Entre pelo terminal com o login único da empresa

Como funciona

O terminal pede um código (atlasberg login. Mostra um link e um código de oito letras.) -> Você confirma no portal (Logado com o SSO da empresa. Aprova ou nega.) -> O terminal recebe um token pessoal (Ligado a você e ao seu time. Expira sozinho. Revogável.). O mesmo padrão que o GitHub usa no gh auth login (RFC 8628). A cada requisição de IA o gateway troca o token pessoal pela chave virtual do seu time e remove o token antes de qualquer coisa seguir adiante. A chave nunca sai do gateway.

Você precisa da CLI atlasberg e do endereço do gateway, como https://llm.empresa.com. A CLI se instala pelo npm, ou você baixa no portal em Meus dispositivos, ou o administrador a entrega junto com a estação. Se o comando de login disser que o login por dispositivo está desligado, a sua empresa ainda não o habilitou: o Tutorial 4 cobre esse lado.

Passo a passo

Claude Code todo dia: Em vez de exportar variáveis em cada shell, aponte o apiKeyHelper do Claude Code para atlasberg key-helper, que imprime só o token. O Claude Code renova sozinho e você nunca mais mexe em variável. O Tutorial 2 mostra o arquivo de configuração gerenciada.

1. Instale a CLI

Com Node na máquina, um comando instala. Sem Node, ou em rede fechada, baixe o binário para o seu sistema em Meus dispositivos no portal e coloque no PATH com o nome atlasberg. Os dois caminhos dão o mesmo comando.

2. Rode o comando de login

Informe o endereço do gateway uma vez. Depois disso a CLI lembra. A opção -nome dá nome a este dispositivo no portal, para você reconhecê-lo mais tarde.

3. Leia o código que o terminal mostra

A CLI imprime um link e um código de oito letras no formato XXXX-XXXX. Só usa consoantes: não soletra palavra e não tem 0 e O ou 1 e I para confundir. A CLI tenta abrir o navegador com o código já preenchido.

4. Confirme no portal

Entre como sempre, pelo SSO da empresa ou pelo login local. A tela mostra quem está pedindo: o nome do dispositivo, o endereço de rede e a hora. Compare o código com o terminal. Aprove ou negue; os dois são definitivos, o código morre nos dois casos.

5. De volta ao terminal

Em poucos segundos a CLI recebe o token pessoal e o guarda com permissão restrita. Ele nunca é impresso. No servidor fica só o hash SHA-256, então um vazamento do disco do servidor não entrega nenhum token.

6. Exporte as variáveis e abra a sua ferramenta

atlasberg env imprime as variáveis que Claude Code, os SDKs da OpenAI e do Google, Cursor, Codex e Gemini CLI já leem, com a URL do gateway e o token no lugar da chave. Funciona em bash, zsh, fish, PowerShell e cmd.

Como fica a sessão

npm install -g @atlasberg/cli
atlasberg version

# ou, sem instalar nada
npx @atlasberg/cli login -gateway https://llm.empresa.com

atlasberg login -gateway https://llm.empresa.com -nome notebook-da-maria

eval "$(atlasberg env)"
claude            # o Claude Code passa a falar com o gateway, como você

$ atlasberg login -gateway https://llm.empresa.com -nome notebook-da-maria
Gateway: https://llm.empresa.com
Dispositivo: notebook-da-maria

Abra no navegador:
    https://llm.empresa.com/portal/dispositivo
e confirme o codigo:
    ZFMB-TTGP

Aguardando a aprovacao no portal...
Pronto. Entrou como Maria Teste (time Engenharia de Plataforma). O token vale ate 29/09/2026 15:49.
Token guardado em ~/.config/atlasberg/credenciais.json (0600). Ele nao foi impresso.

