Menyiapkan Compliance API

Compliance API menggunakan dua jenis kunci, dan kunci mana yang Anda buat bergantung pada produk Claude yang digunakan organisasi Anda. Pemilik utama dan pemilik organisasi membuat Compliance Access Key di claude.ai; kunci ini membuka akses ke seluruh Compliance API. Kunci milik pemilik utama dapat mencakup setiap organisasi di bawah organisasi induk; kunci milik pemilik organisasi hanya mencakup organisasinya sendiri. Admin organisasi membuat kunci Admin API di Claude Console; kunci ini hanya membuka akses ke Activity Feed.

Kunci mana yang Anda perlukan?

Tenant Claude Enterprise memiliki satu organisasi induk ("parent organization") yang memusatkan identitas, SSO, dan SCIM untuk setiap organisasi beban kerja di bawahnya. Organisasi beban kerja ini adalah organisasi tertaut ("linked organizations") milik induk tersebut.

Menyiapkan Compliance API

Penyiapan terdiri dari satu alur: aktifkan Compliance API untuk organisasi Anda, lalu buat Compliance Access Key di claude.ai. Organisasi Claude Console sebaliknya membuat kunci Admin API setelah pengaktifan; kunci Admin API hanya dapat menjangkau Activity Feed.

1. 1

   Aktifkan Compliance API

   Tempat Anda mengaktifkan Compliance API bergantung pada cara organisasi Anda disiapkan:

   • Organisasi Claude Enterprise: Pemilik utama mengaktifkan Compliance API di claude.ai > Organization settings > API. Pengaktifan terjadi di tingkat organisasi induk dan diteruskan ke setiap organisasi tertaut, baik claude.ai maupun Claude Console.
   • Organisasi Claude Console mandiri: Admin organisasi mengaktifkan toggle Compliance API di Claude Console > Settings > Security. Pengaktifan bersifat swalayan untuk organisasi yang memenuhi syarat, dan perubahan berlaku segera. Jika bagian Compliance API tidak terlihat, berarti Anda tidak memiliki peran admin, organisasi Anda tertaut ke organisasi induk (Compliance API diaktifkan dari organisasi induk sebagai gantinya), atau organisasi Anda tidak memenuhi syarat untuk pengaktifan swalayan; hubungi tim akun Anda atau dukungan Anthropic jika Anda tidak yakin mana yang berlaku.
   • Organisasi Claude Console yang tertaut ke organisasi induk: Tidak ada yang perlu diaktifkan di Claude Console. Minta pemilik utama organisasi induk Anda untuk mengaktifkan Compliance API di claude.ai, atau hubungi tim akun Anda.

   Organisasi Claude Console mandiri menggunakan kunci Admin API, bukan Compliance Access Key: setelah pengaktifan, lewati langkah-langkah selanjutnya dan buat kunci Admin API baru sebagai gantinya. Langkah-langkah selanjutnya menyediakan Compliance Access Key, yang hanya tersedia bagi organisasi yang merupakan bagian dari tenant Claude Enterprise.

2. 2

   Tentukan cakupan kunci

   Akses sebuah kunci ditetapkan saat kunci dibuat. Tentukan organisasi mana yang dicakup kunci tersebut:

   • Kunci untuk organisasi induk dapat mengakses setiap organisasi di bawah organisasi induk.
   • Kunci untuk satu organisasi hanya dapat mengakses organisasi tersebut.
3. 3

   Masuk dengan peran yang sesuai

   Masuk ke claude.ai. Pemilik utama organisasi induk dapat membuat kunci dengan cakupan mana pun. Pemilik organisasi hanya dapat membuat kunci yang dibatasi pada organisasinya sendiri.

   Jika halaman API yang dijelaskan pada langkah berikutnya tidak terlihat, atau scope kepatuhan tidak tersedia saat membuat kunci, berarti peran Anda tidak dapat membuat Compliance Access Key, atau Compliance API belum diaktifkan untuk organisasi Anda (kembali ke langkah pertama).

4. 4

   Buka pengaturan API

   Buka claude.ai > Organization settings > API dan temukan bagian Keys.

