Zugriff auf die Compliance API erhalten

Die Compliance API verwendet zwei Key-Typen, und welchen du erstellst, hängt davon ab, welches Claude-Produkt deine Organisation nutzt. Primary Owner erstellen Compliance Access Keys in claude.ai; diese Keys schalten die vollständige Compliance API frei. Organisationsadministratoren erstellen Admin API-Keys in Claude Console; diese Keys schalten nur den Activity Feed frei.

Welchen Key brauchst du?

Ein Claude Enterprise-Tenant hat eine übergeordnete Organisation (Parent Organization), die Identität, SSO und SCIM für jede darunter liegende Workload-Organisation zentralisiert. Diese Workload-Organisationen sind die verknüpften Organisationen (Linked Organizations) der übergeordneten Organisation.

Compliance API-Zugriff anfordern

Kontaktiere deinen Anthropic-Ansprechpartner, um Zugriff anzufordern. Die Aktivierung erfolgt auf Ebene der übergeordneten Organisation und wirkt sich auf jede verknüpfte Organisation aus, sowohl claude.ai als auch Claude Console. Was sich nach der Aktivierung ändert, hängt davon ab, welches Claude-Produkt deine Organisation nutzt.

Nach der Aktivierung: claude.ai-Organisationen

Nachdem Anthropic die Compliance API für deine übergeordnete Organisation aktiviert hat, kann der Primary Owner Compliance Access Keys erstellen – im Abschnitt Keys unter claude.ai > Organization settings > API.

Nach der Aktivierung: Claude Console-Organisationen

Nachdem Anthropic die Compliance API für deine übergeordnete Organisation aktiviert hat, tragen von da an erstellte Admin API-Keys den Scope read:compliance_activities. Admin API-Keys, die vor der Aktivierung erstellt wurden, funktionieren weiterhin mit der Admin API, aber ein Aufruf des Activity Feeds mit einem solchen Key gibt 403 Forbidden zurück; erstelle einen neuen Admin API-Key, um den Scope zu erhalten.

Einen Compliance Access Key erstellen

Einen Admin API-Key erstellen

Admin API-Keys tragen den Scope read:compliance_activities nur dann, wenn die Compliance API für die Organisation aktiviert wurde, bevor der Key erstellt wurde; siehe Nach der Aktivierung: Claude Console-Organisationen. Ihnen kann kein anderer Compliance API-Scope gewährt werden, daher geben Aufrufe an jeden anderen Endpunkt als den Activity Feed 403 Forbidden zurück.

Zur Rolle desselben Keys bei der Verwaltung deiner Claude Console-Organisation siehe Admin API.

Die Scopes deines Keys überprüfen

Um die Scopes eines Keys zu überprüfen, den du bereits hast, nutze eines der folgenden Signale.

• Key-Präfix. sk-ant-admin01- ist ein Admin API-Key (trägt nur read:compliance_activities, abhängig vom Aktivierungszeitpunkt im vorherigen Abschnitt). sk-ant-api01- ist ein Compliance Access Key; seine Scopes sind die Teilmenge, die du bei der Erstellung ausgewählt hast.
• Einstellungs-UI. Öffne den Abschnitt Keys unter claude.ai > Organization settings > API oder den Abschnitt Admin keys unter Claude Console > Settings > Admin keys und lies die Spalte Scopes für den Key.
• Fehlerantworten. Ein Aufruf, der die Scopes des Keys überschreitet, gibt einen 403 mit einer Nachricht im Format Missing required scopes. Got: [<scopes the key carries>] Needed: [<scopes the endpoint requires>] zurück. Siehe Compliance API-Fehler behandeln für den vollständigen Fehlerkatalog.

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['read:compliance_activities'] Needed: ['read:compliance_user_data']"
  }
}

Keys verwalten und rotieren

Lösche einen Compliance Access Key in derselben Keys-Tabelle, in der du ihn erstellt hast: Gehe zu claude.ai > Organization settings > API. Lösche einen Admin API-Key unter Claude Console > Settings > Admin keys.

Das Löschen eines Keys wird bei der nächsten Anfrage wirksam: Es gibt keine Übergangsfrist. Compliance Access Keys laufen nicht von selbst ab.

So rotierst du einen Key ohne Ausfall:

1. Erstelle einen neuen Key mit denselben Scopes.
2. Aktualisiere deine Integration, um den neuen Key zu verwenden.
3. Überprüfe, ob die Integration mit dem neuen Key erfolgreich ist.
4. Lösche den alten Key.

Paginierungs-Cursor, die vor einer Rotation gespeichert wurden, bleiben gültig: Cursor sind an die Organisation gebunden, nicht an den Key.

Wenn ein Compliance Access Key geleakt wird, lösche ihn sofort, prüfe den Activity Feed auf compliance_api_accessed-Aktivitäten durch den kompromittierten Key und rotiere alle nachgelagerten Zugangsdaten, auf die der geleakte Key zugreifen konnte. Übergib activity_types[]=compliance_api_accessed, um die Abfrage einzugrenzen, und behalte dann in deinem Client die Aktivitäten, deren actor.type gleich api_actor ist und deren actor.api_key_id mit dem kompromittierten Key übereinstimmt; siehe Das Activity-Objekt verstehen für das Actor-Schema.

Nächste Schritte