Die Compliance API einrichten

Die Compliance API verwendet zwei Key-Typen, und welchen du erstellst, hängt davon ab, welches Claude-Produkt deine Organisation verwendet. Primary Owner und Organization Owner erstellen Compliance Access Keys in claude.ai; diese Keys schalten die vollständige Compliance API frei. Der Key eines Primary Owners kann jede Organisation unter der übergeordneten Organisation abdecken; der Key eines Organization Owners deckt nur dessen eigene Organisation ab. Organisationsadministratoren erstellen Admin API keys in der Claude Console; diese Keys schalten nur den Activity Feed frei.



Welchen Key benötigst du?

Ein Claude Enterprise-Tenant hat eine übergeordnete Organisation (parent organization), die Identität, SSO und SCIM für jede darunterliegende Workload-Organisation zentralisiert. Diese Workload-Organisationen sind die verknüpften Organisationen (linked organizations) der übergeordneten Organisation.



Die Compliance API einrichten

Die Einrichtung ist ein einziger Ablauf: Aktiviere die Compliance API für deine Organisation und erstelle dann einen Compliance Access Key in claude.ai. Eine Claude Console-Organisation erstellt stattdessen einen Admin API key nach der Aktivierung; Admin API keys erreichen nur den Activity Feed.



Einen Admin API key erstellen

Folge den Schritten in Einen Admin API key erstellen und setze den Key dann als Umgebungsvariable:

export ANTHROPIC_ADMIN_KEY=sk-ant-admin01-...

Der eindeutige Variablenname verhindert, dass der Admin API key einen Compliance Access Key überschreibt, wenn du beide bereitstellst. Die cURL-Beispiele in diesem Leitfaden lesen den Key aus $ANTHROPIC_COMPLIANCE_ACCESS_KEY; ersetze ihn durch $ANTHROPIC_ADMIN_KEY, wenn du den Activity Feed mit einem Admin API key aufrufst.

Admin API keys tragen den Scope read:compliance_activities nur dann, wenn die Compliance API für die Organisation aktiviert wurde, bevor der Key erstellt wurde; siehe Die Compliance API einrichten. Ihnen kann kein anderer Compliance API-Scope gewährt werden, daher geben Aufrufe an jeden anderen Endpunkt als den Activity Feed 403 Forbidden zurück.

Informationen zur Rolle desselben Keys bei der Verwaltung deiner Claude Console-Organisation findest du unter Admin API.



Überprüfe die Scopes deines Keys

Um die Scopes eines Keys zu überprüfen, den du bereits hast, verwende eines der folgenden Signale.

• Key-Präfix. sk-ant-admin01- ist ein Admin API key (trägt nur read:compliance_activities, vorbehaltlich des Aktivierungszeitpunkts im vorherigen Abschnitt). sk-ant-api01- ist ein Compliance Access Key; seine Scopes sind die Teilmenge, die du bei der Erstellung ausgewählt hast.
• Einstellungs-UI. Öffne den Abschnitt Keys in claude.ai > Organisationseinstellungen > API oder den Abschnitt Admin keys in Claude Console > Einstellungen > Admin keys und lies die Spalte Scopes für den Key.
• Fehlerantworten. Ein Aufruf, der die Scopes des Keys überschreitet, gibt einen 403 mit einer Nachricht im Format Missing required scopes. Got: [<scopes the key carries>] Needed: [<scopes the endpoint requires>] zurück. Siehe Compliance API-Fehler behandeln für den vollständigen Fehlerkatalog.

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['read:compliance_activities'] Needed: ['read:compliance_user_data']"
  }
}



Keys verwalten und rotieren

Lösche einen Compliance Access Key aus derselben Keys-Tabelle, in der du ihn erstellt hast: Gehe zu claude.ai > Organisationseinstellungen > API. Lösche einen Admin API key unter Claude Console > Einstellungen > Admin keys.

Das Löschen eines Keys wird mit der nächsten Anfrage wirksam: Es gibt keine Übergangsfrist. Compliance Access Keys laufen nicht von selbst ab.

So rotierst du einen Key ohne Ausfall:

1. Erstelle einen neuen Key mit denselben Scopes.
2. Aktualisiere deine Integration, sodass sie den neuen Key verwendet.
3. Überprüfe, ob die Integration mit dem neuen Key erfolgreich ist.
4. Lösche den alten Key.

Paginierungs-Cursor, die vor einer Rotation gespeichert wurden, bleiben gültig: Cursor sind an die Organisation gebunden, nicht an den Key.

Wenn ein Compliance Access Key geleakt wird, lösche ihn sofort, prüfe den Activity Feed auf compliance_api_accessed-Aktivitäten durch den kompromittierten Key und rotiere alle nachgelagerten Zugangsdaten, die der geleakte Key erreichen konnte. Übergib activity_types[]=compliance_api_accessed, um die Abfrage einzugrenzen, und behalte dann in deinem Client die Aktivitäten, deren actor.type api_actor ist und deren actor.api_key_id mit dem kompromittierten Key übereinstimmt; siehe Das Activity-Objekt verstehen für das Actor-Schema.



Nächste Schritte