Autenticação da CLI
Entre com o PKCE nativo do Cloud e distinga sua sessão das credenciais da API legada e do serviço DDS.
Overview
Escolha o caminho de credenciais para o comando que está usando. O login nativo do Cloud, as credenciais de ações legadas do cliente e um serviço HTTP DDS configurado por um operador são contratos separados. Operações XLS locais e de espaços de trabalho nativos não precisam de credenciais Cloud.
As credenciais do Desktop e da CLI são separadas
Interface | Caminho de credenciais | Autoridade |
|---|---|---|
Digital Design Studio 2.0.2 Windows | Autenticação no navegador para recursos locais protegidos; edição e salvamento também funcionam sem autenticação | Sem licença de dispositivo My PC. Entrar com Free permite os recursos locais documentados; Cloud e IA verificam permissões separadas. |
| PKCE no navegador e uma sessão privada da CLI | A identidade no Account e as permissões de organização/projeto são verificadas pelo servidor |
Cliente de ações/jobs do cliente |
| A credencial e o escopo apresentados à API selecionada |
| Origem do serviço configurada e | O contrato de autorização existente do serviço legado |
Nenhuma sessão da CLI concede uma licença do desktop. Não importe arquivos de sessão do desktop, cookies do navegador ou cabeçalhos de serviços internos para uma solicitação Cloud nativa.
Login nativo do Cloud
alti ide cloud login
alti ide cloud whoami
alti ide cloud refresh
alti ide cloud logout
O login imprime a URL de autorização para o fluxo PKCE no navegador. O padrão é https://api.altifigence.com e um diretório privado de sessão em ~/.local/state/altifigence/cloud-cli. Use --session-dir de forma consistente para selecionar outra sessão. O login também aceita --org e um --wait-seconds limitado; os comandos seguintes usam seus próprios prazos de solicitação.
Use whoami para obter a identidade no servidor, em vez de inferi-la de um token armazenado. A atualização e o logout operam nessa sessão nativa. IDs de organização/projeto em comandos de busca e terminal do Cloud delimitam a solicitação, mas não concedem acesso. Operações tipadas de ide cloud run mantêm as verificações de permissão do servidor e exigem --allow-source-upload quando seu contrato envolve envio de código-fonte.
A CLI se conecta por suas rotas de API nativas explícitas. Um fluxo de login não promete que toda operação Cloud esteja habilitada para toda organização.
Variáveis de ambiente lidas pela CLI
Os clientes legados de ações do cliente e jobs Cloud mantêm estas configurações:
Variável | Efeito |
|---|---|
| Credencial bearer obrigatória; um valor ausente ou vazio é recusado |
| Escopo obrigatório de organização |
| Base da API, padrão |
|
|
| Adesão às ações MCP do cliente que contêm código-fonte; ausente significa negado |
Defina substituições de endpoint somente para um serviço que você controla ou um endpoint fornecido explicitamente para sua conta. Uma origem alterada pode enviar a credencial correspondente a outro host.
Os comandos HTTP DDS legados usam --endpoint ou ALTI_STUDIO_ENDPOINT e a configuração de ambiente existente para o segredo do serviço. Eles não reutilizam o login nativo do Cloud nem inventam um fluxo de autenticação para esse serviço.
Estado de configuração não é autenticação
alti auth status examina apenas a configuração legada de ambiente. Seu serverVerification permanece como not_performed; não equivale a alti ide cloud whoami.
Os comandos legados de nível superior alti login e alti whoami ainda saem com 4 e AUTH_FLOW_UNAVAILABLE e IDENTITY_NOT_VERIFIED. O comando de nível superior alti logout não pode limpar valores herdados de um processo pai. Remova ou rotacione esses valores na origem; use ide cloud logout para a sessão nativa.
Tratamento de segredos
Mantenha as credenciais de CI no armazenamento de segredos de CI e injete-as somente na etapa que precisa delas.
Mantenha os diretórios de sessão privados para seu proprietário; não os adicione ao controle de versão, a caches compartilhados entre usuários ou a artefatos publicados.
Não registre tokens, segredos de serviço, cookies do navegador ou ambientes completos.
Desative o rastreamento do shell nos comandos com credenciais e rotacione qualquer valor que possa ter aparecido em um log.
Acesso remoto à API
Use os Comandos de jobs e Cloud tipados para o backend selecionado. A validação do cliente e um login bem-sucedido não substituem permissões do servidor nem comprovam que um job solicitado foi concluído.
Verifique e recupere a sessão nativa
alti ide cloud login
alti ide cloud whoami
Execute estes comandos como o mesmo usuário Linux comum que usará a CLI. Conclua o fluxo no navegador e exija uma resposta bem-sucedida de whoami antes de operações de espaço de trabalho. Se usar um --session-dir alternativo, use-o no login e nas chamadas seguintes; um diretório diferente é uma sessão salva diferente.
Se a sessão expirar, use o fluxo nativo de atualização ou login. Se a identidade for obtida, mas um projeto for negado, examine a associação à organização e as permissões do projeto. Não copie credenciais do desktop nem altere origens de API para contornar essa recusa. Para recuperação da conta, use Segurança da conta.