CLI 認証 — Altifigence Documentation

ネイティブ Cloud PKCE でサインインし、そのセッションをレガシー API および DDS サービス認証情報と区別します。

Overview

使用するコマンドに合う認証情報の経路を選んでください。ネイティブ Cloud サインイン、従来の顧客アクション認証情報、運用者が設定する DDS HTTP サービスは別々の契約です。ローカル XLS とネイティブワークスペース操作には Cloud 認証情報は不要です。

デスクトップと CLI の認証情報は別

画面・機能	認証情報の経路	権限主体
Digital Design Studio 2.0.2 Windows	保護されたローカル機能にはブラウザでサインイン。編集と保存はサインインなしでも機能	No My PC device licence. Free サインインは文書化されたローカル機能をサポートし、Cloud および AI は個別の権限をチェックします。
`alti` `ide` `cloud`	ブラウザ PKCE と非公開の CLI セッション	アカウントの ID と組織・プロジェクト権限はサーバーが検査
顧客アクション・ジョブクライアント	`ALTI_TOKEN` と `ALTI_ORG_ID`	選択した API に提示する認証情報とスコープ
`alti` `ide` `service`	設定済みのサービスオリジンと `ALTI_STUDIO_SERVICE_SECRET`	従来のサービスの既存認可契約

CLI セッションはデスクトップライセンスを与えません。デスクトップのセッションファイル、ブラウザ Cookie、内部サービスヘッダーをネイティブ Cloud 要求に取り込まないでください。

ネイティブ Cloud サインイン

alti ide cloud login
alti ide cloud whoami
alti ide cloud refresh
alti ide cloud logout

Login は、ブラウザの PKCE フロー用認可 URL を表示します。既定値は https://api.altifigence.com、非公開セッションディレクトリは ~/.local/state/altifigence/cloud-cli です。別のセッションを選ぶには --session-dir を一貫して使用します。Login は --org と、範囲を限定した --wait-seconds も受け付けます。後続コマンドは独自の要求期限を使います。

サーバーの ID には whoami を使い、保存済みトークンから推測しないでください。Refresh と logout はこのネイティブセッションを操作します。Cloud 検索とターミナルコマンドの組織・プロジェクト ID は要求の範囲を限定しますが、アクセスを与えるものではありません。型付きの ide cloud run 操作はサーバー権限検査を保持し、アップロードするソースを契約に含む場合は --allow-source-upload が必要です。

CLI は明示されたネイティブ API ルートで接続します。サインインのフローは、すべての Cloud 操作がすべての組織で有効だと約束しません。

CLI が読む環境変数

従来の顧客アクションと Cloud ジョブのクライアントは、次の設定を維持しています。

変数	効果
`ALTI_TOKEN`	必須の bearer 認証情報。欠落や空の値は拒否
`ALTI_ORG_ID`	必須の組織スコープ
`ALTI_API_BASE`	API ベース。既定値は `https://api.altifigence.com`
`ALTI_BYO`	`1`、`true` または `yes` で、持ち込むプリンシパルの種類を選択
`ALTI_ALLOW_SOURCE_UPLOAD`	ソースを含む顧客 MCP アクションへのオプトイン。ない場合は拒否

エンドポイントの上書きは、自分が管理するサービスか、アカウントに明示的に提供されたエンドポイントだけに設定してください。オリジン変更は、対応する認証情報を別のホストへ送信する可能性があります。

従来の DDS HTTP コマンドは、代わりに --endpoint または ALTI_STUDIO_ENDPOINT と、既存のサービスシークレットの環境設定を使用します。ネイティブ Cloud ログインを再利用せず、そのサービス用の認証フローを作り出しません。

設定状態は認証ではない

alti auth status は従来の環境設定だけを調べます。その serverVerification は not_performed のままで、alti ide cloud whoami と同じではありません。

従来のトップレベル alti login と alti whoami は引き続き終了コード 4、AUTH_FLOW_UNAVAILABLE と IDENTITY_NOT_VERIFIED で終了します。トップレベル alti logout は親プロセスから継承した値を消せません。元の場所で値を消去・更新し、ネイティブセッションには ide cloud logout を使ってください。

シークレットの取り扱い

CI 認証情報は CI のシークレットストアに保持し、必要なステップだけへ注入します。
セッションディレクトリは所有者だけに公開し、ソース管理、ユーザー共有キャッシュ、公開アーティファクトに追加しないでください。
トークン、サービスシークレット、ブラウザ Cookie、環境全体をログに記録しないでください。
認証情報を使うコマンドの周辺ではシェルトレースを無効にし、ログに入った可能性のある値を更新してください。

リモート API アクセス

選択したバックエンドに合う型付きのジョブと Cloud コマンドを使用します。クライアント検証と成功したログインは、サーバー側の権限の代わりにならず、要求ジョブが完了した証拠にもなりません。

ネイティブセッションの検証と復旧

alti ide cloud login
alti ide cloud whoami

CLI を使うのと同じ通常の Linux ユーザーとして実行してください。ブラウザフローを完了し、ワークスペース操作の前に whoami 応答の成功を必須とします。別の --session-dir を使う場合、ログインと後続呼び出しで使ってください。別ディレクトリは別の保存済みセッションです。

セッションが期限切れなら、ネイティブの更新・サインインフローを使います。ID 確認が成功してもプロジェクトを拒否される場合、組織メンバーシップとプロジェクト権限を調べます。拒否を回避するためにデスクトップの認証情報をコピーしたり、API オリジンを変更したりしないでください。アカウント復旧にはアカウントセキュリティを使用してください。