Claude Codeで組織がAPIキー認証を無効化したときの対処
「Your organization has disabled API key authentication」の意味と、Console管理者・利用者それぞれの対処をまとめます。
Your organization has disabled API key authenticationは、Claude Codeが送っているAPIキーを、Anthropicのサーバー側が組織の設定で拒否しているときに出るエラーです。キー自体は壊れていません。Claude Console組織の管理者が、その組織に属するAPIキーでの認証をまとめて無効化した状態を示します。v2.1.169以降のClaude Codeでこの文面が表示されます。
似た文面のエラーが3つある — まず見分ける
「組織」「無効化」という語を含むエラーは、原因も対処もまったく別のものが3つ存在します。表示された文面をそのまま照合してください。
| メッセージ | 意味 | 主な対処 |
|---|---|---|
This organization has been disabled | 意味使っているAPIキーが丸ごと停止したConsole組織のもの | 主な対処キーを退役させ、/loginかアクティブな組織のキーに切り替える |
Your organization has disabled API key authentication | 意味組織は生きているが、管理者がAPIキー認証だけを止めた | 主な対処/loginでclaude.aiアカウントに切り替える(本記事) |
Your organization has disabled Claude subscription access | 意味claude.ai側の組織がサブスクリプションでのログインだけを止めた | 主な対処Anthropic APIキーに切り替える |
3つとも文面が似ていますが、原因はそれぞれ違います。1つ目は組織そのものが機能を失っている状態です。キーを差し替えても、同じ組織に紐づく限り解消しません。本記事が扱う2つ目は、組織もキーも生きているのに、ポリシーとしてAPIキーという認証方式自体を締め出している点が異なります。3つ目は逆方向の設定で、claude.aiのサブスクリプションアクセスが止められた場合の対処で扱います。
なぜAPIキーだけを止められるのか
Claude CodeをチームやEnterpriseで導入する経路は複数あり、Claude Console組織を使う経路では、招待されたメンバーがAPIキーを発行して認証します。管理者はConsoleの組織設定から、この経路そのものを無効化できます。
無効化の背景にはガバナンス上の理由が多いと考えられます。APIキーは発行者が誰かを問わず有効な文字列です。共有されたりリポジトリに紛れ込んだりする事故が起きやすい認証方式でもあります。一方でclaude.aiアカウントのログインはユーザーごとに紐づき、SSOや多要素認証と組み合わせやすくなります。監査ログの粒度を上げたい、退職者のアクセスを即座に止めたい。こうした要件を持つ組織が、APIキー認証を切って/loginベースの認証へ寄せる設定と言えそうです。
この設定はサーバー側で管理されるため、ローカルのsettings.jsonや環境変数では上書きできません。管理者が再びConsoleで有効化しない限り、同じ組織のAPIキーはどの端末でも拒否され続けます。
Console組織にはキー発行の権限に段差があり、招待時にClaude Codeロール(Claude Code用のAPIキーしか作れない)かDeveloperロール(任意のAPIキーを作れる)のどちらかを割り当てます。APIキー認証そのものを止める判断は組織全体に一律で効くため、どちらのロールで招待していたかに関わらず、既存のキーはまとめて拒否対象になります。
このエラーはclaudeをCLIで直接使う場合に限りません。エラーの文面と復旧手順は、CLI・Desktop app・Claude Code on the webのいずれでも共通です。理由は単純です。3つとも同じClaude Code CLIをラップしています。片方の面だけで直しても、他の面では直りません。
メッセージ末尾のヒントで対処が変わる
このエラーは·の後ろに4パターンのヒントが続き、キーがどこから来ているかで文面が変わります。
Your organization has disabled API key authentication · Run /login to sign in with your claude.ai account
Your organization has disabled API key authentication · Unset ANTHROPIC_API_KEY to use your claude.ai account instead
Your organization has disabled API key authentication · Unset ANTHROPIC_API_KEY and run /login to sign in with your claude.ai account
Your organization has disabled API key authentication · Unset the apiKeyHelper setting and run /login to sign in with your claude.ai accountANTHROPIC_API_KEYが名指しされていれば、シェルの環境変数か.envファイルにキーが残っています。現在のシェルでunset ANTHROPIC_API_KEYを実行してください。シェルの起動ファイル(.zshrcや.bashrc)からも該当行を削除し、claudeを再起動します。apiKeyHelperが名指しされている場合は、settings.jsonのapiKeyHelper設定を削除してください。どちらでもなく単に/loginとだけ言われる場合は、保存済みのclaude.aiログインが無いか失効しています。そのまま/loginを実行し、サブスクリプションアカウントでサインインしましょう。
環境変数はログインより優先される
/loginを実行しても直らない場合、原因はほぼ確実に認証情報の優先順位にあります。Claude CodeはANTHROPIC_API_KEYやapiKeyHelperが設定されていると、保存済みの/loginより先にそちらを使います。優先順位はこの一点に尽きます。キーを消さずに/loginだけをやり直しても、次回起動時にまた同じキーが送られて同じエラーに戻ります。