Proximo passo, no seu shell:
    eval "$(atlasberg env)"

$ atlasberg env
# atlasberg env: rode `eval "$(atlasberg env)"`
export ATLASBERG_GATEWAY='https://llm.empresa.com'
export ANTHROPIC_BASE_URL='https://llm.empresa.com/anthropic'
export ANTHROPIC_AUTH_TOKEN='atu-...'
export OPENAI_BASE_URL='https://llm.empresa.com/openai/v1'
export OPENAI_API_KEY='atu-...'
export GOOGLE_GEMINI_BASE_URL='https://llm.empresa.com/genai'
export GEMINI_API_KEY='atu-...'

No dia a dia

• Comando: atlasberg status | O que faz: Mostra o gateway, quem você é, o seu time, o nome do dispositivo e quando o token expira.
• Comando: atlasberg env -shell fish | O que faz: As mesmas variáveis para outro shell: bash, zsh, fish, powershell ou cmd.
• Comando: atlasberg key-helper | O que faz: Imprime só o token. Feito para o apiKeyHelper do Claude Code. Trate a saída como uma senha.
• Comando: atlasberg logout | O que faz: Revoga o token no gateway e apaga a cópia local.
• O token vale sete dias por padrão; o administrador pode definir entre uma hora e noventa dias. Quando vencer, rode atlasberg login de novo.
• Você pode ter até cinco tokens ativos por padrão. Ao passar do teto, o mais antigo é revogado para dar lugar ao novo, então trocar de laptop não exige achar o antigo primeiro.
• Orçamento, provedores permitidos, DLP, guardrails e aprovações continuam sendo os do seu time. Nada disso muda. O que muda é a trilha: ela registra você, não o time.

Validade e limites

Meus dispositivos

No portal, o botão Meus dispositivos lista cada terminal ou IDE que você autorizou: nome, origem, quando foi autorizado, último uso, validade e o botão de revogar. Revogados e expirados ficam na lista de propósito, porque "esse aqui eu não reconheço" é uma informação que você precisa ver. A mesma página oferece o download da CLI para o seu sistema, servido pelo próprio gateway, o que importa numa rede fechada.

[Figura: Tela Meus dispositivos do portal listando um token ativo, com as instruções da CLI - Meus dispositivos. Revogar derruba aquele dispositivo na hora. Perdeu o laptop? Revogue de qualquer navegador.]

• Situação: Laptop perdido ou roubado | O que fazer: Abra Meus dispositivos de qualquer navegador e revogue aquele dispositivo. Ou peça ao administrador, que revoga pelo nome e pela origem.
• Situação: Laptop novo | O que fazer: Só rode atlasberg login nele. Se estiver no teto, o token mais antigo é revogado sozinho.
• Situação: "Código desconhecido, já usado ou expirado" | O que fazer: Códigos vivem dez minutos e são de uso único. Rode atlasberg login de novo e confirme o código novo.
• Situação: "Login por dispositivo desligado" | O que fazer: A sua empresa não ligou. Fale com o administrador; o Tutorial 4 explica a chave.
• Situação: 401 depois do login | O que fazer: O seu usuário não tem time vinculado no gateway. O administrador mapeia o seu grupo do diretório para um time em Identidade e SSO.

Faça tudo com um agente de IA

Se preferir delegar, cole o prompt abaixo no Claude Code ou em outro agente de IA com acesso ao terminal. Ele foi escrito para perguntar tudo o que precisa antes de mexer em qualquer coisa, mostrar um plano, esperar a sua confirmação e só então executar. Ele nunca pede o valor de uma chave de provedor e nunca grava segredo em arquivo do repositório.

Para administradores: configure o SSO e o login por dispositivo

Provedor OIDC, grupos para times, contas locais, política de dispositivos, sincronização com o diretório e como distribuir a CLI.

Anterior: conecte o Claude Code, o Cursor e os SDKs

As variáveis que cada ferramenta lê e o arquivo de configuração gerenciada do Claude Code.

Você vai configurar o meu terminal para entrar no gateway Atlasberg da empresa com o login único, usando a CLI atlasberg, seguindo https://atlasberg.com/docs/tutoriais/login-por-dispositivo. Não invente nada: pergunte o que falta.

