Autenticazione

​

Accedi a Claude Code

• Chiave API: hai impostato la variabile d’ambiente ANTHROPIC_API_KEY e approvi la chiave quando Claude Code ti chiede se utilizzarla
• Accesso precedente: hai eseguito claude auth login nella tua shell prima della tua prima sessione, oppure hai ricostruito un dev container che conserva le tue credenziali in un volume. Se vedi comunque il prompt di accesso, verifica cosa può causarlo.

• Abbonamento Claude Pro, Max o Ultra: accedi con il tuo account claude.ai. Abbonati su claude.com/pricing.
• Claude for Teams o Enterprise: accedete con l’account claude.ai che l’amministratore del vostro team vi ha invitato a utilizzare.
• Claude Console: accedete con le vostre credenziali Console. L’amministratore deve avervi invitato prima. Potete accedere con o senza creare una chiave API.
• Provider cloud: se la vostra organizzazione utilizza Amazon Bedrock, Google Cloud’s Agent Platform, o Microsoft Foundry, impostate le variabili di ambiente richieste prima di eseguire claude, oppure selezionate 3rd-party platform al prompt di accesso, che avvia una procedura guidata di configurazione interattiva per Bedrock e Vertex AI. Non è necessario alcun accesso tramite browser.
• Cloud gateway: se la vostra organizzazione esegue un gateway di app Claude auto-ospitato, accedete con SSO aziendale tramite /login. Il token emesso dal gateway è l’unica credenziale della sessione.

​

Il prompt di accesso appare ancora dopo un accesso precedente

• Accesso scaduto: il tuo accesso precedente è scaduto e Claude Code non riesce a rinnovarlo. Accedi di nuovo al prompt.
• Accesso limitato a un’organizzazione: un amministratore ha impostato forceLoginOrgUUID nelle impostazioni gestite per richiedere accessi da organizzazioni specifiche. Il prompt appare indipendentemente dal fatto che il tuo account appartenga o meno a una di esse. Accedi con un account di un’organizzazione richiesta. Se non ne hai uno, chiedi al tuo amministratore di aggiungerti.
• Metodo di accesso richiesto: il tuo accesso non è del tipo richiesto da forceLoginMethod in un file di impostazioni. Con "claudeai", una chiave API proveniente da un precedente accesso a Claude Console non conta come accesso esistente. Con "console", non conta un account claude.ai. Accedi con il tipo di account indicato da quell’impostazione.
• Versione precedente: prima della v2.1.290, il prompt appariva durante la configurazione indipendentemente dal fatto che avessi effettuato l’accesso. Aggiorna Claude Code per saltarlo.

​

Accedi con più account

alias claude-work='CLAUDE_CONFIG_DIR=~/.claude-work claude'

​

Configurare l’autenticazione del team

• Claude for Teams o Enterprise, consigliato per la maggior parte dei team
• Claude Console
• Claude apps gateway, un gateway auto-ospitato che consente ai sviluppatori di accedere con il vostro IdP e instrada l’inferenza al provider cloud che configurate
• Amazon Bedrock
• Google Cloud’s Agent Platform
• Microsoft Foundry

​

Claude for Teams o Enterprise

• Claude for Teams: piano self-service con funzionalità di collaborazione, strumenti di amministrazione, SSO, gestione della fatturazione e impostazioni gestite dal server per la configurazione Claude Code a livello organizzativo. Ideale per team più piccoli.
• Claude for Enterprise: aggiunge domain capture, autorizzazioni basate su ruoli e API di conformità. Ideale per organizzazioni più grandi con requisiti di sicurezza e conformità.

​

Autenticazione Claude Console

​

Accedere senza una chiave API

• Accedete con il vostro account Console, etichettato (recommended): Claude Code mantiene il token OAuth da quell’accesso e lo memorizza come un profilo Anthropic. Non crea alcuna chiave API
• Creare una chiave API, etichettato (legacy): Claude Code crea una chiave API Console per voi e la memorizza con le vostre altre credenziali

• Eseguite contro un provider cloud, come Amazon Bedrock, Google Cloud’s Agent Platform, o Microsoft Foundry o Claude Platform on AWS
• Un qualsiasi file di impostazioni imposta forceLoginOrgUUID, o imposta forceLoginMethod su "claudeai"
• forceLoginMethod è "console" e nessun file di impostazioni imposta forceLoginOrgUUID, finché non riprovi dalla schermata di errore dopo un accesso non riuscito
• Una fonte di impostazioni gestite sulla vostra macchina, come il file di impostazioni gestite, un profilo MDM, o le impostazioni gestite dal server memorizzate nella cache, esiste ma Claude Code non può leggerla e nessun’altra fonte gestita fornisce una policy

• Quale profilo scrive: Claude Code scrive il profilo denominato da ANTHROPIC_PROFILE, o il vostro profilo attivo, o default. Se quel profilo è un profilo di federazione, Claude Code rifiuta l’accesso invece di sovrascriverlo
• Da cosa vi disconnette: Claude Code vi disconnette da qualsiasi accesso claude.ai memorizzato sulla macchina
• Come annullarlo: eseguite /logout, che rimuove e revoca la credenziale che questo accesso ha scritto

