📘 תיעוד 95

אימות

התחברו ל-Claude Code והגדירו אימות למשתמשים יחידים, לצוותים ולארגונים.

Claude Code תומך בכמה שיטות אימות, בהתאם להגדרה שלכם. משתמשים יחידים יכולים להתחבר עם חשבון claude.ai, וצוותים יכולים להשתמש ב-Claude for Teams או ב-Enterprise, ב-Claude Console, או בספק ענן כמו Amazon Bedrock, Agent Platform של Google Cloud, או Microsoft Foundry.

#התחברות ל-Claude Code

אחרי התקנת Claude Code, הריצו claude בטרמינל. Claude Code פותח חלון דפדפן כדי שתתחברו בהפעלה הראשונה, חוץ ממקרים כמו אלה, שבהם הוא יכול לדלג על בקשת ההתחברות:

• מפתח API: הגדרתם את משתנה הסביבה ANTHROPIC_API_KEY ואתם מאשרים את המפתח כש-Claude Code שואל אם להשתמש בו
• התחברות קודמת: הרצתם claude auth login במעטפת לפני הסשן הראשון, או שבניתם מחדש dev container ששומר את פרטי הגישה שלכם ב-volume. אם בקשת ההתחברות מופיעה בכל זאת, בדקו מה יכול לגרום לכך.

אם הדפדפן לא נפתח אוטומטית, לחצו על c כדי להעתיק את כתובת ההתחברות ללוח, ואז הדביקו אותה בדפדפן.

אם הדפדפן מציג קוד התחברות במקום לחזור אחרי ההתחברות, הדביקו אותו בטרמינל בהנחיה Paste code here if prompted.

כשההתחברות מסתיימת, הטרמינל מציג Login successful ומבקש ללחוץ על Enter כדי להמשיך.

אפשר לאמת עם כל אחד מסוגי החשבונות האלה:

• מנוי Claude Pro, Max או Ultra: התחברו עם חשבון claude.ai שלכם. אפשר להירשם ב-claude.com/pricing.
• Claude for Teams או Enterprise: התחברו עם חשבון claude.ai שאליו מנהל הצוות הזמין אתכם.
• Claude Console: התחברו עם פרטי הגישה של Console. מנהל המערכת חייב להזמין אתכם קודם. אפשר להתחבר עם יצירת מפתח API או בלי.
• ספקי ענן: אם הארגון שלכם משתמש ב-Amazon Bedrock, ב-Agent Platform של Google Cloud, או ב-Microsoft Foundry, הגדירו את משתני הסביבה הנדרשים לפני הרצת claude, או בחרו 3rd-party platform בבקשת ההתחברות, מה שמפעיל אשף הגדרה אינטראקטיבי ל-Bedrock ול-Vertex AI. אין צורך בהתחברות דרך דפדפן.
• Cloud gateway: אם הארגון שלכם מפעיל Claude apps gateway באירוח עצמי, התחברו עם SSO ארגוני דרך /login. הטוקן שהשער מנפיק הוא פרט הגישה היחיד של הסשן.

מנהלי מערכת יכולים לקבוע באיזו שיטת התחברות מפתחים ישתמשו, ולדרוש שהתחברויות claude.ai ישתייכו לארגון מסוים. ראו הגבלת התחברות לארגון שלכם.

כדי להתנתק ולאמת מחדש, הקלידו /logout בשורת Claude Code. ההתנתקות גם מאפסת את מצב ההגדרה של ההפעלה הראשונה, כך שבפעם הבאה שתריצו claude הוא ילווה אתכם שוב בהתחברות ובהגדרה.

אם יש קושי בהתחברות, ראו פתרון בעיות אימות.

#בקשת ההתחברות עדיין מופיעה אחרי התחברות קודמת

אם התחברתם קודם וההגדרה של ההפעלה הראשונה מציגה את בקשת ההתחברות במקום לדלג עליה, בדקו סיבות כמו אלה:

• התחברות שפגה: ההתחברות הקודמת פגה ו-Claude Code לא יכול לרענן אותה. התחברו שוב בבקשה.
• התחברות מוגבלת לארגון: מנהל מערכת הגדיר את forceLoginOrgUUID בהגדרות מנוהלות כדי לדרוש התחברויות מארגונים מסוימים. הבקשה מופיעה גם אם החשבון שלכם שייך לאחד מהם וגם אם לא. התחברו עם חשבון בארגון נדרש. אם אין לכם חשבון כזה, בקשו ממנהל המערכת להוסיף אתכם.
• שיטת התחברות נדרשת: ההתחברות שלכם אינה מהסוג ש-forceLoginMethod בקובץ הגדרות דורש. עם "claudeai", מפתח API מהתחברות קודמת ל-Claude Console לא נחשב להתחברות קיימת. עם "console", חשבון claude.ai לא נחשב. התחברו עם סוג החשבון שההגדרה מציינת.
• גרסה ישנה: לפני v2.1.290, הבקשה הופיעה במהלך ההגדרה גם אם הייתם מחוברים. עדכנו את Claude Code כדי לדלג עליה.

