認証方法を理解する

この節で学ぶこと

この節では、Claude Code が「自分は誰としてAPIを呼ぶか」を決めるルールがわかります。 個人・チーム・クラウドプロバイダーそれぞれのログイン方法と、複数の認証情報が同時に存在するときの優先順位です。

ログインする

Claude Code をインストールした後、ターミナルで claude を実行します。

/logout で一度ログアウトして再ログインできます。ログアウトすると初回起動時のセットアップ状態もリセットされるため、次に claude を実行すると再びログイン〜セットアップの案内が表示されます。

ログインでトラブルが起きた場合は、認証のトラブルシューティング（公開準備中）を参照してください。

認証できるアカウントの種類

管理者は、開発者がどのログイン方法を使うか指定したり、claude.ai ログインを特定の組織に限定したりできます（後述の「組織へのログインを制限する」）。

チームの認証をセットアップする

チーム・組織向けには、次のいずれかの方法で Claude Code のアクセスを設定します。

Claude for Teams / Enterprise

チームメンバーは Claude Code と claude.ai の両方に、一元化された請求・チーム管理の下でアクセスできます。

導入手順は「契約する → 管理ダッシュボードからメンバーを招待する → メンバーが Claude Code をインストールして claude.ai アカウントでログインする」の3ステップです。

Claude Console 認証

APIベースの請求を好む組織向けです。

クラウドプロバイダー認証

Amazon Bedrock・Google Cloud の Agent Platform・Microsoft Foundry を使うチーム向けです。各プロバイダーのセットアップ手順に従った後、環境変数と認証情報の生成手順をユーザーに配布し、Claude Code をインストールしてもらいます（各プロバイダーの詳細ドキュメントは公開準備中）。

組織へのログインを制限する

開発者の claude.ai ログインを特定の Anthropic 組織に限定するには、マネージド設定（公開準備中）の forceLoginMethod と forceLoginOrgUUID を設定します。forceLoginOrgUUID には、claude.ai の管理画面（Claude for Teams / Enterprise の組織向け）に表示される組織IDを設定します。claude.ai ログインが一覧にない組織のものだった場合、Claude Code は起動時にエラーを出して終了します。

Console ログインの扱いは異なります。forceLoginOrgUUID に単一の Console 組織IDを設定すると、Console のサインイン画面でその組織が事前選択されるだけです。そのため、キーを配布する前に Console アカウントでログイン済みだった開発者は、そのままログインし続けられます。開発者を claude.ai サインインに誘導したい場合は forceLoginMethod を "claudeai" に設定します。

ログインの経路は複数あります: ターミナルの /login、VS Code拡張、Agent SDK、claude setup-token、/install-github-app、そしてゲートウェイ経由のサインイン。Claude Code v2.1.212 以降ではすべての経路で forceLoginMethod が適用されますが、それより前はターミナルログインのみ適用されていました。経路ごとに forceLoginOrgUUID の扱いも異なります。

これらのキーはデバイス管理ツール経由で配布します。サーバーマネージド設定（公開準備中）は、すでに組織へ認証済みのアカウントにしか届かないため、開発者の最初のログインをリダイレクトすることはできません。デバイスマネージド設定とサーバーマネージド設定の両方を配布している場合は、両方に同じキーを設定してください。マネージド設定のソース同士はマージされず、キャッシュされたサーバーマネージド設定はデバイスマネージド設定ファイルを丸ごと置き換えます（例外は env ブロック〔v2.1.223以降はキー単位でマージ〕とクロスソースのロックキー〔どのソースからでも適用される〕の2種類のみ）。forceLoginMethod と forceLoginOrgUUID はどちらの例外にも該当しないため、両方の設定ファイルに書く必要があります。

これらのキーは、ログイン認証情報を使わないセッションを起動できるかどうかも左右します。

認証情報はどこに、どう保存されるか

.credentials.json は /login と /logout によって Claude Code が管理します。カスタムのAPIエンドポイント経由でリクエストしたい場合は、代わりに環境変数 ANTHROPIC_BASE_URL を設定します。対応する認証情報の種類は、claude.ai 認証情報・Claude API 認証情報・Microsoft Foundry Auth・Bedrock Auth・Vertex Auth・Anthropic プロファイルおよび Workload Identity Federation 認証情報・Claude apps ゲートウェイのセッショントークンです。カスタム認証情報スクリプトが必要な場合は、設定 apiKeyHelper（公開準備中の設定リファレンスに詳細）に、APIキーを返すシェルスクリプトを指定できます。

apiKeyHelper・ANTHROPIC_API_KEY・ANTHROPIC_AUTH_TOKEN はCLIと、それをラップするVS Code拡張・Agent SDK・GitHub Actionsに適用されます。Claude Desktop とクラウドセッションはこれらの環境変数を読まず apiKeyHelper も呼び出しません。OAuthで認証します（例外は、サードパーティ推論設定（公開準備中）で動作するデスクトップセッションで、その設定の認証情報を使います）。

