SpyBara
Go Premium

authentication.md 2026-10-22 22:58 UTC to 2026-10-23 22:59 UTC

This page contains 57 additions and 57 deletions.

2026
Thu 1 23:59 Wed 7 23:59 Thu 8 22:58 Sat 10 23:01 Sun 11 23:57 Tue 20 23:00 Thu 22 22:58 Fri 23 22:59 Wed 28 23:57 Fri 30 23:01

Autenticação

Faça login no Claude Code e configure a autenticação para indivíduos, equipes e organizações.

Claude Code suporta múltiplos métodos de autenticação dependendo da sua configuração. Usuários individuais podem fazer login com uma conta Claude.ai, enquanto equipes podem usar Claude for Teams ou Enterprise, o Claude Console, ou um provedor de nuvem como Amazon Bedrock, Google Cloud's Agent Platform ou Microsoft Foundry.

Faça login no Claude Code

Após instalar Claude Code, execute claude no seu terminal. No primeiro lançamento, Claude Code abre uma janela do navegador para você fazer login, exceto em casos como estes, em que ele pode pular o prompt de login:

  • Chave de API: você definiu a variável de ambiente ANTHROPIC_API_KEY e aprova a chave quando Claude Code pergunta se deve usá-la
  • Login anterior: você executou claude auth login no seu shell antes da sua primeira sessão, ou reconstruiu um dev container que mantém suas credenciais em um volume. Se o prompt de login aparecer mesmo assim, verifique o que pode causá-lo.

Se o navegador não abrir automaticamente, pressione c para copiar a URL de login para sua área de transferência, depois cole-a no seu navegador.

Se seu navegador mostrar um código de login em vez de redirecionar de volta após você se conectar, cole-o no terminal no prompt Paste code here if prompted. Isso acontece quando o navegador não consegue alcançar o servidor de callback local do Claude Code, o que é comum em WSL2, sessões SSH e contêineres.

Quando o login é concluído, o terminal mostra Login successful e solicita que você pressione Enter para continuar.

Você pode se autenticar com qualquer um destes tipos de conta:

  • Assinatura Claude Pro ou Max: faça login com sua conta claude.ai. Assine em claude.com/pricing.
  • Claude for Teams ou Enterprise: faça login com a conta claude.ai que seu administrador de equipe o convidou.
  • Claude Console: faça login com suas credenciais do Console. Seu administrador deve ter o convidado primeiro. Você pode se conectar com ou sem criar uma chave de API.
  • Provedores de nuvem: se sua organização usa Amazon Bedrock, Google Cloud's Agent Platform ou Microsoft Foundry, defina as variáveis de ambiente necessárias antes de executar claude, ou selecione plataforma de terceiros no prompt de login, que inicia um assistente de configuração interativa para Bedrock e Vertex AI. Nenhum login do navegador é necessário.
  • Cloud gateway: se sua organização executa um gateway de aplicativos Claude auto-hospedado, faça login com SSO corporativo através de /login. O token emitido pelo gateway é a única credencial da sessão.

Administradores podem direcionar qual método de login os desenvolvedores usam e exigir que logins claude.ai pertençam a uma organização específica; consulte Restringir login à sua organização.

Para fazer logout e se autenticar novamente, digite /logout no prompt do Claude Code. Fazer logout também redefine seu estado de configuração de primeiro lançamento, portanto, na próxima vez que você executar claude, ele o guiará novamente pelo login e configuração.

Se você está tendo problemas para fazer login, consulte solução de problemas de autenticação.

O prompt de login ainda aparece após um login anterior

Se você fez login anteriormente e a configuração de primeiro lançamento mostra o prompt de login em vez de pulá-lo, verifique causas como estas:

  • Login expirado: seu login anterior expirou e Claude Code não consegue renová-lo. Faça login novamente no prompt.
  • Login restrito a uma organização: um administrador definiu forceLoginOrgUUID nas configurações gerenciadas para exigir logins de organizações específicas. O prompt aparece quer sua conta pertença ou não a uma delas. Faça login com uma conta de uma organização exigida. Se você não tiver uma, peça ao seu administrador para adicioná-lo.
  • Método de login exigido: seu login não é do tipo que forceLoginMethod em um arquivo de configurações exige. Com "claudeai", uma chave de API de um login anterior no Claude Console não conta como um login existente. Com "console", uma conta claude.ai não conta. Faça login com o tipo de conta que essa configuração indica.
  • Versão mais antiga: antes da v2.1.290, o prompt aparecia durante a configuração quer você estivesse conectado ou não. Atualize o Claude Code para pulá-lo.

