CLI 身份验证选项

ant CLI 支持多种凭据来源。快速入门介绍了单命令的理想路径（ant auth login）。本页面完整介绍每个选项。

交互式登录

ant auth login 让您无需创建或管理 API 密钥即可调用 API。它会针对 Claude Console 打开一个基于浏览器的 OAuth 流程，并将生成的凭据存储在 $ANTHROPIC_CONFIG_DIR 下（有关特定操作系统的默认值，请参阅配置目录）。在远程主机上或任何没有本地浏览器的环境中，传递 --no-browser 以打印授权 URL，并将返回的代码粘贴回终端。

ant auth login

# 在没有浏览器的远程主机上：
ant auth login --no-browser

# 绑定到特定工作区并跳过浏览器选择器：
ant auth login --workspace-id wrkspc_01...

# 如果您通过 --profile 传入的命名配置文件不存在，
# 将使用该名称创建一个新的命名配置文件。
ant auth login --profile <profile-name>

在浏览器流程中，您需要选择一个组织，然后选择一个工作区。颁发的令牌限定于该工作区，因此 CLI 只能看到属于该工作区的资源。传递 --workspace-id 可直接绑定并跳过选择器。要在多个工作区中工作，请参阅在工作区之间切换。

交互式登录适用于您自己机器上的本地开发和脚本编写。对于 CI、服务器和容器等非交互式工作负载，请改用 Workload Identity Federation。

登录会将凭据写入 credentials/<profile>.json。配置文件的首次登录还会创建 configs/<profile>.json 并将其设置为活动配置文件。要删除存储的凭据，请运行 ant auth logout，或运行 ant auth logout --all 以清除每个配置文件。

管理员访问

默认情况下，ant auth login 请求一个限定于工作区的令牌。要管理 Admin API 页面上记录的资源，请在专用配置文件下请求 org:admin 范围：

ant auth login --profile admin --scope "org:admin"

# 打印用于 Authorization 标头的 bearer token：
ant auth print-credentials --profile admin --access-token

org:admin 范围仅授予具有管理员、所有者或主要所有者角色的组织成员。颁发的令牌具有组织范围的访问权限，配置文件上的任何工作区绑定都不会对其进行约束。请将管理员配置文件与您的日常配置文件分开，这样常规命令就永远不会以提升的访问权限运行。

API 密钥

CLI 还会从 ANTHROPIC_API_KEY 环境变量中读取您的 API 密钥。从 Claude Console 获取密钥。

echo 'export ANTHROPIC_API_KEY=sk-ant-api03-...' >> ~/.zshrc
source ~/.zshrc

echo 'export ANTHROPIC_API_KEY=sk-ant-api03-...' >> ~/.bashrc
source ~/.bashrc

setx ANTHROPIC_API_KEY "sk-ant-api03-..."

要为单次调用覆盖密钥，请传递 --api-key。要指向不同的 API 主机，请设置 ANTHROPIC_BASE_URL 或传递 --base-url。

如果您使用的是限定于多个工作区的 API 密钥，例如个人或服务账户密钥，则必须指定工作区来运行命令。可以通过设置 ANTHROPIC_WORKSPACE_ID 环境变量（CLI 会自动读取）来实现，或使用 --workspace-id 标志。该值必须是 wrkspc_... ID。

ant messages create \
  --workspace-id wrkspc_01... \
  --model claude-opus-5-5 \
  --max-tokens 1024 \
  --message '{role: user, content: "Hello, Claude"}'

检查身份验证状态

ant auth status 会打印 CLI 选择的凭据来源（API 密钥环境变量、OAuth 登录、联合身份验证或配置文件）、活动配置文件、活动令牌绑定的工作区以及配置目录路径。使用它来诊断工作负载为何选择了错误的凭据或工作区。

ant auth status

Active profile:  default
Config dir:      ~/.config/anthropic
Profile config:  ~/.config/anthropic/configs/default.json
Credentials:     ~/.config/anthropic/credentials/default.json

Credentials
  (active) * Profile (user_oauth) [via active_config]       sk-ant-oat01-EXA...
...

Workspace
  (active) * Workspace                                      wrkspc_01... (Engineering)

阅读 (active) 行以查看哪个凭据来源和工作区胜出。该命令报告状态而不是执行健康检查，因此不要针对退出状态编写脚本。有关凭据来源的完整排序，请参阅凭据优先级。

在工作区之间切换

交互式登录令牌绑定到单个工作区。要针对多个工作区使用 CLI，请在各自的命名配置文件下登录每个工作区，然后在它们之间切换：

# 1. 创建配置文件（交互式；在浏览器中选择另一个工作区，
#    或传入 --workspace-id 以跳过选择器）：
# ant auth login --profile other-ws

# 2. 将其设为后续命令的默认值：
ant profile activate other-ws

# 3. 或在不更改默认值的情况下为单个命令选择它：
ant --profile other-ws models list
ANTHROPIC_PROFILE=other-ws ant models list

运行 ant auth status 以确认哪个配置文件和工作区处于活动状态。

管理配置文件

ant profile 子命令可直接检查和编辑配置文件状态：

ant profile list
ant profile get --profile other-ws
ant profile set workspace_id wrkspc_01... --profile other-ws

ant profile set 的可写键为 workspace_id、base_url、organization_id、scope、client_id 和 console_url。设置 workspace_id 会在配置文件配置中记录目标工作区，但不会重新绑定已颁发的凭据；请在该配置文件下再次运行 ant auth login 以为新工作区铸造令牌。

有关配置文件的文件架构和联合身份验证块，请参阅配置文件配置文件。有关 Workload Identity Federation，请参阅身份验证概述和 WIF 参考。

后续步骤