#התחברות עם כמה חשבונות

כדי להישאר מחוברים לכמה חשבונות בו זמנית, למשל חשבון עבודה וחשבון אישי, תנו לכל חשבון ספריית הגדרות משלו. כשאתם מפעילים את claude, הגדירו את משתנה הסביבה CLAUDE_CONFIG_DIR לספרייה של החשבון שבו אתם רוצים להשתמש. לכל ספרייה יש הגדרות, היסטוריית סשנים, והתחברות claude.ai או מפתח API משלה. לדוגמה, ב-Bash או ב-Zsh, הוסיפו את הכינוי הזה ל-~/.bashrc או ל-~/.zshrc כך ש-claude-work ישתמש בחשבון העבודה ו-claude ישמור את החשבון האישי:

alias claude-work='CLAUDE_CONFIG_DIR=~/.claude-work claude'

אחרי שפותחים טרמינל חדש ומריצים את claude-work בפעם הראשונה, Claude Code מלווה אתכם בהתחברות ובהגדרה לספרייה החדשה. ספריות נפרדות לא מפרידות בין שתי התחברויות Claude Console בלי מפתח API, כי Claude Code שומר התחברות מהסוג הזה מחוץ לספריית ההגדרות.

#הגדרת אימות לצוות

עבור צוותים וארגונים, אפשר להגדיר גישה ל-Claude Code באחת מהדרכים האלה:

• Claude for Teams או Enterprise, מומלץ לרוב הצוותים
• Claude Console
• שער Claude apps, שער שמתארח אצלכם, שמחבר מפתחים באמצעות ה-IdP שלכם ומנתב את ההסקה לספק הענן שאתם מגדירים
• Amazon Bedrock
• Agent Platform של Google Cloud
• Microsoft Foundry

#Claude for Teams או Enterprise

Claude for Teams ו-Claude for Enterprise מספקים את החוויה הטובה ביותר לארגונים שמשתמשים ב-Claude Code. חברי הצוות מקבלים גישה גם ל-Claude Code וגם ל-Claude באינטרנט, עם חיוב מרכזי וניהול צוות.

• Claude for Teams: תוכנית בשירות עצמי עם תכונות שיתוף פעולה, כלי ניהול, SSO, ניהול חיוב, ו-הגדרות שמנוהלות בשרת לתצורת Claude Code בכל הארגון. מתאים בעיקר לצוותים קטנים יותר.
• Claude for Enterprise: מוסיף לכידת דומיין, הרשאות לפי תפקיד, ו-API התאימות. מתאים בעיקר לארגונים גדולים יותר עם דרישות אבטחה ותאימות.

1. הרשמה

הירשמו ל-Claude for Teams או פנו למכירות עבור Claude for Enterprise.

2. הזמנת חברי צוות

הזמינו חברי צוות מלוח הבקרה של המנהל.

3. התקנה והתחברות

חברי הצוות מתקינים את Claude Code ומתחברים עם חשבונות claude.ai שלהם.

#אימות Claude Console

עבור ארגונים שמעדיפים חיוב מבוסס API, אפשר להגדיר גישה דרך Claude Console.

1. יצירה או שימוש בחשבון Console

השתמשו בחשבון Claude Console הקיים שלכם או צרו חשבון חדש.

2. הוספת משתמשים

אפשר להוסיף משתמשים באחת משתי השיטות:

• הזמנה מרוכזת של משתמשים מדף Members ב-Console בכתובת platform.claude.com/settings/members: לחצו על Invite
• הגדרת SSO

3. הקצאת תפקידים

בעת הזמנת משתמשים, הקצו אחד מאלה:

• תפקיד Claude Code: משתמשים יכולים ליצור רק מפתחות API של Claude Code
• תפקיד Developer: משתמשים יכולים ליצור כל סוג של מפתח API

4. המשתמשים משלימים את ההגדרה

כל משתמש שהוזמן צריך:

• לקבל את ההזמנה ל-Console
• לבדוק את דרישות המערכת
• להתקין את Claude Code
• להתחבר עם פרטי חשבון Console