​

Smettere di offrire l’accesso senza chiave sulle macchine gestite

• Accessi senza chiave: per far passare uno sviluppatore a una chiave API, chiedigli di uscire e poi accedere di nuovo a Console, operazione che crea la chiave. Per un accesso senza chiave, esegue claude auth logout nella sua shell. Per un profilo creato con ant auth login, esegue ant auth logout. Claude Code rifiuta la sessione se sulla macchina sono presenti sia un profilo sia una chiave API, quindi deve uscire prima.
• Credenziali d’ambiente e di helper: Claude Code rifiuta le sessioni che si autenticano con ANTHROPIC_API_KEY, ANTHROPIC_AUTH_TOKEN o apiKeyHelper, anche quando sono fornite dalle impostazioni gestite. Rimuovi queste credenziali, poi chiedi agli sviluppatori di eseguire /login per creare una chiave API salvata.
• Accessi claude.ai: Claude Code rifiuta un accesso a un’organizzazione che non hai elencato, incluso uno già in uso sulla macchina. Per mantenerne uno, aggiungilo a un array forceLoginOrgUUID.

​

Autenticazione del provider cloud

​

Limitare l’accesso alla vostra organizzazione

• Accessi terminale, estensione VS Code, e Agent SDK: verificano forceLoginOrgUUID per gli accessi dell’account claude.ai
• claude setup-token e /install-github-app: applicano solo forceLoginMethod, quindi possono coniare un token in un’organizzazione diversa
• Accesso gateway: selezionato da forceLoginMethod: "gateway" piuttosto che limitato da esso, e non autentica rispetto a un’organizzazione Anthropic, quindi forceLoginOrgUUID non si applica; utilizzate il vostro provider di identità gateway per limitare l’accesso

• ANTHROPIC_API_KEY, ANTHROPIC_AUTH_TOKEN, o apiKeyHelper: bloccati all’avvio. Sotto forceLoginOrgUUID, l’appartenenza all’organizzazione non può essere verificata per una credenziale di ambiente, e sotto forceLoginMethod la credenziale starebbe al posto dell’accesso richiesto. Quando le impostazioni gestite richiedono anche l’accesso gateway, Claude Code blocca una chiave API salvata da un precedente accesso Claude Console allo stesso modo. Vedete Administrator policy requires a Cloud gateway sign-in
• Sessioni del provider cloud come Amazon Bedrock: bloccate solo mentre una credenziale ANTHROPIC_API_KEY, ANTHROPIC_AUTH_TOKEN, o apiKeyHelper, o una chiave API salvata da un precedente accesso Claude Console, è ancora presente sulla macchina. Rimuovetela e la sessione inizia. Queste sessioni si autenticano rispetto al vostro provider cloud, le cui policy di accesso le governano
• Profilo Anthropic o credenziali di federazione: non bloccate a meno che una credenziale ANTHROPIC_API_KEY, ANTHROPIC_AUTH_TOKEN, o apiKeyHelper, o una chiave API salvata da un precedente accesso Claude Console, sia anche presente sulla macchina. Le chiavi non controllano a quale organizzazione appartiene il profilo

​

Limitare quali provider API una macchina può utilizzare

{
  "forceLoginMethod": "claudeai",
  "forceLoginOrgUUID": ["xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"],
  "allowedProviders": ["anthropic", "bedrock"]
}

• Consentire un gateway LLM o proxy: elencate "customEndpoint" e impostate l’URL del gateway nel blocco env gestito della stessa fonte. Il riferimento delle impostazioni elenca ogni valore e dice quali variabili di endpoint necessitano di un pin env gestito.
• Distribuire su macchine gestite: mettete l’elenco nella fonte gestita che porta il resto della vostra policy. La nota Scope della voce dice come un elenco gestito dal server si combina con esso.
• Solo impostazioni gestite dal server: un elenco che impostate solo nelle impostazioni gestite dal server raggiunge solo le sessioni che recuperano le impostazioni della vostra organizzazione, quindi trattarlo come una comodità per le macchine che non potete raggiungere con la gestione dei dispositivi, non come applicazione. La disponibilità della piattaforma elenca quali sessioni le recuperano.

