概要
Claude APIにおいて、静的な長期APIキーの代わりにAWSやGitHub ActionsなどのIDプロバイダーが発行する短命なOIDCトークンを使用して認証を行う「Workload Identity Federation」の技術ドキュメント。
詳細内容
Anthropicが提供するClaude APIの新しい認証オプション、Workload Identity Federation（WIF）の解説です。この機能により、開発者は静的なAPIキー（`sk-ant-...`）を管理・保管・更新する必要がなくなり、AWS IAM、Google Cloud、GitHub Actions、Kubernetes、OktaなどのOpenID Connect (OIDC) 準拠プロバイダーから発行される数分で失効する一時的なトークンを用いたセキュアな認証が可能になります。
仕組みとしては、ワークロードがIdPから取得したJWTをAnthropicに提示し、事前に設定した信頼ルール（Federation Rules）に基づいて、短命なAnthropicアクセストークン（`sk-ant-oat01-...`）へと交換します。SDKはこの交換と自動リフレッシュをバックグラウンドで処理するため、アプリケーションコードの変更を最小限に抑えつつセキュリティ体制を強化できます。主な構成要素として、非人間用アイデンティティである「サービスアカウント」、プロバイダーを登録する「フェデレーションイッシュー」、そしてJWTのクレームと権限を紐付ける「フェデレーションルール」の3点についても詳細に説明されています。