#התחברות בלי מפתח API

אפשר להתחבר לחשבון Console בלי ליצור מפתח API, גם כאשר הארגון לא מאפשר למפתחים ליצור מפתחות כאלה. בחרו את חשבון Anthropic Console בהנחיית /login, ו-Claude Code שואל איך אתם רוצים להתחבר. נדרש Claude Code בגרסה v2.1.242 או חדשה יותר. שני המסלולים מחברים אתכם ל-Console בדפדפן, והם נבדלים במה ש-Claude Code שומר אחר כך:

• התחברות עם חשבון Console, עם התווית (recommended): Claude Code שומר את אסימון ה-OAuth מההתחברות הזו ושומר אותו כפרופיל Anthropic. הוא לא יוצר מפתח API
• יצירת מפתח API, עם התווית (legacy): Claude Code יוצר עבורכם מפתח API של Console ושומר אותו עם שאר האישורים שלכם

בפועל, הפרופיל שומר התחברות OAuth, בעוד מפתח API הוא אישור סטטי. Claude Code מרענן את ההתחברות של הפרופיל אוטומטית, וכאשר הרענון נכשל, הבקשות נכשלות עם שגיאת התחברות פרופיל שפג תוקפה עד שתתחברו שוב.

לא מקבלים את הבחירה בכל מכונה. Claude Code יוצר מפתח API בלי לשאול במקרים האלה:

• אתם רצים מול ספק ענן, כגון Amazon Bedrock, Agent Platform של Google Cloud, או Microsoft Foundry או Claude Platform on AWS
• קובץ הגדרות כלשהו מגדיר את forceLoginOrgUUID, או מגדיר את forceLoginMethod ל-"claudeai"
• forceLoginMethod הוא "console" ואף קובץ הגדרות לא מגדיר את forceLoginOrgUUID, עד שמנסים שוב ממסך השגיאה אחרי התחברות שנכשלה
• מקור הגדרות מנוהלות במכונה שלכם, כגון קובץ ההגדרות המנוהלות, פרופיל MDM, או הגדרות שמנוהלות בשרת שנשמרו במטמון, קיים, אבל Claude Code לא יכול לקרוא אותו ואף מקור מנוהל אחר לא מספק מדיניות

בטלו את ההגדרה של ANTHROPIC_API_KEY לפני שאתם מתחברים בלי מפתח.

אחרי שמתחברים בלי מפתח, יש לכם פרופיל במקום מפתח API שמור:

• איזה פרופיל נכתב: Claude Code כותב את הפרופיל ששמו נקבע ב-ANTHROPIC_PROFILE, או את הפרופיל הפעיל שלכם, או את default. אם הפרופיל הזה הוא פרופיל federation, Claude Code מסרב להתחברות במקום לדרוס אותו
• ממה מתנתקים: Claude Code מנתק אתכם מכל התחברות claude.ai ששמורה במכונה
• איך לבטל את זה: הריצו את /logout, שמסיר ומבטל את האישור שההתחברות הזו כתבה

כל השאר לגבי פרופילים חל על ההתחברות הזו, כולל המיקום שלה ביחס לשאר האישורים שלכם, שורת Profile שמתקבלת ב-/status, והתכונות שדורשות התחברות claude.ai. ראו פרופילי Anthropic ואישורי federation.

#הפסקת הצעת ההתחברות בלי מפתח במכונות מנוהלות

כדי ש-Claude Code יפסיק להציע את ההתחברות בלי מפתח, השתמשו בכלי ניהול המכשירים שלכם כדי לפרוס את forceLoginOrgUUID בהגדרות מנוהלות לכל מכונה של מפתח. הגדירו אותו למזהה ארגון Console שלכם. לפני הפריסה, ודאו שלכל מפתח יש תפקיד שיכול ליצור מפתחות API. אחרי הפריסה, מפתח בלי התפקיד הזה לא יכול להתחבר ל-Console ב-/login.

כאשר רק forceLoginMethod מוגדר ל-"console", מפתחים יכולים לנסות שוב התחברות שנכשלה ולבחור באפשרות בלי מפתח. אחרי ש-forceLoginOrgUUID נפרס, מסך ההתחברות מסיר את האפשרות הזו, אבל מפתחים עדיין יכולים להשתמש בפרופיל Anthropic שיש להם, או ליצור אותו עם ant auth login. אחרי הפריסה, טפלו באישורים ובהתחברויות האלה בכל מכונה:

