точку JWKS. |
| `{"type": "inline", "keys": [...]}` | Загрузить набор ключей для поставщиков, недоступных из публичного интернета. |
Регистрация издателя. В этом примере регистрируется GitHub Actions с обнаружением JWKS:
```bash cURL
curl --fail-with-body -sS "https://api.anthropic.com/v1/organizations/federation_issuers" \
-H "authorization: Bearer $ANTHROPIC_AUTH_TOKEN" \
-H "anthropic-version: 2023-06-01" \
-H "content-type: application/json" \
-d '{
"name": "github-actions",
"issuer_url": "https://token.actions.githubusercontent.com",
"jwks": {"type": "discovery"}
}'
```
```bash CLI
ant organization:federation:issuers create \
--name github-actions \
--issuer-url https://token.actions.githubusercontent.com \
--jwks '{type: discovery}'
```
```python Python
client = anthropic.Anthropic()
issuer = client.organization.federation.issuers.create(
name="github-actions",
issuer_url="https://token.actions.githubusercontent.com",
jwks={"type": "discovery"},
)
print(f"id: {issuer.id}")
print(f"name: {issuer.name}")
print(f"issuer_url: {issuer.issuer_url}")
```
```typescript TypeScript
const client = new Anthropic();
const issuer = await client.organization.federation.issuers.create({
name: "github-actions",
issuer_url: "https://token.actions.githubusercontent.com",
jwks: { type: "discovery" }
});
console.log(`id: ${issuer.id}`);
console.log(`name: ${issuer.name}`);
console.log(`issuer_url: ${issuer.issuer_url}`);
```
```csharp C#
using Anthropic.Models.Organization.Federation.Issuers;
AnthropicClient client = new();
var issuer = await client.Organization.Federation.Issuers.Create(new()
{
Name = "github-actions",
IssuerUrl = "https://token.actions.githubusercontent.com",
Jwks = new JwksDiscovery()
});
Console.WriteLine($"id: {issuer.ID}");
Console.WriteLine($"name: {issuer.Name}");
Console.WriteLine($"issuer_url: {issuer.IssuerUrl}");
```
```go Go
client := anthropic.NewClient()
issuer, err := client.Organization.Federation.Issuers.New(context.Background(), anthropic.OrganizationFederationIssuerNewParams{
Name: "github-actions",
IssuerURL: "https://token.actions.githubusercontent.com",
JWKS: anthropic.OrganizationFederationIssuerNewParamsJWKSUnion{
OfDiscovery: &anthropic.JWKSDiscoveryParam{},
},
})
if err != nil {
log.Fatal(err)
}
fmt.Printf("id: %s\n", issuer.ID)
fmt.Printf("name: %s\n", issuer.Name)
fmt.Printf("issuer_url: %s\n", issuer.IssuerURL)
```
```java Java
import com.anthropic.models.organization.federation.issuers.JwksDiscovery;
import com.anthropic.models.organization.federation.issuers.IssuerCreateParams;
void main() {
AnthropicClient client = AnthropicOkHttpClient.fromEnv();
var params = IssuerCreateParams.builder()
.name("github-actions")
.issuerUrl("https://token.actions.githubusercontent.com")
.jwks(JwksDiscovery.builder().build())
.build();
var issuer = client.organization().federation().issuers().create(params);
IO.println("id: " + issuer.id());
IO.println("name: " + issuer.name());
IO.println("issuer_url: " + issuer.issuerUrl());
}
```
```php PHP
$client = new Client();
$issuer = $client->organization->federation->issuers->create(
name: 'github-actions',
issuerURL: 'https://token.actions.githubusercontent.com',
jwks: ['type' => 'discovery'],
);
echo "id: {$issuer->id}\n";
echo "name: {$issuer->name}\n";
echo "issuer_url: {$issuer->issuerURL}\n";
```
```ruby Ruby
client = Anthropic::Client.new
issuer = client.organization.federation.issuers.create(
name: "github-actions",
issuer_url: "https://token.actions.githubusercontent.com",
jwks: {type: :discovery}
)
puts "id: #{issuer.id}"
puts "name: #{issuer.name}"
puts "issuer_url: #{issuer.issuer_url}"
```
Список издателей:
```bash cURL
curl --fail-with-body -sS "https://api.anthropic.com/v1/organizations/federation_issuers?limit=20" \
-H "authorization: Bearer $ANTHROPIC_AUTH_TOKEN" \
-H "anthropic-version: 2023-06-01"
```
```bash CLI
ant organization:federation:issuers list --limit 20
```
```python Python
client = anthropic.Anthropic()
issuers = client.organization.federation.issuers.list(limit=20)
for issuer in issuers:
print(f"{issuer.id}: {issuer.name}")
```
```typescript TypeScript
