Проверка идентификации сеанса в самостоятельно размещаемых окружениях

​

Токен сеанса

​

Что доказывает токен

• Доказывает: Anthropic выдала токен для конкретного сеанса в конкретном окружении и как был создан сеанс: пользователем в вашей организации или идентификацией сервиса вашей организации, что является способом запуска сеансов канала Claude Tag
• Не доказывает: какой процесс на хосте runner представляет его. Токен находится в переменной окружения внутри сеанса, поэтому любой код, который запускает Claude, и любой инструмент или MCP сервер, который запускает сеанс, могут его прочитать и представить.

• Проверьте утверждение aud против вашего ID окружения, значения ccpool_..., показанного с вашим окружением на странице администратора Cloud environments, чтобы отклонить токены, выданные для любого другого окружения организации.
• Ограничьте учетные данные, которые вы получаете из токена, тем, что может делать один сеанс кодирования, а не всем, что может делать создатель сеанса. См. Ограничение полученных учетных данных.

​

Формат токена

sk-ant-cc-<base64url header>.<base64url payload>.<base64url signature>

​

Проверка токена

​

Проверка токена из вашего сервиса

https://api.anthropic.com/v1/code/.well-known/jwks.json

import { createRemoteJWKSet, jwtVerify } from "jose";

const JWKS = createRemoteJWKSet(
  new URL("https://api.anthropic.com/v1/code/.well-known/jwks.json")
);

const PREFIX = "sk-ant-cc-";
const EXPECTED_POOL_ID = "ccpool_...";

export async function verifySessionToken(raw: string) {
  if (!raw.startsWith(PREFIX)) {
    throw new Error("not a self-hosted runner session token");
  }
  const jwt = raw.slice(PREFIX.length);

  const { payload } = await jwtVerify(jwt, JWKS, {
    issuer: "ccr",
    audience: EXPECTED_POOL_ID,
    algorithms: ["ES256"],
  });

  if (payload["ccr:role"] !== "session_worker") {
    throw new Error("token is not a session_worker token");
  }

  const act = payload.act as { email?: string; sub?: string };
  return {
    sessionId: payload["ccr:session_id"] as string,
    poolId: payload["ccr:pool_id"] as string,
    orgId: payload["ccr:org_id"] as string,
    creatorEmail: act?.email,
    creatorSub: act?.sub,
  };
}

import jwt
from jwt import PyJWKClient

JWKS_URL = "https://api.anthropic.com/v1/code/.well-known/jwks.json"
PREFIX = "sk-ant-cc-"
EXPECTED_POOL_ID = "ccpool_..."

jwks = PyJWKClient(JWKS_URL)


def verify_session_token(raw: str) -> dict:
    if not raw.startswith(PREFIX):
        raise ValueError("not a self-hosted runner session token")
    token = raw.removeprefix(PREFIX)

    signing_key = jwks.get_signing_key_from_jwt(token)
    payload = jwt.decode(
        token,
        signing_key.key,
        algorithms=["ES256"],
        issuer="ccr",
        audience=EXPECTED_POOL_ID,
    )

    if payload.get("ccr:role") != "session_worker":
        raise ValueError("token is not a session_worker token")

    act = payload.get("act") or {}
    return {
        "session_id": payload["ccr:session_id"],
        "pool_id": payload["ccr:pool_id"],
        "org_id": payload["ccr:org_id"],
        "creator_email": act.get("email"),
        "creator_sub": act.get("sub"),
    }

​

Проверка токена внутри сеанса

"$CLAUDE_RUNNER_CLAUDE_BIN" self-hosted-runner decode-token | jq -re '.act.attested_by.sub // .act.email // .act.sub'

​

Справочник утверждений

​

Цепь act

​

Ограничение полученных учетных данных

• Ограничьте возможности: предоставьте доступ на чтение и запись к ресурсам, которые сеансу нужны для задач кодирования, а не административные возможности, которые создатель имеет в другом месте.
• Ограничьте время жизни: привяжите полученные учетные данные к exp токена или короче.
• Аудит как сеанс: запишите ccr:session_id и jti рядом с идентификацией создателя, чтобы вы могли отследить действия обратно к конкретному сеансу.

​

Связанные переменные окружения

• Хук spawn-runner, на оркестраторе: хук работает перед тем, как для поставленного в очередь сеанса существует какой-либо runner, и получает идентификацию создателя в переменных, таких как CLAUDE_RUNNER_ACCOUNT_EMAIL и CLAUDE_RUNNER_ACCOUNT_ID. Оркестратор читает их из рабочего заказа, подписанного одноразового токена, который авторизует запуск одного runner, без проверки подписи самого рабочего заказа; утверждения доверяются, потому что рабочий заказ поступает через соединение оркестратора с Anthropic, которое аутентифицирует секрет окружения.
• Скрипты-обертки, внутри сеанса: обертки получают CCR_SESSION_ACCOUNT_EMAIL, адрес электронной почты создателя, предварительно извлеченный из токена без проверки подписи. Переменная подходит для маркировки, такой как трейлеры коммитов, а не для решений об аутентификации.

​

Что дальше

• Самостоятельно размещаемые окружения: окружение, runner и модель сеанса; краткое руководство и Deploy to production содержат настройку и операции
• Настройка сеансов: скрипты-обертки, которые потребляют токен, и хук spawn-runner
• Справочник: флаги CLI, переменные окружения и метрики