• התחברויות בלי מפתח: כדי להעביר מפתח למפתח API, בקשו ממנו להתנתק ואז להתחבר שוב ל-Console, וזה יוצר את המפתח. עבור התחברות בלי מפתח, הם מריצים claude auth logout במעטפת שלהם. עבור פרופיל ant auth login, הם מריצים ant auth logout. Claude Code מסרב לסשן אם גם פרופיל וגם מפתח API נמצאים במכונה, ולכן הם מתנתקים קודם.
• אישורי סביבה ועוזר: Claude Code מסרב לסשנים שמזדהים עם ANTHROPIC_API_KEY, ANTHROPIC_AUTH_TOKEN, או apiKeyHelper, גם כאשר הגדרות מנוהלות מספקות אותם. הסירו את האישורים האלה, ואז בקשו מהמפתחים להריץ את /login כדי ליצור מפתח API שמור.
• התחברויות claude.ai: Claude Code מסרב להתחברות לארגון שלא רשמתם, כולל ארגון שכבר בשימוש במכונה. כדי לשמור אחד, הוסיפו אותו למערך forceLoginOrgUUID.

#אימות אצל ספק ענן

עבור צוותים שמשתמשים ב-Amazon Bedrock, ב-Agent Platform של Google Cloud, או ב-Microsoft Foundry:

1. ביצוע הגדרת הספק

פעלו לפי התיעוד של Amazon Bedrock, התיעוד של Agent Platform של Google Cloud, או התיעוד של Microsoft Foundry.

2. הפצת התצורה

הפיצו למשתמשים את משתני הסביבה ואת ההוראות ליצירת אישורי ענן. קראו עוד על איך לנהל תצורה כאן.

3. התקנת Claude Code

משתמשים יכולים להתקין את Claude Code.

#הגבלת ההתחברות לארגון שלכם

כדי לדרוש שהתחברויות claude.ai של מפתחים ישתייכו לארגון Anthropic מסוים, הגדירו את forceLoginMethod ואת forceLoginOrgUUID בהגדרות מנוהלות. הגדירו את forceLoginOrgUUID למזהה הארגון שלכם, שמוצג בהגדרות הניהול של claude.ai עבור ארגוני Claude for Teams או Enterprise. Claude Code מדווח על שגיאה עבור התחברות claude.ai לכל ארגון אחר, ויוצא בהפעלה אם אישור claude.ai שבשימוש שייך לארגון שלא רשום.

עבור התחברויות Claude Console, Claude Code משתמש ב-forceLoginOrgUUID כדי לבחור מראש את הארגון בדף ההתחברות של Console כאשר מגדירים אותו למזהה ארגון Console יחיד, שמוצג ב-platform.claude.com/settings/organization. הוא לא בודק לאיזה ארגון שייך אישור Console שנוצר, לא בהתחברות ולא בהפעלה. מפתח שהתחבר עם חשבון Console לפני שפרסתם את המפתחות נשאר מחובר, והמפתח השמור הזה נחסם במכונה שדורשת גם התחברות לשער, או בסשן שבוחר ספק ענן.

אם מגדירים את forceLoginOrgUUID בקובץ הגדרות כלשהו, Claude Code מפסיק להציע את התחברות Console בלי מפתח בסשנים שעליהם הקובץ חל, ויוצר מפתח API במקום זאת. כדי להפנות מפתחים להתחברות claude.ai במקום זאת, הגדירו את forceLoginMethod ל-"claudeai".

ב-Claude Code בגרסה v2.1.212 או חדשה יותר, כל נתיב התחברות שרשום כאן מיישם את forceLoginMethod. במסך ההתחברות האינטראקטיבי של הטרמינל, שמגיעים אליו דרך /login או דרך הקליטה בהרצה הראשונה, Claude Code בוחר מראש שיטת claudeai או console בלי לאכוף אותה, כך שגם כאשר forceLoginMethod מוגדר ל-"claudeai", מפתח עדיין יכול להשלים שם התחברות Console.

הנתיבים נבדלים לגבי forceLoginOrgUUID:

• התחברויות בטרמינל, בתוסף VS Code, וב-Agent SDK: מאמתות את forceLoginOrgUUID עבור התחברויות חשבון claude.ai
• claude setup-token ו-/install-github-app: אוכפים רק את forceLoginMethod, ולכן הם יכולים להנפיק אסימון בארגון אחר
• התחברות לשער: נבחרת על ידי forceLoginMethod: "gateway" ולא מוגבלת על ידו, והיא לא מאמתת מול ארגון Anthropic, ולכן forceLoginOrgUUID לא חל. השתמשו בספק הזהויות של השער כדי להגביל גישה

פרסו את forceLoginMethod ואת forceLoginOrgUUID דרך כלי ניהול המכשירים שלכם. מפתח מקבל הגדרות שמנוהלות בשרת רק אחרי שהוא מזדהה לארגון שלכם, ולכן אי אפשר להפנות התחברות ראשונה באמצעות ההגדרות האלה. אם אתם מפיצים גם הגדרות שמנוהלות בשרת מ-claude.ai, הגדירו שם גם את שני המפתחות עד שכל לקוח מריץ גרסה v2.1.299 או חדשה יותר. לגבי איפה להגדיר את המפתחות אחר כך, ואיזה ערך של איזה מקור חל, ראו איזה מקור מנוהל מספק מפתחות התחברות.

