3行でいうと

  • 認証は大きく4系統です。claude.aiのサブスクリプション（Pro、Max、Team、Enterprise）、Claude Console（APIキー、またはキーなしのサインイン）、クラウド経由（Amazon Bedrock、Google CloudのAgent Platform、Microsoft Foundry）、そして社内の中継（ゲートウェイ）です。
  • 複数の認証が同時にあるときは、公式が示す順番で1つが選ばれます。環境変数のAPIキーは、サブスクのログインより先に使われます。「サブスクのつもりがAPI課金だった」は、この順番から起きます。
  • 使い分けで差が出るのは、請求の単位、使える機能（定期実行のroutinesやクラウド実行はclaude.aiのログインが必要）、データの学習利用の扱いの3点です。どれを使っているかは、/status で確かめられます。

この記事は、実際に使って確かめた記録ではありません。運営者はClaude Codeを入れていますが、使い心地はこの記事には書いていません。この記事は、2026年10月16日に公式ドキュメントを読んでまとめたものです。コマンド、環境変数、設定のキーは、公式ページに書かれているとおりに写しています。動作の確認はしていません。公式の表示は変わることがあります。

先に結論

前提：言葉をそろえる

4つの入口を並べる

公式の「Enterprise deployment overview」の比較表と、認証のページを合わせて整理します。公式の比較表には、このほかに「Claude Platform on AWS」（AWS Marketplace経由の請求で、Claude APIの機能を使う道）の列もありますが、この記事の表には含めていません。料金の金額は書きません。

claude.ai（Teams、Enterprise） Claude Console Amazon Bedrock Google CloudのAgent Platform Microsoft Foundry
公式が挙げる向き ほとんどの組織に推奨 個人の開発者 AWS中心の組織 GCP中心の組織 Azure中心の組織
認証 claude.aiのSSOまたはメール APIキー APIキー、またはAWSの認証情報 GCPの認証情報 APIキー、またはMicrosoft Entra ID
請求の見え方 利用状況のダッシュボード 利用状況のダッシュボード AWS Cost Explorer GCP Billing Azure Cost Management
claude.aiのWeb版が付くか 付く 付かない 付かない 付かない 付かない

サブスクのログイン

初めてclaudeを実行すると、ブラウザが開いてログインする流れです。ブラウザが自動で開かないときは、c キーでログインのURLをコピーできます。

Claude Console

組織が従量課金（使った分だけ払う形）を望むときの道です。管理者が招待し、役割を付けます。公式は2つの役割を挙げています。「Claude Code」ロールはClaude Code用のAPIキーだけを作れる役割で、「Developer」ロールはどんな種類のAPIキーも作れる役割です。

Claude Code v2.1.242以降では、APIキーを作らずにConsoleアカウントでサインインする道もあります。ログイン画面で2つ選べます。「Consoleアカウントでサインイン（推奨）」はOAuthのトークンをプロファイルとして保存し、APIキーは作りません。「APIキーを作る（従来型）」はキーを作って保存します。すべての環境で選べるわけではなく、クラウド経由の実行などでは、聞かずにAPIキーが作られます。

クラウド経由

Bedrock、Agent Platform、Foundryは、CLAUDE_CODE_USE_BEDROCK、CLAUDE_CODE_USE_VERTEX、CLAUDE_CODE_USE_FOUNDRY といった環境変数を設定して使います。ログイン画面で「3rd-party platform」を選ぶと、BedrockとVertex AI（Google Cloud側の現在の名称はAgent Platform）には、対話形式の設定ウィザードが出ます。Foundryには、このウィザードはありません。環境変数だけが設定の道です。

3つに共通する公式の注意があります。モデルのバージョンを固定することです。固定しないと、sonnet や opus といった別名が、Claude Codeが内部に持つ既定のモデルに解決されます。それは最新版より遅れていたり、自分のアカウントでまだ有効になっていなかったりすることがある、と書かれています。固定には、ANTHROPIC_DEFAULT_OPUS_MODEL、ANTHROPIC_DEFAULT_SONNET_MODEL、ANTHROPIC_DEFAULT_HAIKU_MODEL などを使います。