const client = new Anthropic();
for await (const issuer of client.organization.federation.issuers.list({ limit: 20 })) {
console.log(`${issuer.id}: ${issuer.name}`);
}
```
```csharp C#
AnthropicClient client = new();
var page = await client.Organization.Federation.Issuers.List(new() { Limit = 20 });
await foreach (var issuer in page.Paginate())
{
Console.WriteLine($"{issuer.ID}: {issuer.Name}");
}
```
```go Go
client := anthropic.NewClient()
issuers := client.Organization.Federation.Issuers.ListAutoPaging(context.Background(), anthropic.OrganizationFederationIssuerListParams{
Limit: anthropic.Int(20),
})
for issuers.Next() {
issuer := issuers.Current()
fmt.Printf("%s: %s\n", issuer.ID, issuer.Name)
}
if err := issuers.Err(); err != nil {
log.Fatal(err)
}
```
```java Java
import com.anthropic.models.organization.federation.issuers.IssuerListParams;
void main() {
AnthropicClient client = AnthropicOkHttpClient.fromEnv();
var params = IssuerListParams.builder()
.limit(20)
.build();
var issuers = client.organization().federation().issuers().list(params);
for (var issuer : issuers.autoPager()) {
IO.println(issuer.id() + ": " + issuer.name());
}
}
```
```php PHP
$client = new Client();
$issuers = $client->organization->federation->issuers->list(limit: 20);
foreach ($issuers->getItems() as $issuer) {
echo "{$issuer->id}: {$issuer->name}\n";
}
```
```ruby Ruby
client = Anthropic::Client.new
issuers = client.organization.federation.issuers.list(limit: 20)
issuers.data.each do |issuer|
puts "#{issuer.id}: #{issuer.name}"
end
```
Архивирование издателя:
```bash cURL
curl --fail-with-body -sS -X POST "https://api.anthropic.com/v1/organizations/federation_issuers/fdis_01ABCDEFabcdef0123456789XY/archive" \
-H "authorization: Bearer $ANTHROPIC_AUTH_TOKEN" \
-H "anthropic-version: 2023-06-01"
```
```bash CLI
ant organization:federation:issuers archive \
--federation-issuer-id fdis_01ABCDEFabcdef0123456789XY
```
```python Python
client = anthropic.Anthropic()
issuer = client.organization.federation.issuers.archive(
"fdis_01ABCDEFabcdef0123456789XY"
)
print(f"id: {issuer.id}")
print(f"archived_at: {issuer.archived_at}")
```
```typescript TypeScript
const client = new Anthropic();
const issuer = await client.organization.federation.issuers.archive(
"fdis_01ABCDEFabcdef0123456789XY"
);
console.log(`id: ${issuer.id}`);
console.log(`archived_at: ${issuer.archived_at}`);
```
```csharp C#
AnthropicClient client = new();
var issuer = await client.Organization.Federation.Issuers.Archive(
"fdis_01ABCDEFabcdef0123456789XY"
);
Console.WriteLine($"id: {issuer.ID}");
Console.WriteLine($"archived_at: {issuer.ArchivedAt:O}");
```
```go Go
client := anthropic.NewClient()
issuer, err := client.Organization.Federation.Issuers.Archive(
context.Background(),
"fdis_01ABCDEFabcdef0123456789XY",
)
if err != nil {
log.Fatal(err)
}
fmt.Printf("id: %s\n", issuer.ID)
fmt.Printf("archived_at: %s\n", issuer.ArchivedAt)
```
```java Java
AnthropicClient client = AnthropicOkHttpClient.fromEnv();
var issuer = client.organization().federation().issuers()
.archive("fdis_01ABCDEFabcdef0123456789XY");
IO.println("id: " + issuer.id());
IO.println("archived_at: " + issuer.archivedAt().orElseThrow());
```
```php PHP
$client = new Client();
$issuer = $client->organization->federation->issuers->archive(
federationIssuerID: 'fdis_01ABCDEFabcdef0123456789XY',
);
echo "id: {$issuer->id}\n";
echo "archived_at: {$issuer->archivedAt?->format(DATE_ATOM)}\n";
```
```ruby Ruby
client = Anthropic::Client.new
issuer_id = "fdis_01ABCDEFabcdef0123456789XY"
issuer = client.organization.federation.issuers.archive(issuer_id)
puts "id: #{issuer.id}"
puts "archived_at: #{issuer.archived_at}"
```
Чтобы прочитать или обновить отдельного издателя, используйте `GET` и `POST` на `/v1/organizations/federation_issuers/{issuer_id}`. Вызывающая сторона с OAuth не может обновить издателя, на котором основано правило, чей `oauth_scope` отличается от `workspace:developer` или `workspace:inference`; см. [Разрешения и ограничения](https://platform.claude.com/docs/ru/manage-claude/wif-admin-api#permissions-and-constraints).
