Autenticación de la CLI — Altifigence Documentation

Inicia sesión con PKCE nativo de Cloud y distingue su sesión de las credenciales heredadas de API y del servicio DDS.

Descripción general

Elige la ruta de credenciales del comando que estás usando. El inicio de sesión nativo de Cloud, las credenciales de acciones de cliente heredadas y un servicio HTTP de DDS configurado por un operador son contratos distintos. XLS local y las operaciones nativas de espacio de trabajo no necesitan credenciales de Cloud.

Las credenciales de escritorio y de CLI son independientes

Interfaz	Ruta de credenciales	Autoridad
Digital Design Studio 2.0.2 Windows	Inicio de sesión en el navegador para funciones locales protegidas; editar y guardar también funciona sin iniciar sesión	Sin licencia de dispositivo My PC. Iniciar sesión con Free permite usar las funciones locales documentadas; Cloud e IA comprueban permisos independientes.
`alti` `ide` `cloud`	PKCE en el navegador y una sesión privada de CLI	El servidor comprueba la identidad de la cuenta y los permisos de organización y proyecto
Cliente de acciones y trabajos del cliente	`ALTI_TOKEN` y `ALTI_ORG_ID`	La credencial y el ámbito presentados a la API seleccionada
`alti` `ide` `service`	Origen del servicio configurado y `ALTI_STUDIO_SERVICE_SECRET`	El contrato de autorización existente del servicio heredado

Ninguna sesión de CLI concede una licencia de escritorio. No importes archivos de sesión de escritorio, cookies del navegador ni encabezados de servicios internos a una solicitud nativa de Cloud.

Inicio de sesión nativo de Cloud

alti ide cloud login
alti ide cloud whoami
alti ide cloud refresh
alti ide cloud logout

El inicio de sesión imprime la URL de autorización para el flujo PKCE del navegador. Usa por defecto https://api.altifigence.com y un directorio de sesión privado en ~/.local/state/altifigence/cloud-cli. Usa --session-dir de forma coherente para seleccionar otra sesión. El inicio de sesión también acepta --org y un valor acotado de --wait-seconds; los comandos posteriores usan sus propios plazos de solicitud.

Usa whoami para conocer la identidad del servidor en lugar de inferirla a partir de un token almacenado. La renovación y el cierre de sesión actúan sobre esta sesión nativa. Los IDs de organización y proyecto de los comandos de búsqueda y terminal de Cloud delimitan la solicitud, pero no pueden conceder acceso. Las operaciones tipadas de ide cloud run conservan las comprobaciones de permisos del servidor y requieren --allow-source-upload cuando su contrato incluye código fuente subido.

La CLI se conecta mediante sus rutas explícitas de API nativa. Un flujo de inicio de sesión no garantiza que todas las operaciones de Cloud estén habilitadas para todas las organizaciones.

Variables de entorno que lee la CLI

Los clientes heredados de acciones del cliente y de trabajos de Cloud conservan estos ajustes:

Variable	Efecto
`ALTI_TOKEN`	Credencial bearer obligatoria; se rechaza un valor ausente o vacío
`ALTI_ORG_ID`	Ámbito de organización obligatorio
`ALTI_API_BASE`	Base de API, predeterminada `https://api.altifigence.com`
`ALTI_BYO`	`1`, `true`, o `yes` selecciona el tipo de principal aportado por el usuario
`ALTI_ALLOW_SOURCE_UPLOAD`	Autorización explícita para acciones MCP de cliente que contienen código fuente; su ausencia implica denegación

Configura reemplazos de endpoint únicamente para un servicio que controles o un endpoint proporcionado explícitamente para tu cuenta. Cambiar el origen puede enviar la credencial correspondiente a otro host.

Los comandos HTTP de DDS heredados usan en cambio --endpoint o ALTI_STUDIO_ENDPOINT y la configuración de entorno existente del secreto del servicio. No reutilizan el inicio de sesión nativo de Cloud ni inventan un flujo de autenticación para ese servicio.

El estado de configuración no es autenticación

alti auth status solo inspecciona la configuración del entorno heredado. Su serverVerification permanece not_performed; no equivale a alti ide cloud whoami.

Los comandos heredados de nivel superior alti login y alti whoami siguen terminando con 4 con AUTH_FLOW_UNAVAILABLE y IDENTITY_NOT_VERIFIED. El comando de nivel superior alti logout no puede borrar valores heredados de un proceso padre. Borra o rota esos valores en su origen; usa ide cloud logout para la sesión nativa.

Gestión de secretos

Mantén las credenciales de CI en el almacén de secretos de CI e inyéctalas solo en el paso que las necesita.
Mantén los directorios de sesión privados para su propietario; no los añadas al control de versiones, a cachés compartidas entre usuarios ni a artefactos publicados.
No registres tokens, secretos de servicio, cookies del navegador ni entornos completos.
Desactiva el trazado del shell alrededor de los comandos con credenciales y rota cualquier valor que pueda haber entrado en un registro.

Acceso remoto a la API

Usa los Comandos de trabajos y Cloud tipados del backend que hayas seleccionado. La validación del cliente y un inicio de sesión satisfactorio no sustituyen los permisos del servidor ni demuestran que un trabajo solicitado haya terminado.

Verifica y recupera la sesión nativa

alti ide cloud login
alti ide cloud whoami

Ejecuta estos comandos como el mismo usuario habitual de Linux que usará la CLI. Completa el flujo del navegador y exige una respuesta satisfactoria de whoami antes de las operaciones de espacio de trabajo. Si usas un valor alternativo de --session-dir, úsalo para el inicio de sesión y las llamadas posteriores; otro directorio corresponde a otra sesión guardada.

Si caduca la sesión, usa el flujo nativo de renovación o inicio de sesión. Si la identidad funciona, pero se deniega un proyecto, inspecciona la pertenencia a la organización y los permisos del proyecto. No copies credenciales del escritorio ni cambies los orígenes de API para eludir esa denegación. Para recuperar la cuenta, consulta Seguridad de la cuenta.