בפריסת שער, השאירו גם את forceLoginMethod ואת forceLoginOrgUUID מחוץ להגדרות שהשער מגיש.

המפתחות גם קובעים אם סשן שלא משתמש באישור התחברות יכול להתחיל. ראו את forceLoginOrgUUID במדריך ההגדרות להתנהגות המלאה.

• ANTHROPIC_API_KEY, ANTHROPIC_AUTH_TOKEN, או apiKeyHelper: נחסמים בהפעלה. תחת forceLoginOrgUUID אי אפשר לאמת חברות בארגון עבור אישור סביבה, ותחת forceLoginMethod האישור היה עומד במקום ההתחברות הנדרשת. כאשר ההגדרות המנוהלות דורשות גם התחברות לשער, Claude Code חוסם באותו אופן מפתח API שנשמר בהתחברות Claude Console קודמת. ראו מדיניות מנהל דורשת התחברות לשער Cloud
• סשנים של ספק ענן כגון Amazon Bedrock: נחסמים רק כל עוד אישור ANTHROPIC_API_KEY, ANTHROPIC_AUTH_TOKEN, או apiKeyHelper, או מפתח API שנשמר בהתחברות Claude Console קודמת, עדיין נמצא במכונה. הסירו אותו והסשן מתחיל. הסשנים האלה מאמתים מול ספק הענן שלכם, ומדיניות הגישה שלו חלה עליהם
• פרופיל Anthropic או אישורי federation: לא נחסמים אלא אם אישור ANTHROPIC_API_KEY, ANTHROPIC_AUTH_TOKEN, או apiKeyHelper, או מפתח API שנשמר בהתחברות Claude Console קודמת, נמצא גם הוא במכונה. המפתחות לא בודקים לאיזה ארגון הפרופיל שייך

#הגבלת ספקי ה-API שמכונה רשאית להשתמש בהם

allowedProviders בהגדרות מנוהלות מפרט דרך אילו שירותים מכונה מנוהלת רשאית להגיע אל Claude, כגון Anthropic API, Amazon Bedrock, או שער LLM. הוא משלים את forceLoginMethod ואת forceLoginOrgUUID, שקובעים באיזה חשבון סשן משתמש כשהוא מדבר עם Anthropic. נדרש Claude Code בגרסה v2.1.285 או חדשה יותר.

{
  "forceLoginMethod": "claudeai",
  "forceLoginOrgUUID": ["xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"],
  "allowedProviders": ["anthropic", "bedrock"]
}

עם הקובץ הזה, מפתח שמחובר לארגון claude.ai שלכם, או שמוגדר ל-Amazon Bedrock, מתחיל כרגיל. סשן שמוגדר לכל ספק אחר מסורב בהפעלה, וסשן שרץ ועובר לספק כזה מסורב בבקשה הבאה שלו. הגדרות מנוהלות לא מתירות את ספק ה-API הזה מציג כל הודעה.

• התרת שער LLM או פרוקסי: רשמו את "customEndpoint" והגדירו את כתובת השער בבלוק env המנוהל של אותו מקור. מדריך ההגדרות מפרט כל ערך ואומר אילו משתני נקודת קצה צריכים נעילת env מנוהלת.
• פריסה במכונות מנוהלות: שימו את הרשימה במקור המנוהל שנושא את שאר המדיניות שלכם. הערת Scope של הרשומה אומרת איך רשימה שמנוהלת בשרת משתלבת איתה.
• הגדרות שמנוהלות בשרת בלבד: רשימה שמוגדרת רק בהגדרות שמנוהלות בשרת מגיעה רק לסשנים שמושכים את הגדרות הארגון שלכם, ולכן התייחסו אליה כאל נוחות למכונות שאי אפשר להגיע אליהן עם ניהול מכשירים, ולא כאכיפה. זמינות הפלטפורמה מפרטת אילו סשנים מושכים אותן.