Полное описание параметров и схем ответов см. в [справочнике API издателей федерации](https://platform.claude.com/docs/ru/api/organization/federation/issuers).
## Правила федерации
[Правило федерации](https://platform.claude.com/docs/ru/manage-claude/workload-identity-federation#federation-rules) (`fdrl_...`) связывает издателя с сервисным аккаунтом: JWT от издателя, удовлетворяющие условиям сопоставления правила, могут выпускать токены, действующие от имени цели правила. `workspace_id` в запросе на создание включает правило в этом рабочем пространстве при создании; добавляйте другие рабочие пространства позже через подресурс `/federation_rules/{rule_id}/workspaces`. При создании требуется либо `workspace_id`, либо `applies_to_all_workspaces: true`.
Создание правила. Этот пример позволяет развёртываниям GitHub Actions из ветки main действовать от имени сервисного аккаунта:
```bash cURL
curl --fail-with-body -sS "https://api.anthropic.com/v1/organizations/federation_rules" \
-H "authorization: Bearer $ANTHROPIC_AUTH_TOKEN" \
-H "anthropic-version: 2023-06-01" \
-H "content-type: application/json" \
-d '{
"name": "gha-deploy",
"issuer_id": "fdis_01ABCDEFabcdef0123456789XY",
"match": {
"subject_prefix": "repo:my-org/my-repo:ref:refs/heads/main",
"claims": {"repository_owner": "my-org"}
},
"target": {
"type": "service_account",
"service_account_id": "svac_01ABCDEFabcdef0123456789XY"
},
"workspace_id": "wrkspc_01JwQvzr7rXLA5AGx3HKfFUJ",
"oauth_scope": "workspace:developer",
"token_lifetime_seconds": 600
}'
```
```bash CLI
ant organization:federation:rules create <<'YAML'
name: gha-deploy
issuer_id: fdis_01ABCDEFabcdef0123456789XY
match:
subject_prefix: "repo:my-org/my-repo:ref:refs/heads/main"
claims:
repository_owner: my-org
target:
type: service_account
service_account_id: svac_01ABCDEFabcdef0123456789XY
workspace_id: wrkspc_01JwQvzr7rXLA5AGx3HKfFUJ
oauth_scope: "workspace:developer"
token_lifetime_seconds: 600
YAML
```
```python Python
client = anthropic.Anthropic()
rule = client.organization.federation.rules.create(
name="gha-deploy",
issuer_id="fdis_01ABCDEFabcdef0123456789XY",
match={
"subject_prefix": "repo:my-org/my-repo:ref:refs/heads/main",
"claims": {"repository_owner": "my-org"},
},
target={
"type": "service_account",
"service_account_id": "svac_01ABCDEFabcdef0123456789XY",
},
workspace_id="wrkspc_01JwQvzr7rXLA5AGx3HKfFUJ",
oauth_scope="workspace:developer",
token_lifetime_seconds=600,
)
print(f"id: {rule.id}")
print(f"name: {rule.name}")
```
```typescript TypeScript
const client = new Anthropic();
const rule = await client.organization.federation.rules.create({
name: "gha-deploy",
issuer_id: "fdis_01ABCDEFabcdef0123456789XY",
match: {
subject_prefix: "repo:my-org/my-repo:ref:refs/heads/main",
claims: { repository_owner: "my-org" }
},
target: {
type: "service_account",
service_account_id: "svac_01ABCDEFabcdef0123456789XY"
},
workspace_id: "wrkspc_01JwQvzr7rXLA5AGx3HKfFUJ",
oauth_scope: "workspace:developer",
token_lifetime_seconds: 600
});
console.log(`id: ${rule.id}`);
console.log(`name: ${rule.name}`);
```
```csharp C#
AnthropicClient client = new();
var rule = await client.Organization.Federation.Rules.Create(new()
{
Name = "gha-deploy",
IssuerID = "fdis_01ABCDEFabcdef0123456789XY",
Match = new()
{
SubjectPrefix = "repo:my-org/my-repo:ref:refs/heads/main",
Claims = new Dictionary { ["repository_owner"] = "my-org" }
},
Target = new() { ServiceAccountID = "svac_01ABCDEFabcdef0123456789XY" },
WorkspaceID = "wrkspc_01JwQvzr7rXLA5AGx3HKfFUJ",
OAuthScope = "workspace:developer",
TokenLifetimeSeconds = 600
});
Console.WriteLine($"id: {rule.ID}");
Console.WriteLine($"name: {rule.Name}");
```
```go Go
client := anthropic.NewClient()
