Configurer l'API de conformité

L'API de conformité utilise deux types de clés, et celle que vous créez dépend du produit Claude utilisé par votre organisation. Les propriétaires principaux et les propriétaires d'organisation créent des clés d'accès de conformité dans claude.ai ; ces clés déverrouillent l'intégralité de l'API de conformité. La clé d'un propriétaire principal peut couvrir chaque organisation sous l'organisation parente ; la clé d'un propriétaire d'organisation couvre uniquement sa propre organisation. Les administrateurs d'organisation créent des clés Admin API dans Claude Console ; ces clés déverrouillent uniquement le flux d'activité.



De quelle clé avez-vous besoin ?

Un locataire Claude Enterprise possède une organisation parente qui centralise l'identité, le SSO et le SCIM pour chaque organisation de charge de travail en dessous d'elle. Ces organisations de charge de travail sont les organisations liées du parent.



Configurer l'API de conformité

La configuration se fait en un seul flux : activez l'API de conformité pour votre organisation, puis créez une clé d'accès de conformité dans claude.ai. Une organisation Claude Console crée plutôt une clé Admin API après l'activation ; les clés Admin API n'atteignent que le flux d'activité.



Créer une clé Admin API

Suivez les étapes de Créer une clé Admin API, puis définissez la clé comme variable d'environnement :

export ANTHROPIC_ADMIN_KEY=sk-ant-admin01-...

Le nom de variable distinct empêche la clé Admin API d'écraser une clé d'accès de conformité si vous provisionnez les deux. Les exemples cURL de ce guide lisent la clé depuis $ANTHROPIC_COMPLIANCE_ACCESS_KEY ; remplacez-la par $ANTHROPIC_ADMIN_KEY lorsque vous appelez le flux d'activité avec une clé Admin API.

Les clés Admin API ne portent la portée read:compliance_activities que si l'API de conformité a été activée pour l'organisation avant la création de la clé ; voir Configurer l'API de conformité. Elles ne peuvent recevoir aucune autre portée de l'API de conformité, de sorte que les appels à tout point de terminaison autre que le flux d'activité renvoient 403 Forbidden.

Pour le rôle de cette même clé dans la gestion de votre organisation Claude Console, consultez Admin API.



Vérifier les portées de votre clé

Pour inspecter les portées d'une clé que vous possédez déjà, utilisez l'un des signaux suivants.

• Préfixe de la clé. sk-ant-admin01- est une clé Admin API (elle porte uniquement read:compliance_activities, sous réserve du moment d'activation décrit dans la section précédente). sk-ant-api01- est une clé d'accès de conformité ; ses portées sont le sous-ensemble que vous avez sélectionné lors de la création.
• Interface des paramètres. Ouvrez la section Keys dans claude.ai > Paramètres de l'organisation > API, ou la section Admin keys dans Claude Console > Settings > Admin keys, et lisez la colonne Scopes pour la clé.
• Réponses d'erreur. Un appel qui dépasse les portées de la clé renvoie un 403 avec un message au format Missing required scopes. Got: [<scopes the key carries>] Needed: [<scopes the endpoint requires>]. Consultez Gérer les erreurs de l'API de conformité pour le catalogue complet des erreurs.

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['read:compliance_activities'] Needed: ['read:compliance_user_data']"
  }
}



Gérer et faire pivoter les clés

Supprimez une clé d'accès de conformité depuis le même tableau Keys où vous l'avez créée : accédez à claude.ai > Paramètres de l'organisation > API. Supprimez une clé Admin API depuis Claude Console > Settings > Admin keys.

La suppression d'une clé prend effet à la requête suivante : il n'y a pas de période de grâce. Les clés d'accès de conformité n'expirent pas d'elles-mêmes.

Pour faire pivoter une clé sans interruption :

1. Créez une nouvelle clé avec les mêmes portées.
2. Mettez à jour votre intégration pour utiliser la nouvelle clé.
3. Vérifiez que l'intégration réussit avec la nouvelle clé.
4. Supprimez l'ancienne clé.

Les curseurs de pagination stockés avant une rotation restent valides : les curseurs sont délimités à l'organisation, pas à la clé.

Si une clé d'accès de conformité fuit, supprimez-la immédiatement, auditez le flux d'activité à la recherche d'activités compliance_api_accessed effectuées par la clé compromise, et faites pivoter tous les identifiants en aval que la clé divulguée pouvait atteindre. Passez activity_types[]=compliance_api_accessed pour délimiter la requête, puis dans votre client, conservez les activités dont le actor.type est api_actor et dont le actor.api_key_id correspond à la clé compromise ; consultez Comprendre l'objet Activity pour le schéma de l'acteur.



Prochaines étapes