#ניהול אישורים

Claude Code מנהל בצורה מאובטחת את אישורי האימות שלך:

• מיקום אחסון:
  • ב-macOS, האישורים נשמרים ב-Keychain המוצפן של macOS. כשה-Keychain דוחה את הכתיבה, למשל כשהוא נעול בסשן SSH, Claude Code שומר את ההתחברות שלך ב-~/.claude/.credentials.json עם מצב קובץ 0600 במקום זאת, אותו אחסון שבו הוא משתמש ב-Linux. התחברות Console שיוצרת מפתח API נכשלת עד שה-Keychain ניתן לכתיבה. כדי להחזיר את ההתחברות אל ה-Keychain, עקוב אחר שלבי השחזור.
  • ב-Linux, האישורים נשמרים ב-~/.claude/.credentials.json עם מצב קובץ 0600.
  • ב-Windows, האישורים נשמרים ב-%USERPROFILE%\.claude\.credentials.json ויורשים את בקרות הגישה של תיקיית פרופיל המשתמש שלך, שמגבילות את הקובץ לחשבון המשתמש שלך כברירת מחדל.
  • אם הגדרת את משתנה הסביבה CLAUDE_CONFIG_DIR, Claude Code שומר את הקובץ .credentials.json תחת הספרייה הזו במקום זאת, כולל הקובץ שכותב הגיבוי של macOS, וקושר גם את רשומת ה-Keychain של macOS לספרייה הזו, כך שסשן עם CLAUDE_CONFIG_DIR שונה קורא רשומה שונה.
  • Claude Code מנהל את .credentials.json דרך /login ו-/logout. כדי לנתב בקשות דרך נקודת קצה מותאמת אישית של API, הגדר במקום זאת את משתנה הסביבה ANTHROPIC_BASE_URL.
• סוגי אימות נתמכים: אישורי claude.ai, אישורי Claude API, Microsoft Foundry Auth, Bedrock Auth, Vertex Auth, פרופיל Anthropic ואישורי Workload Identity Federation, ואסימוני סשן של Claude apps gateway.
• סקריפטי אישורים מותאמים אישית: הגדר את ההגדרה apiKeyHelper כדי להריץ סקריפט מעטפת שמחזיר מפתח API.
• מרווחי רענון: ראה apiKeyHelper למקרים שבהם Claude Code מריץ מחדש את ה-helper.
• הודעה על helper איטי: אם apiKeyHelper לוקח יותר מ-10 שניות להחזיר מפתח, Claude Code מציג הודעת אזהרה בסרגל הפרומפט שמראה את הזמן שעבר. אם אתה רואה את ההודעה הזו באופן קבוע, בדוק אם אפשר לייעל את סקריפט האישורים שלך.
• כשלי helper: כשהסקריפט יוצא עם שגיאה, מגיע ל-timeout, או לא מדפיס כלום, הבקשות נכשלות עם Your apiKeyHelper script is failing בתוך שלושה ניסיונות.

apiKeyHelper, ANTHROPIC_API_KEY ו-ANTHROPIC_AUTH_TOKEN חלים על ה-CLI ועל המשטחים שעוטפים אותו, כולל תוסף VS Code, ה-Agent SDK ו-GitHub Actions. Claude Desktop וסשני ענן לא קוראים ל-apiKeyHelper ולא קוראים את משתני הסביבה האלה: הם משתמשים ב-OAuth, למעט סשני desktop שמריצים תצורת הסקה של צד שלישי, שמאמתים עם האישור של אותה תצורה.

#חידוש התחברות שעומדת לפוג

כשההתחברות שיצרת עם /login נמצאת בטווח של שלושה ימים לפני התפוגה, Claude Code מציג אזהרה בהפעלה: Your login expires in 3 days · run /login to renew.

הרץ /login כדי לחדש. האזהרה היא למידע בלבד ולעולם לא חוסמת בקשה: האימות ממשיך לעבוד עד שההתחברות אכן פגה.

אחרי שההתחברות השמורה פגה ואי אפשר לרענן אותה, כל בקשת מודל נכשלת עם Login expired · Please run /login עד שתתחבר שוב.

אפשר לבדוק את המצב הזה לפני שבקשה נכשלת: /status מציג שורת Login שקוראת Expired , log in again, ובנוסף את הארגון ואת האימייל שנשמרו עבור ההתחברות שפגה. השורה מופיעה רק כשהתחברות claude.ai השמורה היא האישור הפעיל. השורה דורשת Claude Code v2.1.210 או חדש יותר.

האזהרה מופיעה רק כשהתחברות claude.ai היא האישור הפעיל, ולא כשספק ענן, ANTHROPIC_API_KEY, ANTHROPIC_AUTH_TOKEN או apiKeyHelper מספקים את האישור.