rule, err := client.Organization.Federation.Rules.New(context.Background(), anthropic.OrganizationFederationRuleNewParams{
Name: "gha-deploy",
IssuerID: "fdis_01ABCDEFabcdef0123456789XY",
Match: anthropic.FederationRuleMatchParam{
SubjectPrefix: anthropic.String("repo:my-org/my-repo:ref:refs/heads/main"),
Claims: map[string]string{"repository_owner": "my-org"},
},
Target: anthropic.ServiceAccountTargetParam{
ServiceAccountID: "svac_01ABCDEFabcdef0123456789XY",
},
WorkspaceID: anthropic.String("wrkspc_01JwQvzr7rXLA5AGx3HKfFUJ"),
OAuthScope: "workspace:developer",
TokenLifetimeSeconds: anthropic.Int(600),
})
if err != nil {
log.Fatal(err)
}
fmt.Printf("id: %s\n", rule.ID)
fmt.Printf("name: %s\n", rule.Name)
```
```java Java
import com.anthropic.core.JsonValue;
import com.anthropic.models.organization.federation.rules.FederationRuleMatch;
import com.anthropic.models.organization.federation.rules.ServiceAccountTarget;
import com.anthropic.models.organization.federation.rules.RuleCreateParams;
void main() {
AnthropicClient client = AnthropicOkHttpClient.fromEnv();
var match = FederationRuleMatch.builder()
.subjectPrefix("repo:my-org/my-repo:ref:refs/heads/main")
.claims(FederationRuleMatch.Claims.builder()
.putAdditionalProperty("repository_owner", JsonValue.from("my-org"))
.build())
.build();
var params = RuleCreateParams.builder()
.name("gha-deploy")
.issuerId("fdis_01ABCDEFabcdef0123456789XY")
.match(match)
.target(ServiceAccountTarget.of("svac_01ABCDEFabcdef0123456789XY"))
.workspaceId("wrkspc_01JwQvzr7rXLA5AGx3HKfFUJ")
.oauthScope("workspace:developer")
.tokenLifetimeSeconds(600)
.build();
var rule = client.organization().federation().rules().create(params);
IO.println("id: " + rule.id());
IO.println("name: " + rule.name());
}
```
```php PHP
$client = new Client();
$rule = $client->organization->federation->rules->create(
name: 'gha-deploy',
issuerID: 'fdis_01ABCDEFabcdef0123456789XY',
match: [
'subjectPrefix' => 'repo:my-org/my-repo:ref:refs/heads/main',
'claims' => ['repository_owner' => 'my-org'],
],
target: [
'type' => 'service_account',
'serviceAccountID' => 'svac_01ABCDEFabcdef0123456789XY',
],
workspaceID: 'wrkspc_01JwQvzr7rXLA5AGx3HKfFUJ',
oauthScope: 'workspace:developer',
tokenLifetimeSeconds: 600,
);
echo "id: {$rule->id}\n";
echo "name: {$rule->name}\n";
```
```ruby Ruby
client = Anthropic::Client.new
rule = client.organization.federation.rules.create(
name: "gha-deploy",
issuer_id: "fdis_01ABCDEFabcdef0123456789XY",
match: {
subject_prefix: "repo:my-org/my-repo:ref:refs/heads/main",
claims: {repository_owner: "my-org"}
},
target: {
type: :service_account,
service_account_id: "svac_01ABCDEFabcdef0123456789XY"
},
workspace_id: "wrkspc_01JwQvzr7rXLA5AGx3HKfFUJ",
oauth_scope: "workspace:developer",
token_lifetime_seconds: 600
)
puts "id: #{rule.id}"
puts "name: #{rule.name}"
```
Список правил, при необходимости отфильтрованный по издателю:
```bash cURL
curl --fail-with-body -sS "https://api.anthropic.com/v1/organizations/federation_rules?issuer_id=fdis_01ABCDEFabcdef0123456789XY" \
-H "authorization: Bearer $ANTHROPIC_AUTH_TOKEN" \
-H "anthropic-version: 2023-06-01"
```
```bash CLI
ant organization:federation:rules list \
--issuer-id fdis_01ABCDEFabcdef0123456789XY
```
```python Python
client = anthropic.Anthropic()
rules = client.organization.federation.rules.list(
issuer_id="fdis_01ABCDEFabcdef0123456789XY"
)
for rule in rules:
print(f"{rule.id}: {rule.name}")
```
```typescript TypeScript
const client = new Anthropic();
for await (const rule of client.organization.federation.rules.list({
issuer_id: "fdis_01ABCDEFabcdef0123456789XY"
})) {
console.log(`${rule.id}: ${rule.name}`);
}
```
```csharp C#
AnthropicClient client = new();