優先順位を確認する近道は/statusです。Login methodにサブスクリプションのアカウントが表示されていても、API keyの行が別に出ていれば、実際に使われているのはそちらです。unsetと/loginは必ずセットで行い、/statusでAPI keyの行が消えたことを確認してから作業を再開してください。
自動化・CI環境では挙動が違う
このエラーは対話セッションに限りません。apiKeyHelperとANTHROPIC_API_KEY、ANTHROPIC_AUTH_TOKENは、CLI本体だけでなくVS Code拡張・Agent SDK・GitHub Actionsといった、CLIをラップする面すべてに適用されます。Claude Desktopとクラウドセッションはこれらを読まずOAuthで動くため、同じ組織でも面によって影響の出方が違います。
非対話モード(-p)では、ANTHROPIC_API_KEYが存在する限り確認なしで常にそのキーが使われます。組織がAPIキー認証を無効化した状態でCI上のスクリプトが動いていると、対話セッションより先にバッチ処理側でこのエラーが表面化することがあります。CI環境の認証をAPIキーからOAuthベースの長期トークンへ移す場合は、Claude Codeログイン方法3種の使い分けで認証方式ごとの制約を確認してください。
CIでの代替 — setup-tokenで長期トークン発行
ブラウザログインが使えないCIパイプラインでは、claude setup-tokenを実行するとPro/Max/Team/Enterpriseのサブスクリプションに紐づいた1年有効のOAuthトークンを発行できます。発行の手順は簡単です。ローカルで一度ブラウザ認可を行うだけで、トークンはターミナルに表示されます。これをCLAUDE_CODE_OAUTH_TOKEN環境変数としてCIのシークレットに登録します。
claude setup-token
export CLAUDE_CODE_OAUTH_TOKEN=your-tokenこのトークンはAPIキーではなくサブスクリプション経由の認証情報なので、組織がAPIキー認証だけを止めていても影響を受けません。ただしモデルへのリクエストしか行えず、Remote Controlセッションの確立やclaude.ai connectorsの取得はできません(ローカル設定のMCPサーバーは動作します)。bare modeではこの変数が読まれません。そのため--bareで動かしているパイプラインではこの代替が使えず、ANTHROPIC_API_KEYかapiKeyHelperが必要になります。この場合は管理者に再有効化を依頼する以外の道がありません。
管理者側が確認すること
このメッセージが出ているのに管理者側で無効化した記憶がない場合は、managed settingsによる組織管理ガイドにあるとおり、Console組織の設定変更が意図せず配布された可能性を確認します。逆に、意図してAPIキー認証を止めた組織では、メンバー全員にこのメッセージが今後出続けることを前提に、forceLoginMethodやforceLoginOrgUUIDでclaude.aiログインの案内先を絞っておくと、問い合わせの数を減らせます。
自動化のためにAPIキー認証がどうしても必要なメンバーがいる場合は、個別に再有効化を依頼するか、その用途だけConsole組織の別ロールで運用する形になります。Claude Codeの認証情報はmacOSでは暗号化されたKeychain、Linuxでは~/.claude/.credentials.json(パーミッション0600)、Windowsではユーザープロファイル配下に保存されています。/loginとAPIキーの資格情報は別々に保持されます。片方を無効化しても、もう片方の資格情報が壊れるわけではありません。
よくある質問
unsetしても同じエラーが出続けるのはなぜですか
現在のシェルだけでunsetしても、シェルの起動ファイルにexport ANTHROPIC_API_KEY=...が残っていると、次に開いたターミナルで再び読み込まれます。.zshrcや.bashrc、.envファイルまで確認し、該当行を削除してからシェルを開き直してください。
apiKeyHelperを消してよいか判断できません
apiKeyHelperは短命なトークンをスクリプトで発行する仕組みで、組織がAPIキー認証自体を止めた場合はこの経路も含めて拒否されます。削除して/loginに切り替えても、他の設定に影響しません。
同じPCで別のConsole組織のキーなら使えますか
このエラーはキーが属する組織の設定に紐づくものです。無効化されていない別のConsole組織で発行されたキーであれば、認証は通ると考えられます。ただし業務で使う正規のキーを個人で用意した別組織のキーに差し替えるのは、監査ログの観点で追跡が難しくなる運用です。
VS Code拡張だけでこのエラーが出ます
VS Code拡張はCLIをラップする面の1つなので、CLIと同じANTHROPIC_API_KEY・apiKeyHelperを読みます。ターミナルでのunsetだけでなく、VS Codeを再起動してから拡張のログイン状態を確認してください。
--bareで動かしているCIはどうすればよいですか
claude setup-tokenが発行するCLAUDE_CODE_OAUTH_TOKENはbare modeでは読まれないため、この代替は使えません。--bareのパイプラインはANTHROPIC_API_KEYかapiKeyHelperを直接必要とするので、組織がAPIキー認証を止めている限り、管理者にそのパイプライン用の再有効化を個別に依頼するしかありません。
まとめ
このエラーは組織が壊れているのではなく、Console組織がAPIキーという認証方式そのものを締め出した状態を示します。対処の骨子は、メッセージが名指しするANTHROPIC_API_KEYまたはapiKeyHelperを消してから/loginでclaude.aiアカウントにサインインし直すことです。環境変数はログインより優先されるため、消し忘れがあると/loginだけでは直りません。/statusで実際に使われている認証方式を確認してから作業に戻ってください。CI・自動化の面では非対話モードがAPIキーを無条件に使うため、対話セッションより先にエラーが出ることがある点も踏まえておく必要があります。