חידוש מוקדם חשוב במיוחד לסשנים שרצים ללא השגחה. סשן רקע ב-agent view או סשן Remote Control שנמשך מעבר להתחברות מפסיק להתקדם ברגע שהאישור פג, ולא יכול להתאושש עד שתתחבר שוב.

#קדימות אימות

כשיש כמה אישורים, Claude Code בוחר אחד לפי הסדר הזה:

1. אישורי ספק ענן, כש-CLAUDE_CODE_USE_BEDROCK, CLAUDE_CODE_USE_VERTEX או CLAUDE_CODE_USE_FOUNDRY מוגדר. ראה אינטגרציות צד שלישי להגדרה.
2. משתנה הסביבה ANTHROPIC_AUTH_TOKEN. נשלח ככותרת Authorization: Bearer. השתמש בזה כשמנתבים דרך LLM gateway או proxy שמאמת עם אסימוני bearer ולא עם מפתחות API של Anthropic.
3. משתנה הסביבה ANTHROPIC_API_KEY. נשלח ככותרת X-Api-Key. השתמש בזה לגישה ישירה ל-Anthropic API עם מפתח מ-Claude Console. במצב אינטראקטיבי, מתבקשים פעם אחת לאשר או לדחות את המפתח, והבחירה נזכרת. כדי לשנות אותה אחר כך, השתמש במתג "Use custom API key" ב-/config. המתג מופיע רק בזמן ש-ANTHROPIC_API_KEY מוגדר בסביבה שלך. במצב לא אינטראקטיבי (-p), המפתח תמיד בשימוש כשהוא קיים.
4. פלט הסקריפט apiKeyHelper. השתמש בזה לאישורים דינמיים או מתחלפים, כמו אסימונים קצרי חיים שנשלפים מכספת.
5. משתנה הסביבה CLAUDE_CODE_OAUTH_TOKEN. אסימון OAuth ארוך טווח שנוצר על ידי claude setup-token. השתמש בזה לצינורות CI ולסקריפטים שבהם התחברות בדפדפן לא זמינה. אם מריצים /login בזמן שהמשתנה מוגדר, Claude Code מעביר את הסשן הנוכחי להתחברות החדשה. כדי לשמור את ההתחברות הזו בסשנים חדשים, הסר את המשתנה מפרופיל המעטפת שלך ומקובצי הגדרות שיכולים להגדיר אותו, כמו הגדרות המשתמש שלך.
6. פרופיל Anthropic ואישורי federation, האישורים שבהם משתמשים ה-CLI ant ו-Workload Identity Federation. פרופיל ש-ant auth login כתב מדורג כאן רק כשמציינים אותו ב-ANTHROPIC_PROFILE. אחרת הוא מדורג מתחת ל-/login. ראה פרופילי Anthropic ואישורי federation.
7. אישורי OAuth של מנוי מ-/login. זו ברירת המחדל למשתמשי Claude Pro, Max, Ultra, Team ו-Enterprise.

סשן מחובר של Claude apps gateway נמצא מחוץ לרשימה הזו: זו בחירת ספק כמו Amazon Bedrock או Agent Platform של Google Cloud, והיא מדורגת מעליהם. כשקיים סשן gateway, ה-CLI מאמת עם אסימון ה-gateway גם אם CLAUDE_CODE_USE_BEDROCK, CLAUDE_CODE_USE_VERTEX או CLAUDE_CODE_USE_FOUNDRY מוגדר, ומקורות אישורים גבוהים יותר, כמו אסימון bearer, מפתח API, apiKeyHelper ופרופילים, לא בשימוש.

אם ההגדרות המנוהלות של המכונה שלך מגדירות forceLoginMethod ל-"gateway" או מגדירות forceLoginGatewayUrl, ואתה לא בוחר ספק ענן דרך משתנה כמו CLAUDE_CODE_USE_BEDROCK או CLAUDE_CODE_USE_VERTEX, הסשן שלך משתמש רק בהתחברות ה-gateway. Claude Code מדלג על מקורות האישורים האחרים ומבקש ממך להתחבר עם /login. ראה Administrator policy requires a Cloud gateway sign-in למה שרואים עם כל אישור שנשאר. דורש Claude Code v2.1.261 או חדש יותר, או v2.1.265 או חדש יותר במכונה שמגדירה רק forceLoginGatewayUrl.

אם יש לך מנוי Claude פעיל וגם ANTHROPIC_API_KEY מוגדר בסביבה שלך, Claude Code משתמש במפתח ה-API אחרי שאתה מאשר אותו. זה יכול לגרום לכשלי אימות אם המפתח שייך לארגון מושבת או שפג תוקפו.

