自己ホスト環境でセッション ID を検証する

​

セッショントークン

​

トークンが証明すること

• 証明すること: Anthropic が特定の環境内の特定のセッション用にトークンを発行したこと、およびセッションがどのように作成されたか。組織内のユーザーによって、または組織のサービス ID によって（Claude Tag チャネルセッションの開始方法）
• 証明しないこと: ランナーホスト上のどのプロセスがそれを提示するか。トークンはセッション内の環境変数に存在するため、Claude が実行するコード、およびセッションが開始するツールまたは MCP サーバーは、それを読んで提示できます。

• aud クレームを環境 ID（Cloud environments 管理ページで環境と共に表示される ccpool_... 値）に対して検証し、他の組織の環境に発行されたトークンを拒否します。
• トークンから派生させた認証情報を、単一のコーディングセッションが実行できることにスコープします。セッションの作成者ができるすべてのことではなく。派生認証情報のスコープを参照してください。

​

トークン形式

sk-ant-cc-<base64url header>.<base64url payload>.<base64url signature>

​

トークンを検証する

​

サービスからトークンを検証する

https://api.anthropic.com/v1/code/.well-known/jwks.json

import { createRemoteJWKSet, jwtVerify } from "jose";

const JWKS = createRemoteJWKSet(
  new URL("https://api.anthropic.com/v1/code/.well-known/jwks.json")
);

const PREFIX = "sk-ant-cc-";
const EXPECTED_POOL_ID = "ccpool_...";

export async function verifySessionToken(raw: string) {
  if (!raw.startsWith(PREFIX)) {
    throw new Error("not a self-hosted runner session token");
  }
  const jwt = raw.slice(PREFIX.length);

  const { payload } = await jwtVerify(jwt, JWKS, {
    issuer: "ccr",
    audience: EXPECTED_POOL_ID,
    algorithms: ["ES256"],
  });

  if (payload["ccr:role"] !== "session_worker") {
    throw new Error("token is not a session_worker token");
  }

  const act = payload.act as { email?: string; sub?: string };
  return {
    sessionId: payload["ccr:session_id"] as string,
    poolId: payload["ccr:pool_id"] as string,
    orgId: payload["ccr:org_id"] as string,
    creatorEmail: act?.email,
    creatorSub: act?.sub,
  };
}

import jwt
from jwt import PyJWKClient

JWKS_URL = "https://api.anthropic.com/v1/code/.well-known/jwks.json"
PREFIX = "sk-ant-cc-"
EXPECTED_POOL_ID = "ccpool_..."

jwks = PyJWKClient(JWKS_URL)


def verify_session_token(raw: str) -> dict:
    if not raw.startswith(PREFIX):
        raise ValueError("not a self-hosted runner session token")
    token = raw.removeprefix(PREFIX)

    signing_key = jwks.get_signing_key_from_jwt(token)
    payload = jwt.decode(
        token,
        signing_key.key,
        algorithms=["ES256"],
        issuer="ccr",
        audience=EXPECTED_POOL_ID,
    )

    if payload.get("ccr:role") != "session_worker":
        raise ValueError("token is not a session_worker token")

    act = payload.get("act") or {}
    return {
        "session_id": payload["ccr:session_id"],
        "pool_id": payload["ccr:pool_id"],
        "org_id": payload["ccr:org_id"],
        "creator_email": act.get("email"),
        "creator_sub": act.get("sub"),
    }

​

セッション内でトークンを検証する

"$CLAUDE_RUNNER_CLAUDE_BIN" self-hosted-runner decode-token | jq -re '.act.attested_by.sub // .act.email // .act.sub'

​

クレームリファレンス

​

act チェーン

​

派生認証情報のスコープ

• 機能を制限する: セッションがコーディングタスクに必要なリソースへの読み取りおよび書き込みアクセスを付与し、作成者が他の場所で保持する管理機能は付与しません。
• 有効期限を制限する: 派生認証情報をトークンの exp またはそれより短い期間にバインドします。
• セッションとして監査する: ccr:session_id と jti を作成者 ID と共に記録して、アクションを特定のセッションにトレースバックできるようにします。

​

関連環境変数

• spawn-runner フック（オーケストレーター上）: フックはキューに入れられたセッションのランナーが存在する前に実行され、CLAUDE_RUNNER_ACCOUNT_EMAIL や CLAUDE_RUNNER_ACCOUNT_ID などの変数で作成者 ID を受け取ります。オーケストレーターはワークオーダー（1 つのランナーを生成することを認可する署名付き 1 回限りのトークン）からそれらを読み取り、ワークオーダーの署名自体を検証せずに。クレームは環境シークレットが認証するオーケストレーターの Anthropic への接続を介してワークオーダーが到着するため、信頼されます。
• ラッパースクリプト（セッション内）: ラッパーは CCR_SESSION_ACCOUNT_EMAIL を受け取ります。これは作成者のメールで、署名検証なしでトークンから事前に抽出されたものです。変数は認証決定ではなく、コミットトレーラーなどのラベル付けに適しています。

​

次のステップ

• 自己ホスト環境: 環境、ランナー、およびセッションモデル。クイックスタートと本番環境へのデプロイはセットアップと運用を保持しています。
• セッションをカスタマイズする: トークンを使用するラッパースクリプト、および spawn-runner フック
• リファレンス: CLI フラグ、環境変数、およびメトリクス