Faça login com múltiplas contas

Para permanecer conectado a várias contas ao mesmo tempo, como contas de trabalho e pessoais, dê a cada conta seu próprio diretório de configuração. Quando você inicia claude, defina a variável de ambiente CLAUDE_CONFIG_DIR para o diretório da conta que você deseja usar. Cada diretório tem suas próprias configurações, histórico de sessão e login claude.ai ou chave de API. Por exemplo, em Bash ou Zsh, adicione este alias a ~/.bashrc ou ~/.zshrc para que claude-work use sua conta de trabalho enquanto claude mantém a sua pessoal:

alias claude-work='CLAUDE_CONFIG_DIR=~/.claude-work claude'

Depois de abrir um novo terminal e executar claude-work pela primeira vez, Claude Code o guiará pelo login e configuração para o novo diretório. Diretórios separados não mantêm dois logins do Claude Console sem uma chave de API separados, porque Claude Code armazena esse tipo de login fora do diretório de configuração.

Configure a autenticação da equipe

Para equipes e organizações, você pode configurar o acesso ao Claude Code de uma destas formas:

Claude for Teams ou Enterprise

Claude for Teams e Claude for Enterprise fornecem a melhor experiência para organizações usando Claude Code. Os membros da equipe obtêm acesso tanto ao Claude Code quanto ao Claude na web com faturamento centralizado e gerenciamento de equipe.

  • Claude for Teams: plano de autoatendimento com recursos de colaboração, ferramentas de administração, SSO, gerenciamento de faturamento e configurações gerenciadas pelo servidor para configuração de Claude Code em toda a organização. Melhor para equipes menores.
  • Claude for Enterprise: adiciona captura de domínio, permissões baseadas em funções e a API de conformidade. Melhor para organizações maiores com requisitos de segurança e conformidade.

1. Assine

Assine Claude for Teams ou entre em contato com vendas para Claude for Enterprise.

2. Convide membros da equipe

Convide membros da equipe do painel de administração.

3. Instale e faça login

Os membros da equipe instalam Claude Code e fazem login com suas contas claude.ai.

Autenticação do Claude Console

Para organizações que preferem faturamento baseado em API, você pode configurar o acesso através do Claude Console.

1. Crie ou use uma conta do Console

Use sua conta Claude Console existente ou crie uma nova.

2. Adicione usuários

Você pode adicionar usuários através de qualquer um dos métodos:

3. Atribua funções

Ao convidar usuários, atribua uma das seguintes:

  • Função Claude Code: usuários podem apenas criar chaves de API do Claude Code
  • Função Developer: usuários podem criar qualquer tipo de chave de API

4. Usuários completam a configuração

Cada usuário convidado precisa:

Faça login sem uma chave de API

Você pode fazer login em sua conta do Console sem criar uma chave de API, mesmo quando sua organização não permite que desenvolvedores as criem. Escolha a conta Anthropic Console no prompt /login e Claude Code pergunta como você deseja fazer login. Requer Claude Code v2.1.242 ou posterior. Ambas as rotas fazem login no Console no navegador e diferem no que Claude Code armazena depois:

  • Faça login com sua conta do Console, rotulado (recommended): Claude Code mantém o token OAuth desse login e o armazena como um perfil Anthropic. Não cria nenhuma chave de API
  • Crie uma chave de API, rotulado (legacy): Claude Code cria uma chave de API do Console para você e a armazena com suas outras credenciais

Na prática, o perfil armazena um login OAuth, enquanto uma chave de API é uma credencial estática. Claude Code atualiza automaticamente o login do perfil e, quando a atualização falha, as requisições falham com um erro de login do perfil expirado até que você faça login novamente.