var page = await client.Organization.Federation.Rules.List(new()
{
IssuerID = "fdis_01ABCDEFabcdef0123456789XY"
});
await foreach (var rule in page.Paginate())
{
Console.WriteLine($"{rule.ID}: {rule.Name}");
}
```
```go Go
client := anthropic.NewClient()
rules := client.Organization.Federation.Rules.ListAutoPaging(context.Background(), anthropic.OrganizationFederationRuleListParams{
IssuerID: anthropic.String("fdis_01ABCDEFabcdef0123456789XY"),
})
for rules.Next() {
rule := rules.Current()
fmt.Printf("%s: %s\n", rule.ID, rule.Name)
}
if err := rules.Err(); err != nil {
log.Fatal(err)
}
```
```java Java
import com.anthropic.models.organization.federation.rules.RuleListParams;
void main() {
AnthropicClient client = AnthropicOkHttpClient.fromEnv();
var params = RuleListParams.builder()
.issuerId("fdis_01ABCDEFabcdef0123456789XY")
.build();
var rules = client.organization().federation().rules().list(params);
for (var rule : rules.autoPager()) {
IO.println(rule.id() + ": " + rule.name());
}
}
```
```php PHP
$client = new Client();
$rules = $client->organization->federation->rules->list(
issuerID: 'fdis_01ABCDEFabcdef0123456789XY',
);
foreach ($rules->getItems() as $rule) {
echo "{$rule->id}: {$rule->name}\n";
}
```
```ruby Ruby
client = Anthropic::Client.new
rules = client.organization.federation.rules.list(
issuer_id: "fdis_01ABCDEFabcdef0123456789XY"
)
rules.data.each do |rule|
puts "#{rule.id}: #{rule.name}"
end
```
Архивирование правила:
```bash cURL
curl --fail-with-body -sS -X POST "https://api.anthropic.com/v1/organizations/federation_rules/fdrl_01ABCDEFabcdef0123456789XY/archive" \
-H "authorization: Bearer $ANTHROPIC_AUTH_TOKEN" \
-H "anthropic-version: 2023-06-01"
```
```bash CLI
ant organization:federation:rules archive \
--federation-rule-id fdrl_01ABCDEFabcdef0123456789XY
```
```python Python
client = anthropic.Anthropic()
rule = client.organization.federation.rules.archive("fdrl_01ABCDEFabcdef0123456789XY")
print(f"id: {rule.id}")
print(f"archived_at: {rule.archived_at}")
```
```typescript TypeScript
const client = new Anthropic();
const rule = await client.organization.federation.rules.archive(
"fdrl_01ABCDEFabcdef0123456789XY"
);
console.log(`id: ${rule.id}`);
console.log(`archived_at: ${rule.archived_at}`);
```
```csharp C#
AnthropicClient client = new();
var rule = await client.Organization.Federation.Rules.Archive(
"fdrl_01ABCDEFabcdef0123456789XY"
);
Console.WriteLine($"id: {rule.ID}");
Console.WriteLine($"archived_at: {rule.ArchivedAt:O}");
```
```go Go
client := anthropic.NewClient()
rule, err := client.Organization.Federation.Rules.Archive(
context.Background(),
"fdrl_01ABCDEFabcdef0123456789XY",
)
if err != nil {
log.Fatal(err)
}
fmt.Printf("id: %s\n", rule.ID)
fmt.Printf("archived_at: %s\n", rule.ArchivedAt)
```
```java Java
AnthropicClient client = AnthropicOkHttpClient.fromEnv();
var rule = client.organization().federation().rules()
.archive("fdrl_01ABCDEFabcdef0123456789XY");
IO.println("id: " + rule.id());
IO.println("archived_at: " + rule.archivedAt().orElseThrow());
```
```php PHP
$client = new Client();
$rule = $client->organization->federation->rules->archive(
federationRuleID: 'fdrl_01ABCDEFabcdef0123456789XY',
);
echo "id: {$rule->id}\n";
echo "archived_at: {$rule->archivedAt?->format(DATE_ATOM)}\n";
```
```ruby Ruby
client = Anthropic::Client.new
rule_id = "fdrl_01ABCDEFabcdef0123456789XY"
rule = client.organization.federation.rules.archive(rule_id)
puts "id: #{rule.id}"
puts "archived_at: #{rule.archived_at}"
```
Конечная точка списка возвращает страницу правил и курсор для следующей страницы:
```json
{
"data": [{ "id": "fdrl_...", "name": "gha-deploy", "...": "..." }],
"next_page": "..."