הרץ unset ANTHROPIC_API_KEY כדי לחזור למנוי שלך, ובדוק את /status כדי לאשר איזו שיטה פעילה. כשגם התחברות וגם מפתח API מוגדרים, /status מסמן את האישור שלא בשימוש.

סשני ענן תמיד משתמשים באישורי המנוי שלך. אם מגדירים ANTHROPIC_API_KEY או ANTHROPIC_AUTH_TOKEN בסביבת הענן, זה לא דורס את אישורי המנוי שלך.

#פרופילי Anthropic ואישורי federation

פרופיל הוא קובץ תצורת אישור בעל שם בספריית התצורה של Anthropic, כברירת מחדל ~/.config/anthropic ב-macOS וב-Linux או %APPDATA%\Anthropic ב-Windows. מצב האימות של פרופיל הוא oidc_federation כשמגדירים אותו ל-Workload Identity Federation (WIF), או user_oauth כש-ant auth login כתב אותו או כשהתחברת לחשבון Console בלי מפתח API.

Claude Code לא קורא פרופילים או משתני federation ב-bare mode, ב-Claude Desktop, או בסשני ענן. בסשנים האלה, /status לא מציג שורת Profile.

Claude Code בודק שלושה מקורות לפי הסדר הזה ועוצר בראשון שמוגדר. הטבלה מראה מה מגדיר כל מקור ואיפה הוא מדורג מול אישור ה-/login שלך.

עבור משתני ה-federation, Claude Code קורא גם את המשתנים האחרים בהפניית WIF, כמו ANTHROPIC_IDENTITY_TOKEN_FILE, כשהוא מחליף את אסימון הזהות שלך. לפורמט קובץ הפרופיל, ראה את הפניית WIF.

כדי לאשר איזה מקור Claude Code בחר, הרץ /status. שורת Profile מציינת את המקור במקום שורת Login method. כשהפרופיל הוא האישור שבשימוש, שורות Organization ו-Email מציגות את החשבון שלו.

כשההתחברות של פרופיל user_oauth פגה ו-Claude Code לא יכול לחדש אותה, הבקשות נכשלות עם שגיאת התחברות פרופיל שפגה.

תכונות שצריכות את התחברות claude.ai שלך, כמו מחברי claude.ai ו-/schedule, לא זמינות כל עוד אחד מהמקורות האלה נבחר. כדי לעצור את Claude Code מלבחור מקור:

• פרופיל בעל שם או משתני federation: בטל את ההגדרה של ANTHROPIC_PROFILE, או בטל את ההגדרה של אחד ממשתני ה-federation
• פרופיל פעיל: הרץ /logout עבור פרופיל user_oauth שהאישור הנוכחי שלו נכתב על ידי התחברות לחשבון Console בלי מפתח API, הרץ ant auth logout עבור פרופיל שהאישור הנוכחי שלו נכתב על ידי ant auth login, או מחק את קובץ הפרופיל מ-configs/ בספריית התצורה שלך עבור כל אחד משני מצבי האימות

#יצירת אסימון ארוך טווח

לצינורות CI, סקריפטים, או סביבות אחרות שבהן התחברות אינטראקטיבית בדפדפן לא זמינה, צור אסימון OAuth לשנה אחת עם claude setup-token:

claude setup-token

הפקודה פותחת את אותו תהליך הרשאה בדפדפן כמו /login, והאסימון מודפס לטרמינל אחרי שמאשרים גישה בדפדפן. היא לא שומרת את האסימון בשום מקום. העתק אותו והגדר אותו כמשתנה הסביבה CLAUDE_CODE_OAUTH_TOKEN בכל מקום שבו רוצים לאמת:

macOS, Linux, WSL

export CLAUDE_CODE_OAUTH_TOKEN=your-token

Windows PowerShell

$env:CLAUDE_CODE_OAUTH_TOKEN = "your-token"

Windows CMD

set CLAUDE_CODE_OAUTH_TOKEN=your-token

האסימון הזה מאמת עם מנוי Claude שלך ודורש תוכנית Pro, Max, Ultra, Team או Enterprise. הוא יכול רק לבצע בקשות מודל, ולכן הוא לא יכול להקים סשני Remote Control או לשלוף מחברי claude.ai. שרתי MCP שאתה מגדיר מקומית עדיין עובדים.

Bare mode לא קורא את CLAUDE_CODE_OAUTH_TOKEN. אם הסקריפט שלך מעביר --bare, אמת עם ANTHROPIC_API_KEY או עם apiKeyHelper במקום זאת.