Antes de qualquer coisa, me pergunte, uma pergunta por vez:
1. A URL do gateway (exemplo: https://llm.empresa.com).
2. Meu sistema e arquitetura (macOS Apple Silicon ou Intel, Linux x86_64 ou arm64, Windows) e meu shell (bash, zsh, fish, PowerShell ou cmd).
3. Se eu já tenho a CLI atlasberg instalada. Se não, se a máquina tem Node e npm (então instale com npm install -g @atlasberg/cli), ou se devo baixá-la do próprio gateway (GET <gateway>/api/atlasberg/sso/downloads lista os arquivos disponíveis), ou se a empresa me entregou o binário por outro caminho.
4. Quais ferramentas eu uso: Claude Code, Cursor, Codex, Continue, Cline, Aider, Gemini CLI, SDKs.
5. Como quero chamar este dispositivo no portal (exemplo: notebook-da-maria).

Depois, mostre o plano e peça confirmação. Só então faça:
a) Instale a CLI: com npm disponível, rode npm install -g @atlasberg/cli; senão, baixe o arquivo certo para o meu sistema de <gateway>/api/atlasberg/sso/downloads/<arquivo> e ponha no PATH com o nome atlasberg e permissão de execução. Confira com atlasberg version que ela responde. Se nenhum dos dois funcionar, me avise e peça o binário.
b) Rode atlasberg login -gateway <URL> -nome <nome do dispositivo>. O comando vai imprimir um link e um código de oito letras e ficar esperando. Me mostre os dois e me diga para abrir o link no navegador, entrar com o login da empresa, conferir o código e aprovar. Você não consegue aprovar por mim; espere eu dizer que aprovei.
c) Quando o login terminar, rode atlasberg status e me mostre a pessoa, o time e a validade do token. Se aparecer aviso de que o meu usuário não tem time, me explique que preciso pedir ao administrador para mapear o meu grupo para um time em Identidade e SSO.
d) Claude Code: em vez de variáveis, configure apiKeyHelper como "atlasberg key-helper" em ~/.claude/settings.json e ANTHROPIC_BASE_URL=<gateway>/anthropic no bloco env do mesmo arquivo. Assim eu nunca mais mexo em variável e a renovação é automática.
e) Para as outras ferramentas, acrescente ao meu perfil de shell a linha eval "$(atlasberg env)" (ou o equivalente com -shell fish, powershell ou cmd), que exporta ANTHROPIC_BASE_URL, ANTHROPIC_AUTH_TOKEN, OPENAI_BASE_URL, OPENAI_API_KEY, GOOGLE_GEMINI_BASE_URL e GEMINI_API_KEY. Para o Cursor, me diga o que colar em Settings > Models: a saída de atlasberg key-helper no campo OpenAI API Key e <gateway>/cursor/v1 em Override OpenAI Base URL.
f) Teste: com as variáveis carregadas, POST <gateway>/anthropic/v1/messages usando o token no header Authorization: Bearer, modelo claude-sonnet-5, max_tokens 32. Mostre só o resumo.
g) Me explique como revogar este dispositivo se eu perder o laptop (Meus dispositivos no portal, ou atlasberg logout) e que o token vence sozinho no prazo que o administrador definiu, sete dias por padrão.

Regras: nunca imprima o token completo; ao citá-lo, use atu-... Não copie o token para nenhum arquivo além do que a própria CLI grava. Não tente automatizar a aprovação no navegador.

Sobre a Atlasberg Platform

A Atlasberg Platform é a camada de controle entre uma empresa e todos os modelos de IA: cada requisição é autenticada com uma chave virtual, filtrada por política e DLP, roteada para o provedor certo e gravada numa trilha de auditoria encadeada por hash. Expõe uma API compatível com a OpenAI, então as aplicações só trocam a URL base.

O mesmo artefato roda na Atlasberg Cloud, na sua VPC, on-premises ou totalmente air-gapped, e é cobrado por capacidade e módulos, nunca por assento.

Esta página faz parte da documentação oficial. Para falar com o time de engenharia, escreva para [email protected] ou use https://atlasberg.com/pt-br/contato. A resposta vem em até um dia útil.