}
```
Чтобы прочитать или обновить отдельное правило, используйте `GET` и `POST` на `/v1/organizations/federation_rules/{rule_id}`. Чтобы управлять рабочими пространствами, в которых правило может выпускать токены, используйте `GET` и `POST` на `/v1/organizations/federation_rules/{rule_id}/workspaces` и `DELETE` на `/v1/organizations/federation_rules/{rule_id}/workspaces/{workspace_id}`.
Полное описание параметров и схем ответов см. в [справочнике API правил федерации](https://platform.claude.com/docs/ru/api/organization/federation/rules).
## Разрешения и ограничения
* Вызывающие стороны, аутентифицированные через OAuth, могут создавать или изменять только правила, чей `oauth_scope` равен `workspace:developer` или `workspace:inference`. Чтобы создать или изменить правило с любой другой областью действия (например, `org:admin` или `workspace:manage_tunnels`), используйте Console.
* Вызывающая сторона с OAuth не может обновить издателя федерации, на котором основано правило, чей `oauth_scope` отличается от `workspace:developer` или `workspace:inference` (например, `org:admin` или `workspace:manage_tunnels`). Рассмотрите возможность регистрации выделенного издателя для правила начальной настройки, чтобы издатели, стоящие за правилами уровня рабочего пространства, оставались обновляемыми через API.
* Ключи Admin API не принимаются на этих конечных точках ни для чтения, ни для записи; используйте OAuth-токен `org:admin`.
Правило с `oauth_scope: org:admin` должно быть нацелено на сервисный аккаунт, у которого `organization_role` равна `admin`. Имена ресурсов должны соответствовать `^[a-z0-9-]+$`, иметь длину от 1 до 255 символов и быть уникальными в пределах организации для каждого типа ресурса; полные ограничения на уровне полей см. в разделе [Правила валидации](https://platform.claude.com/docs/ru/manage-claude/wif-reference#validation-rules).
## Пагинация и архивирование
Конечные точки списков сервисных аккаунтов, издателей федерации и правил федерации принимают `limit` (от 1 до 100, по умолчанию 20) и курсор `page`, взятый из предыдущего ответа. Передавайте значение `next_page` из ответа в качестве параметра запроса `page` в следующем запросе. Список подресурса рабочих пространств правила возвращает полный набор без пагинации. Архивированные ресурсы по умолчанию скрыты из списков; передайте `include_archived=true`, чтобы включить их.
Архивирование — это мягкое удаление, и оно идемпотентно: архивирование уже архивированного ресурса завершается успешно. Архивирование издателя или сервисного аккаунта возвращает `400`, пока на него всё ещё ссылается действующее правило федерации; сначала архивируйте правило.
## См. также
* [Workload Identity Federation](https://platform.claude.com/docs/ru/manage-claude/workload-identity-federation): концепции и пошаговое руководство по настройке в Console
* [Справочник WIF](https://platform.claude.com/docs/ru/manage-claude/wif-reference): переменные окружения, правила валидации, области действия OAuth и коды ошибок
* [Admin API](https://platform.claude.com/docs/ru/manage-claude/admin-api): остальная часть поверхности управления организацией
* [Справочник Admin API](https://platform.claude.com/docs/ru/api/organization): сгенерированные схемы запросов и ответов для конечных точек сервисных аккаунтов и федерации