claude setup-token で発行できるトークンの発行制限とスコープを調べてみた
claude setup-tokenは、CI/CDなど対話的なブラウザログインが使えない環境向けに、長期のOAuthトークンを発行するコマンドです。
発行したトークンはCI/CD等の用途のトークンのため、発行した端末以外でも利用が可能です。
発行自体をユーザー・グループ単位で制限できるのか、発行されたトークンでは何ができてしまうのかを実際に調べてみました。
発行自体を管理側で制限する機能は無い
Claude Enterpriseのカスタムロールを確認しましたが、setup-tokenの発行を許可・禁止する項目はありませんでした（2026年8月時点）。
管理コンソールの全体の設定項目一覧からも現時点では許可・禁止する項目はありませんでした（Set up Claude Code for your organization - Claude Code Docs）。
発行されたトークンはinferenceしかできない
発行自体を止められないなら、発行されたトークンで何ができるかを実機で確認しました。
実際にトークンを発行してみます。
claude setup-token
ブラウザが開き、認証を通すとトークンが表示されます。発行されたトークンはCLAUDE_CODE_OAUTH_TOKENという環境変数に設定して使います（Authentication - Claude Code Docs）。
export CLAUDE_CODE_OAUTH_TOKEN="<発行されたトークン>"
この状態でclaude -pを実行してみます。
claude -p "動作確認です"
動作確認、問題なく応答できています。何か具体的に試したいこと（記事執筆、コード確認など)があれば教えてください。
モデルリクエストは問題なく通ります。
発行時にブラウザへ渡されるOAuth認可URLを見ると、scope=user%3Ainferenceというパラメータが含まれていました。要求されるスコープがuser:inferenceのみであることを、URLから直接確認できます。
公式ドキュメントも、スコープの文字列こそ明記していませんが、機能面について説明がありました。
モデルリクエストの実行に限定され、Remote Controlセッションの確立やclaude.aiのコネクタ情報取得等はできない、という記載です（Authentication - Claude Code Docs）。
claude auth statusを実行すると、トークンを設定した環境ではプロフィール情報を取得できず表示されませんでした。
{
"loggedIn": true,
"authMethod": "claude.ai",
"apiProvider": "firstParty",
"email": "hoge@example.com",
"orgId": "hogehoge",
"orgName": "hoge",
"subscriptionType": "enterprise"
}
{
"loggedIn": true,
"authMethod": "oauth_token",
"apiProvider": "firstParty"
}
トークン利用時は、claude.aiのコネクタ情報もドキュメント通り取得できませんでした。
流出時に何ができて何ができないか
スコープがuser:inferenceだけと分かったので、トークンが流出した場合の被害範囲を考えてみます。
トークン単体が流出しても、ユーザーのプロフィール情報が直接取得されるわけではありません。
会話履歴についても同様です。Claude Codeの通常セッションはデフォルトでローカルのみに保存され、Anthropicのサーバーには同期されません。
同期される経路はRemote Controlだけですが、setup-tokenにはこれを確立するためのuser:sessions:claude_codeスコープがありません。
流出したトークンで、別端末から過去の会話履歴を遠隔取得することもできないと考えられます（Manage sessions、Remote Control）。
一方で、流出したトークンを使って第三者がそのユーザーの契約に紐づくモデルリクエストを実行することは可能です。不正利用や利用枠消費のリスクは残ります。
おわりに
setup-tokenのスコープはuser:inferenceのみで、流出してもモデルリクエストの不正利用に被害が限られることが分かりました。
発行自体を制限する管理設定は無い点に注意して利用したいと思います。