優先順位の7段（公式の認証ページ）

複数の認証が同時にあるとき、Claude Codeは次の順で1つを選ぶ、と公式は書いています。

  1. クラウドの指定：CLAUDE_CODE_USE_BEDROCK、CLAUDE_CODE_USE_VERTEX、CLAUDE_CODE_USE_FOUNDRY のどれかが設定されているとき。
  2. ANTHROPIC_AUTH_TOKEN：Authorization: Bearer ヘッダーとして送られます。ベアラートークンで認証するLLMゲートウェイやプロキシ向けです。
  3. ANTHROPIC_API_KEY：X-Api-Key ヘッダーとして送られます。対話モードでは、初回に承認するかどうかを聞かれ、その選択が記憶されます。あとから変えるには /config の「Use custom API key」を使います。非対話モード（-p）では、キーがあれば常に使われます。
  4. apiKeyHelper：スクリプトの出力を鍵として使います。ボールト（秘密情報の保管庫）から短い期限の鍵を取るような用途です。
  5. CLAUDE_CODE_OAUTH_TOKEN：claude setup-token で作る、長期間有効なOAuthトークンです。CIやスクリプトのように、ブラウザでログインできない場所向けです。
  6. Anthropicのプロファイルとフェデレーション（Workload Identity Federation）の認証情報。ただし、ant auth login で書かれたプロファイルは、ANTHROPIC_PROFILE で名前を指定したときだけこの位置に入り、指定しないと /login のサブスク認証より下になります。
  7. /login で得るサブスクのOAuth認証情報。Pro、Max、Team、Enterpriseの既定です。

社内のClaude appsゲートウェイにサインインしている場合は、この一覧の外で、クラウドの指定よりも優先される、とあります。

使い分けで気をつけること

1. 「サブスクのつもり」で別の鍵が先に使われる

公式は、有効なサブスクリプションがあっても、環境に ANTHROPIC_API_KEY が設定されていて、そのキーを承認した場合は、APIキーが使われると書いています。そのキーが無効化された組織や期限切れの組織のものだと、認証の失敗が起きることがあります。サブスクに戻したいときは、unset ANTHROPIC_API_KEY を実行し、/status で現在の方法を確かめます。ログインとAPIキーの両方があるとき、/status は使われていないほうに印を付ける、とあります。

claude auth status というコマンドもあります。認証の状態をJSONで出し、ログイン済みなら終了コード0、そうでなければ1を返します。authMethod の値は、none、claude.ai、oauth_token、api_key、api_key_helper、third_party のどれかです。

2. 請求の単位が違う

Claude Codeの費用のページは、Claude Codeの課金はAPIのトークン消費に基づく、と書いています。そのうえで、サブスクの利用者（ProとMax）では、利用量がサブスクに含まれるため、/usage に出るセッションの費用の数字は、請求の目安としては意味がない、と注意しています。Teams、Enterpriseでは、席ごとの枠に使用量が引かれ、枠を超えて使うための「使用クレジット」を管理者が設定できます。ConsoleとクラウドはトークンごとにAPI課金です。

費用の数字は、手元でトークン数から計算した推計で、正確な請求はConsoleの利用ページで見る、と公式は書いています。

3. 使える機能が入口で変わる

公式の「Feature availability」は、claude.aiのサブスクが必要な機能を挙げています。クラウド上のセッション、Claude Codeのモバイル版、定期実行のroutines（/schedule）、Remote Control、Chrome拡張などです。ConsoleのAPIキーや、クラウド経由では届きません。クラウド経由では、Amazon BedrockでWeb検索（WebSearch）が使えない、という違いもあります。BedrockとFoundryとAgent Platformでは、/logout が使えません。認証がクラウド側で行われるためです。

非対話の自動化（claude -p やGitHub Actionsなど）の認証は、別の記事で扱っています。

4. データの扱いが変わる

公式のデータ利用のページによると、方針は個人向けと商用で分かれます。

保持期間も異なります。個人向けは、学習への利用を許可した場合が5年、許可しない場合が30日、と書かれています。商用の標準は30日で、ゼロデータ保持は条件を満たした企業に別途提供されます。法的な助言ではありません。契約と最新の規約は、公式の文書で確かめてください。

5. 長期トークンの範囲

claude setup-token は、1年有効のOAuthトークンを端末に表示します。保存はされません。このトークンはサブスクの認証で、Pro、Max、Team、Enterpriseが必要です。モデルへの要求しかできず、Remote Controlのセッションも、claude.aiのコネクタも使えません。裸モード（--bare）はこの変数を読みません。

今日からできること

  1. どの認証で動いているかを、Claude Codeの中の /status、シェルの claude auth status で確かめます。
  2. 環境変数 ANTHROPIC_API_KEY、ANTHROPIC_AUTH_TOKEN が、シェルの設定ファイルに残っていないかを見ます。
  3. 仕事用と個人用のアカウントを分けたいときは、CLAUDE_CONFIG_DIR を使います。公式は、アカウントごとに別の設定ディレクトリを指定し、alias claude-work='CLAUDE_CONFIG_DIR=~/.claude-work claude' のように呼び分ける例を示しています。ただし、キーなしのConsoleサインインは設定ディレクトリの外に保存されるため、この方法では分けられません。

気をつけること

出典