Você não obtém a escolha em cada máquina. Claude Code cria uma chave de API sem perguntar nestes casos:

Desdefina ANTHROPIC_API_KEY antes de fazer login sem uma chave.

Depois de fazer login sem uma chave, você tem um perfil em vez de uma chave de API armazenada:

  • Qual perfil ele escreve: Claude Code escreve o perfil nomeado por ANTHROPIC_PROFILE, ou seu perfil ativo, ou default. Se esse perfil for um perfil de federação, Claude Code recusa o login em vez de sobrescrevê-lo
  • Do que ele faz logout: Claude Code faz logout de qualquer login claude.ai armazenado na máquina
  • Como desfazer: execute /logout, que remove e revoga a credencial que este login escreveu

Tudo mais sobre perfis se aplica a este login, incluindo onde ele se classifica em relação às suas outras credenciais, a linha Profile que você obtém em /status, e os recursos que precisam de um login claude.ai. Veja Perfis Anthropic e credenciais de federação.

Autenticação do provedor de nuvem

Para equipes usando Amazon Bedrock, Google Cloud's Agent Platform ou Microsoft Foundry:

1. Siga a configuração do provedor

Siga a documentação do Amazon Bedrock, documentação do Google Cloud's Agent Platform ou documentação do Microsoft Foundry.

2. Distribua a configuração

Distribua as variáveis de ambiente e instruções para gerar credenciais de nuvem para seus usuários. Leia mais sobre como gerenciar a configuração aqui.

3. Instale Claude Code

Os usuários podem instalar Claude Code.

Restrinja o login à sua organização

Para exigir que os logins claude.ai dos desenvolvedores pertençam a uma organização Anthropic específica, defina forceLoginMethod e forceLoginOrgUUID em configurações gerenciadas. Defina forceLoginOrgUUID para seu ID de organização, mostrado em configurações de administrador claude.ai para organizações Claude for Teams ou Enterprise. Claude Code relata um erro para um login claude.ai em qualquer outra organização e sai na inicialização se a credencial claude.ai em uso pertencer a uma organização que não esteja listada.

Para logins do Claude Console, Claude Code usa forceLoginOrgUUID para pré-selecionar a organização na página de login do Console quando você o define para um único ID de organização do Console, mostrado em platform.claude.com/settings/organization. Ele não verifica a qual organização a credencial do Console resultante pertence, no login ou na inicialização. Um desenvolvedor que fez login com uma conta do Console antes de você implantar as chaves permanece conectado, e essa chave salva é bloqueada em uma máquina que também requer o login do gateway ou em uma sessão que seleciona um provedor de nuvem.

Se você definir forceLoginOrgUUID em qualquer arquivo de configurações, Claude Code para de oferecer o login do Console sem chave nas sessões às quais esse arquivo se aplica e cria uma chave de API em vez disso. Para direcionar os desenvolvedores para o login claude.ai em vez disso, defina forceLoginMethod como "claudeai".

No Claude Code v2.1.212 ou posterior, cada caminho de login listado aqui aplica forceLoginMethod. Na tela de login interativa do terminal, alcançada por /login ou onboarding de primeira execução, Claude Code pré-seleciona um método claudeai ou console sem aplicá-lo, então mesmo com forceLoginMethod definido como "claudeai", um desenvolvedor ainda pode completar um login do Console lá.

Os caminhos diferem em forceLoginOrgUUID:

  • Terminal, extensão VS Code e logins do Agent SDK: verificam forceLoginOrgUUID para logins de conta claude.ai
  • claude setup-token e /install-github-app: aplicam apenas forceLoginMethod, então eles podem cunhar um token em uma organização diferente
  • Login do gateway: selecionado por forceLoginMethod: "gateway" em vez de restringido por ele, e não autentica contra uma organização Anthropic, então forceLoginOrgUUID não se aplica; use seu provedor de identidade do gateway para restringir o acesso