ログインの有効期限が近づいたら

認証の優先順位

複数の認証情報が同時に設定されていることがあります（環境変数、apiKeyHelper、/login によるサブスクリプションログインなど）。Claude Code は次の順序で最初に該当したものを使います。数字が小さいほど優先度が高い設定です。

各項目の補足です。

1. クラウドプロバイダー認証情報: CLAUDE_CODE_USE_BEDROCK・CLAUDE_CODE_USE_VERTEX・CLAUDE_CODE_USE_FOUNDRY のいずれかが設定されているとき（サードパーティ連携（公開準備中）参照）
2. ANTHROPIC_AUTH_TOKEN: Anthropic APIキーではなくベアラートークンで認証するLLMゲートウェイ・プロキシ（公開準備中）を経由する場合に使う
3. ANTHROPIC_API_KEY: Console発行のキーでAnthropic APIに直接アクセスする場合に使う。対話モードでは承認・却下を1回確認され、以降その選択が記憶される（/config の「Use custom API key」トグルで後から変更可能。このトグルは環境変数 ANTHROPIC_API_KEY が設定されている間だけ表示される）。非対話モード（-p）では、キーが存在すれば常に使われる
4. apiKeyHelper: Vaultなどから取得する短命トークンのような、動的・ローテーションする認証情報向け
5. CLAUDE_CODE_OAUTH_TOKEN: claude setup-token が発行する長期OAuthトークン。ブラウザログインが使えないCIパイプライン・スクリプト向け。変数がセットされた状態で /login を実行すると現在のセッションは新しいログインに切り替わるが、シェルプロファイルや設定ファイルの env ブロックから変数を取り除かない限り、新しいセッションのたびに再びこの変数が読まれる
6. Anthropic プロファイル・フェデレーション認証情報: ant CLI と Workload Identity Federation が使う認証情報。ant auth login が書き込んだプロファイルは、ANTHROPIC_PROFILE で名指しされた場合のみこの順位に入り、そうでなければ /login より低い順位になる（詳細は次項）
7. サブスクリプションの OAuth 認証情報: /login によるもの。Pro・Max・Team・Enterprise ユーザーの既定

Anthropic プロファイルとフェデレーション認証情報

プロファイルは、Anthropic設定ディレクトリ（既定は macOS/Linuxで ~/.config/anthropic、Windowsで %APPDATA%\Anthropic）にある名前付きの認証情報設定ファイルです。Workload Identity Federation (WIF)向けに設定すると認証モードは oidc_federation、ant auth login が書き込んだ場合は user_oauth になります。Claude Code はベアモード（対話画面を持たない軽量起動モード。公開準備中）、Claude Desktop、クラウドセッションではプロファイルやフェデレーション変数を読みません。

Claude Code は次の3つのソースをこの順に確認し、最初に設定されているものを採用します。

機能している /login 認証情報があるために user_oauth のアクティブプロファイルが見送られた場合は、その旨の警告もデバッグログに記録されます。claude.ai コネクタや /schedule（いずれも公開準備中）のように claude.ai ログインを前提とする機能は、これらのソースのいずれかが選ばれている間は使えません。選択を止めるには、名前付きプロファイル・フェデレーション変数の場合は該当する環境変数を unset し、アクティブプロファイルの場合は user_oauth なら ant auth logout を実行するか、どちらの認証モードでも設定ディレクトリの configs/ からプロファイルファイルを削除します。

CI・スクリプト向けに長期間有効なトークンを発行する

ブラウザでの対話ログインが使えないCIパイプラインやスクリプトでは、claude setup-token で1年間有効なOAuthトークンを発行できます。

claude setup-token

このコマンドは /login と同じブラウザ認可フローを開き、ブラウザでアクセスを承認するとトークンがターミナルに出力されます。トークンはどこにも保存されないため、コピーして環境変数 CLAUDE_CODE_OAUTH_TOKEN に設定します。

export CLAUDE_CODE_OAUTH_TOKEN=your-token

このトークンはユーザーのサブスクリプションで認証するもので、Pro・Max・Team・Enterpriseのいずれかのプランが必要です。モデルへのリクエストしか行えないため、リモートコントロール（公開準備中）セッションの確立や claude.ai コネクタ（公開準備中）の取得はできません（ローカルに設定したMCPサーバーは通常どおり利用できます）。

ベアモードは CLAUDE_CODE_OAUTH_TOKEN を読みません。スクリプトが --bare を渡す場合は、代わりに ANTHROPIC_API_KEY か apiKeyHelper で認証してください。

つまずきポイント

• 参考（公式ではない）: 認証まわりのトラブルは、まず /status で「今どの認証情報が使われているか」を確認するところから始めると切り分けが早いです

関連リンク

• 原文: Authentication
• インストール手順: Claude Code をインストールする
• 権限モードとの違い（何を確認せず実行するか）: 権限モードを選ぶ
• Claude Code on the Web の認証: 第3章「Web版クイックスタート」（公開準備中）
• 設定ファイル・マネージド設定の詳細: 第6章「設定を管理する」（公開準備中）

出典

• Authentication（取得日: 2026-08-18）