​

Gestione delle credenziali

• Posizione di archiviazione:
  • Su macOS, le credenziali sono archiviate nel Keychain macOS crittografato. Quando il Keychain rifiuta la scrittura, ad esempio quando è bloccato in una sessione SSH, Claude Code archivia il Vostro accesso in ~/.claude/.credentials.json con modalità file 0600 invece, lo stesso archiviazione che utilizza su Linux. Un accesso Console che crea una chiave API fallisce fino a quando il Keychain non è scrivibile. Per spostare il Vostro accesso di nuovo nel Keychain, seguite i passaggi di recupero.
  • Su Linux, le credenziali sono archiviate in ~/.claude/.credentials.json con modalità file 0600.
  • Su Windows, le credenziali sono archiviate in %USERPROFILE%\.claude\.credentials.json e ereditano i controlli di accesso della directory del profilo utente, che limita il file al Vostro account utente per impostazione predefinita.
  • Se avete impostato la variabile di ambiente CLAUDE_CONFIG_DIR, Claude Code mantiene il file .credentials.json in quella directory, incluso il file che il fallback macOS scrive, e chiave la voce macOS Keychain a quella directory anche, quindi una sessione con un CLAUDE_CONFIG_DIR diverso legge una voce diversa.
  • Claude Code gestisce .credentials.json attraverso /login e /logout. Per instradare le richieste attraverso un endpoint API personalizzato, impostate invece la variabile di ambiente ANTHROPIC_BASE_URL.
• Tipi di autenticazione supportati: credenziali claude.ai, credenziali API Claude, Microsoft Foundry Auth, Bedrock Auth, Vertex Auth, credenziali del profilo Anthropic e Workload Identity Federation, e token di sessione del gateway delle app Claude.
• Script di credenziali personalizzati: configurate l’impostazione apiKeyHelper per eseguire uno script shell che restituisce una chiave API.
• Intervalli di aggiornamento: consultate apiKeyHelper per i casi in cui Claude Code esegue di nuovo l’helper.
• Avviso di helper lento: se apiKeyHelper impiega più di 10 secondi per restituire una chiave, Claude Code visualizza un avviso nella barra del prompt mostrando il tempo trascorso. Se vedete questo avviso regolarmente, verificate se lo script di credenziali può essere ottimizzato.
• Errori dell’helper: quando lo script esce con un errore, scade il timeout, o non stampa nulla, le richieste falliscono con Your apiKeyHelper script is failing entro tre tentativi.

​

Rinnovare un accesso in scadenza

​

Precedenza di autenticazione

1. Credenziali del provider cloud, quando CLAUDE_CODE_USE_BEDROCK, CLAUDE_CODE_USE_VERTEX, o CLAUDE_CODE_USE_FOUNDRY è impostato. Consultate integrazioni di terze parti per la configurazione.
2. Variabile di ambiente ANTHROPIC_AUTH_TOKEN. Inviata come header Authorization: Bearer. Utilizzatela quando si instrada attraverso un gateway LLM o proxy che si autentica con bearer token anziché chiavi API Anthropic.
3. Variabile di ambiente ANTHROPIC_API_KEY. Inviata come header X-Api-Key. Utilizzatela per l’accesso diretto all’API Anthropic con una chiave dalla Claude Console. In modalità interattiva, vi viene chiesto una volta di approvare o rifiutare la chiave, e la Vostra scelta viene ricordata. Per cambiarla in seguito, utilizzate l’interruttore “Use custom API key” in /config. L’interruttore appare solo mentre ANTHROPIC_API_KEY è impostato nel Vostro ambiente. In modalità non interattiva (-p), la chiave viene sempre utilizzata quando presente.
4. Output dello script apiKeyHelper. Utilizzatelo per credenziali dinamiche o rotanti, come token di breve durata recuperati da un vault.
5. Variabile di ambiente CLAUDE_CODE_OAUTH_TOKEN. Un token OAuth di lunga durata generato da claude setup-token. Utilizzatelo per pipeline CI e script dove l’accesso tramite browser non è disponibile. Se eseguite /login mentre la variabile è impostata, Claude Code passa la sessione corrente al nuovo accesso, ma legge di nuovo la variabile in ogni nuova sessione fino a quando non la rimuovete dal Vostro profilo shell o dal blocco env di un file di impostazioni.
6. Credenziali del profilo Anthropic e di federazione, le credenziali che la CLI ant e Workload Identity Federation utilizzano. Un profilo che ant auth login ha scritto si classifica qui solo quando lo nominate in ANTHROPIC_PROFILE; altrimenti si classifica al di sotto di /login. Consultate Profili Anthropic e credenziali di federazione.
7. Credenziali OAuth dell’abbonamento da /login. Questo è il valore predefinito per gli utenti Claude Pro, Max, Ultra, Team ed Enterprise.

​

Profili Anthropic e credenziali di federazione

• Profilo denominato o variabili di federazione: annullate ANTHROPIC_PROFILE, o annullate una variabile di federazione
• Profilo attivo: eseguite /logout per un profilo user_oauth la cui credenziale corrente avete scritto effettuando l’accesso a un account Console senza una chiave API, eseguite ant auth logout per uno la cui credenziale corrente ant auth login ha scritto, o eliminate il file del profilo da configs/ nella Vostra directory di configurazione per entrambe le modalità di autenticazione

​

Generare un token di lunga durata

claude setup-token

export CLAUDE_CODE_OAUTH_TOKEN=your-token

$env:CLAUDE_CODE_OAUTH_TOKEN = "your-token"

set CLAUDE_CODE_OAUTH_TOKEN=your-token