Implante as chaves através de sua ferramenta de gerenciamento de dispositivos. Configurações gerenciadas pelo servidor alcançam apenas contas que já estão autenticadas em sua organização, então elas não podem redirecionar o primeiro login de um desenvolvedor. Se sua organização também distribui configurações gerenciadas pelo servidor, defina as chaves em ambos os lugares: fontes de configurações gerenciadas não se mesclam, e as configurações gerenciadas pelo servidor em cache substituem o arquivo gerenciado pelo dispositivo, exceto por alguns exceções por chave. forceLoginOrgUUID e os valores "claudeai" e "console" de forceLoginMethod não estão entre essas exceções, então mantenha-os em ambos os lugares.

Em uma implantação de gateway, também mantenha forceLoginMethod e forceLoginOrgUUID fora das configurações que o gateway serve.

As chaves também decidem se uma sessão que não usa uma credencial de login pode iniciar. Veja forceLoginOrgUUID na referência de configurações para o comportamento completo.

  • ANTHROPIC_API_KEY, ANTHROPIC_AUTH_TOKEN ou apiKeyHelper: bloqueado na inicialização. Sob forceLoginOrgUUID, a associação à organização não pode ser verificada para uma credencial de ambiente, e sob forceLoginMethod a credencial estaria no lugar do login necessário. Quando as configurações gerenciadas também exigem o login do gateway, Claude Code bloqueia uma chave de API salva por um login anterior do Claude Console da mesma forma. Veja Administrator policy requires a Cloud gateway sign-in
  • Sessões do provedor de nuvem como Amazon Bedrock: bloqueadas apenas enquanto uma credencial ANTHROPIC_API_KEY, ANTHROPIC_AUTH_TOKEN ou apiKeyHelper, ou uma chave de API salva por um login anterior do Claude Console, ainda estiver presente na máquina. Remova-a e a sessão inicia. Essas sessões autenticam contra seu provedor de nuvem, cujas políticas de acesso as governam
  • Perfil Anthropic ou credenciais de federação: não bloqueadas a menos que uma credencial ANTHROPIC_API_KEY, ANTHROPIC_AUTH_TOKEN ou apiKeyHelper, ou uma chave de API salva por um login anterior do Claude Console, também esteja presente na máquina. As chaves não verificam a qual organização o perfil pertence

Restrinja quais provedores de API uma máquina pode usar

allowedProviders em configurações gerenciadas lista quais serviços uma máquina gerenciada pode alcançar Claude através, como a API Anthropic, Amazon Bedrock ou um gateway LLM. Complementa forceLoginMethod e forceLoginOrgUUID, que governam qual conta uma sessão usa quando fala com Anthropic. Requer Claude Code v2.1.285 ou posterior.

{
  "forceLoginMethod": "claudeai",
  "forceLoginOrgUUID": ["xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"],
  "allowedProviders": ["anthropic", "bedrock"]
}

Com este arquivo, um desenvolvedor conectado à sua organização claude.ai ou configurado para Amazon Bedrock inicia normalmente. Uma sessão configurada para qualquer outro provedor é recusada na inicialização, e uma sessão em execução que muda para um é recusada em sua próxima solicitação. Managed settings don't allow this API provider mostra cada mensagem.

  • Permita um gateway LLM ou proxy: liste "customEndpoint" e defina a URL do gateway no bloco env gerenciado da mesma fonte. A referência de configurações lista cada valor e diz quais variáveis de endpoint precisam de um pino env gerenciado.
  • Implante em máquinas gerenciadas: coloque a lista na fonte gerenciada que carrega o resto de sua política. A nota Scope da entrada diz como uma lista gerenciada pelo servidor se combina com ela.
  • Apenas configurações gerenciadas pelo servidor: uma lista que você define apenas em configurações gerenciadas pelo servidor alcança apenas sessões que buscam as configurações de sua organização, então trate-a como uma conveniência para máquinas que você não consegue alcançar com gerenciamento de dispositivos, não como aplicação. Platform availability lista quais sessões as buscam.

Gerenciamento de credenciais

Claude Code gerencia com segurança suas credenciais de autenticação:

  • Local de armazenamento:
    • No macOS, as credenciais são armazenadas no Keychain do macOS criptografado. Quando o Keychain rejeita a escrita, como quando está bloqueado em uma sessão SSH, Claude Code armazena seu login em ~/.claude/.credentials.json com modo de arquivo 0600 em vez disso, o mesmo armazenamento que usa no Linux. Um login do Console que cria uma chave de API falha até que o Keychain seja gravável. Para mover seu login de volta para o Keychain, siga as etapas de recuperação.
    • No Linux, as credenciais são armazenadas em ~/.claude/.credentials.json com modo de arquivo 0600.
    • No Windows, as credenciais são armazenadas em %USERPROFILE%\.claude\.credentials.json e herdam os controles de acesso do diretório do seu perfil de usuário, o que restringe o arquivo à sua conta de usuário por padrão.
    • Se você definiu a variável de ambiente CLAUDE_CONFIG_DIR, Claude Code mantém o arquivo .credentials.json sob esse diretório em vez disso, incluindo o arquivo que o fallback do macOS escreve, e chaves a entrada do Keychain do macOS para esse diretório também, então uma sessão com um CLAUDE_CONFIG_DIR diferente lê uma entrada diferente.
    • Claude Code gerencia .credentials.json através de /login e /logout. Para rotear solicitações através de um endpoint de API personalizado, defina a variável de ambiente ANTHROPIC_BASE_URL em vez disso.
  • Tipos de autenticação suportados: credenciais claude.ai, credenciais da API Claude, Microsoft Foundry Auth, Bedrock Auth, Vertex Auth, credenciais de perfil Anthropic e Workload Identity Federation, e tokens de sessão do gateway de aplicativos Claude.
  • Scripts de credenciais personalizados: configure a configuração apiKeyHelper para executar um script de shell que retorna uma chave de API.
  • Intervalos de atualização: consulte apiKeyHelper para os casos em que Claude Code executa novamente o helper.
  • Aviso de helper lento: se apiKeyHelper levar mais de 10 segundos para retornar uma chave, Claude Code exibe um aviso na barra de prompt mostrando o tempo decorrido. Se você vir este aviso regularmente, verifique se seu script de credenciais pode ser otimizado.
  • Falhas do helper: quando o script sai com um erro, expira ou não imprime nada, as solicitações falham com Your apiKeyHelper script is failing dentro de três tentativas.

apiKeyHelper, ANTHROPIC_API_KEY e ANTHROPIC_AUTH_TOKEN se aplicam à CLI e às superfícies que a envolvem, incluindo a extensão VS Code, o Agent SDK e GitHub Actions. Claude Desktop e sessões na nuvem não chamam apiKeyHelper ou leem essas variáveis de ambiente: eles usam OAuth, exceto sessões de desktop executando uma configuração de inferência de terceiros, que se autenticam com a credencial dessa configuração.

Renovar um login que está expirando

Quando o login que você criou com /login está dentro de três dias de expiração, Claude Code mostra um aviso na inicialização: Your login expires in 3 days · run /login to renew.

Execute /login para renovar. O aviso é informativo e nunca bloqueia uma solicitação: a autenticação continua funcionando até que o login realmente expire.

Quando o login armazenado expira e não pode ser atualizado, cada solicitação de modelo falha com Login expired · Please run /login até que você se conecte novamente.

Você pode verificar este estado antes de uma solicitação falhar: /status mostra uma linha Login lendo Expired — log in again, mais a organização e o email que tem salvos para o login expirado. A linha aparece apenas quando o login claude.ai salvo é a credencial ativa. A linha requer Claude Code v2.1.210 ou posterior.

O aviso aparece apenas quando um login claude.ai é a credencial ativa, e não quando um provedor de nuvem, ANTHROPIC_API_KEY, ANTHROPIC_AUTH_TOKEN ou apiKeyHelper fornece a credencial.

Renovar antecipadamente é mais importante para sessões que são executadas sem supervisão. Uma sessão em segundo plano na visualização de agente ou uma sessão de Remote Control que sobrevive ao login para de fazer progresso uma vez que a credencial expira e não pode se recuperar até que você se conecte novamente.

Precedência de autenticação

Quando múltiplas credenciais estão presentes, Claude Code escolhe uma nesta ordem:

  1. Credenciais do provedor de nuvem, quando CLAUDE_CODE_USE_BEDROCK, CLAUDE_CODE_USE_VERTEX ou CLAUDE_CODE_USE_FOUNDRY está definido. Consulte integrações de terceiros para configuração.
  2. Variável de ambiente ANTHROPIC_AUTH_TOKEN. Enviada como o cabeçalho Authorization: Bearer. Use isso ao rotear através de um gateway LLM ou proxy que autentica com tokens bearer em vez de chaves de API Anthropic.
  3. Variável de ambiente ANTHROPIC_API_KEY. Enviada como o cabeçalho X-Api-Key. Use isso para acesso direto à API Anthropic com uma chave do Claude Console. No modo interativo, você é solicitado uma vez a aprovar ou recusar a chave, e sua escolha é lembrada. Para alterá-la depois, use o toggle "Use custom API key" em /config. O toggle aparece apenas enquanto ANTHROPIC_API_KEY está definido em seu ambiente. No modo não interativo (-p), a chave é sempre usada quando presente.
  4. Saída do script apiKeyHelper. Use isso para credenciais dinâmicas ou rotativas, como tokens de curta duração obtidos de um cofre.
  5. Variável de ambiente CLAUDE_CODE_OAUTH_TOKEN. Um token OAuth de longa duração gerado por claude setup-token. Use isso para pipelines de CI e scripts onde login do navegador não está disponível. Se você executar /login enquanto a variável está definida, Claude Code muda a sessão atual para o novo login, mas lê a variável novamente em cada nova sessão até que você a remova do seu perfil de shell ou do bloco env de um arquivo de configurações.
  6. Credenciais de perfil Anthropic e de federação, as credenciais que a CLI ant e Workload Identity Federation usam. Um perfil que ant auth login escreveu é classificado aqui apenas quando você o nomeia em ANTHROPIC_PROFILE; caso contrário, é classificado abaixo de /login. Consulte Perfis Anthropic e credenciais de federação.
  7. Credenciais OAuth de assinatura de /login. Este é o padrão para usuários Claude Pro, Max, Team e Enterprise.

Uma sessão do gateway de aplicativos Claude assinada fica fora desta lista: é uma seleção de provedor como Amazon Bedrock ou Google Cloud's Agent Platform, e a supera. Quando uma sessão de gateway existe, a CLI se autentica com o token do gateway mesmo se CLAUDE_CODE_USE_BEDROCK, CLAUDE_CODE_USE_VERTEX ou CLAUDE_CODE_USE_FOUNDRY está definido, e fontes de credenciais acima como o token bearer, chave de API, apiKeyHelper e perfis não são usados.

Se as configurações gerenciadas da sua máquina definirem forceLoginMethod como "gateway" ou definirem forceLoginGatewayUrl, e você não selecionar um provedor de nuvem através de uma variável como CLAUDE_CODE_USE_BEDROCK ou CLAUDE_CODE_USE_VERTEX, sua sessão usa apenas o sign-in do gateway. Claude Code pula as outras fontes de credenciais e pede que você se conecte com /login. Consulte Administrator policy requires a Cloud gateway sign-in para ver o que você vê com cada credencial restante. Requer Claude Code v2.1.261 ou posterior, ou v2.1.265 ou posterior em uma máquina que define apenas forceLoginGatewayUrl.

Se você tem uma assinatura Claude ativa mas também tem ANTHROPIC_API_KEY definido em seu ambiente, Claude Code usa a chave de API uma vez que você a aprova. Isso pode causar falhas de autenticação se a chave pertencer a uma organização desabilitada ou expirada.

Execute unset ANTHROPIC_API_KEY para voltar à sua assinatura e verifique /status para confirmar qual método está ativo. Quando um login e uma chave de API estão ambos configurados, /status marca a credencial que não está em uso.

Sessões na nuvem sempre usam suas credenciais de assinatura. Se você definir ANTHROPIC_API_KEY ou ANTHROPIC_AUTH_TOKEN no ambiente na nuvem, isso não substitui suas credenciais de assinatura.

Perfis Anthropic e credenciais de federação

Um perfil é um arquivo de configuração de credencial nomeado em seu diretório de configuração Anthropic, por padrão ~/.config/anthropic no macOS e Linux ou %APPDATA%\Anthropic no Windows. O modo de autenticação de um perfil é oidc_federation quando você o configura para Workload Identity Federation (WIF) ou user_oauth quando ant auth login o escreveu ou você se conectou a uma conta do Console sem uma chave de API.

Claude Code não lê perfis ou variáveis de federação em modo bare, no Claude Desktop ou em sessões na nuvem. Nessas sessões, /status não mostra nenhuma linha Profile.

Claude Code verifica três fontes nesta ordem e para na primeira que está definida. A tabela mostra o que define cada fonte e onde é classificada em relação à sua credencial /login.

Fonte Definido por Classificação em relação a /login
Perfil nomeado ANTHROPIC_PROFILE Acima, qualquer que seja o modo de autenticação do perfil
Variáveis de federação ANTHROPIC_FEDERATION_RULE_ID e ANTHROPIC_ORGANIZATION_ID, ambas definidas Acima
Perfil ativo O arquivo active_config em seu diretório de configuração, ou um perfil nomeado default Acima quando seu modo de autenticação é oidc_federation; abaixo de uma credencial /login funcionando quando seu modo de autenticação é user_oauth

Para as variáveis de federação, Claude Code também lê as outras variáveis na referência WIF, como ANTHROPIC_IDENTITY_TOKEN_FILE, quando troca seu token de identidade. Para o formato do arquivo de perfil, consulte a referência WIF.

Para confirmar qual fonte Claude Code escolheu, execute /status. Uma linha Profile nomeia a fonte no lugar da linha Login method. Quando o perfil é a credencial em uso, Organization e Email mostram sua conta.

Quando o login de um perfil user_oauth expirou e Claude Code não pode renová-lo, as requisições falham com um erro de login de perfil expirado.

Recursos que precisam de seu login claude.ai, como conectores claude.ai e /schedule, não estão disponíveis enquanto uma dessas fontes está selecionada. Para impedir que Claude Code selecione uma fonte:

  • Perfil nomeado ou variáveis de federação: desdefina ANTHROPIC_PROFILE ou desdefina qualquer variável de federação
  • Perfil ativo: execute /logout para um perfil user_oauth cuja credencial atual você escreveu conectando-se a uma conta do Console sem uma chave de API, execute ant auth logout para um cuja credencial atual ant auth login escreveu, ou delete o arquivo do perfil de configs/ em seu diretório de configuração para qualquer modo de autenticação

Gere um token de longa duração

Para pipelines de CI, scripts ou outros ambientes onde login do navegador interativo não está disponível, gere um token OAuth de um ano com claude setup-token:

claude setup-token

O comando abre o mesmo fluxo de autorização do navegador que /login, e o token é impresso no terminal depois que você aprova o acesso no navegador. Ele não salva o token em lugar nenhum; copie-o e defina-o como a variável de ambiente CLAUDE_CODE_OAUTH_TOKEN onde você quiser se autenticar:

macOS, Linux, WSL

export CLAUDE_CODE_OAUTH_TOKEN=your-token

Windows PowerShell

$env:CLAUDE_CODE_OAUTH_TOKEN = "your-token"

Windows CMD

set CLAUDE_CODE_OAUTH_TOKEN=your-token

Este token se autentica com sua assinatura Claude e requer um plano Pro, Max, Team ou Enterprise. Ele pode apenas fazer solicitações de modelo, então não pode estabelecer sessões de Remote Control ou buscar conectores claude.ai. Servidores MCP que você configura localmente ainda funcionam.

Bare mode não lê CLAUDE_CODE_OAUTH_TOKEN. Se seu script passar --bare, autentique com ANTHROPIC_API_KEY ou um apiKeyHelper em vez disso.