5. 5

   Buat kunci

   Klik Create key, beri nama kunci, dan pilih satu atau beberapa scope dari tabel berikut. Klik Create.

   Scope	Memberikan
   read:compliance_activities	Membaca Activity Feed. Kunci yang mencakup organisasi induk membaca peristiwa untuk organisasi induk dan semua organisasi tertaut.
   read:compliance_user_data	Membaca chat, pesan, file, proyek, metadata dan transkrip sesi pengguna, pengguna organisasi, dan anggota grup
   delete:compliance_user_data	Menghapus chat, file, dan proyek pengguna
   read:compliance_org_data	Membaca metadata organisasi (nama, jenis, peran, dan grup) serta pengaturan efektif yang berlaku untuk organisasi di bawah organisasi induk. Daftar pengguna dan keanggotaan grup memerlukan read:compliance_user_data.

   Pilih kumpulan scope terkecil yang dibutuhkan integrasi Anda:

   • Pipeline audit yang hanya membaca Activity Feed hanya memerlukan read:compliance_activities.
   • Alat eDiscovery yang membaca chat dan file tetapi tidak pernah menghapusnya tidak memerlukan delete:compliance_user_data.
   • Jika alur kerja Anda membaca sekaligus menghapus, gunakan dua kunci dengan scope terpisah sehingga kunci baca yang bocor tidak dapat menghapus data.

   Scope Compliance Access Key tidak dapat diubah setelah dibuat. Untuk mengubah scope, buat kunci baru dengan scope yang Anda inginkan, lalu hapus kunci lama.

6. 6

   Salin dan simpan secret

   Salin secret key yang ditampilkan (diawali dengan sk-ant-api01-) dan simpan di secrets manager Anda. Secret lengkap hanya ditampilkan satu kali.

7. 7

   Ekspor kunci untuk contoh dalam panduan ini

   Tetapkan kunci sebagai variabel lingkungan agar contoh shell dalam panduan ini dapat membacanya:

   export ANTHROPIC_COMPLIANCE_ACCESS_KEY=sk-ant-api01-...

   

Membuat kunci Admin API

Ikuti langkah-langkah di Membuat kunci Admin API, lalu tetapkan kunci sebagai variabel lingkungan:

export ANTHROPIC_ADMIN_KEY=sk-ant-admin01-...

Nama variabel yang berbeda mencegah kunci Admin API menimpa Compliance Access Key jika Anda menyediakan keduanya. Contoh cURL dalam panduan ini membaca kunci dari $ANTHROPIC_COMPLIANCE_ACCESS_KEY; ganti dengan $ANTHROPIC_ADMIN_KEY saat memanggil Activity Feed dengan kunci Admin API.

Kunci Admin API membawa scope read:compliance_activities hanya jika Compliance API telah diaktifkan untuk organisasi pada saat kunci dibuat; lihat Menyiapkan Compliance API. Kunci ini tidak dapat diberi scope Compliance API lainnya, sehingga panggilan ke endpoint apa pun selain Activity Feed mengembalikan 403 Forbidden.

Untuk peran kunci yang sama dalam mengelola organisasi Claude Console Anda, lihat Admin API.

Memeriksa scope kunci Anda

Untuk memeriksa scope pada kunci yang sudah Anda miliki, gunakan salah satu sinyal berikut.

• Prefiks kunci. sk-ant-admin01- adalah kunci Admin API (hanya membawa read:compliance_activities, bergantung pada waktu pengaktifan yang dijelaskan di bagian sebelumnya). sk-ant-api01- adalah Compliance Access Key; scope-nya adalah subset yang Anda pilih saat pembuatan.
• UI pengaturan. Buka bagian Keys di claude.ai > Organization settings > API, atau bagian Admin keys di Claude Console > Settings > Admin keys, dan baca kolom Scopes untuk kunci tersebut.
• Respons error. Panggilan yang melampaui scope kunci mengembalikan 403 dengan pesan dalam format Missing required scopes. Got: [<scopes the key carries>] Needed: [<scopes the endpoint requires>]. Lihat Menangani error Compliance API untuk katalog error lengkap.

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['read:compliance_activities'] Needed: ['read:compliance_user_data']"
  }
}

Mengelola dan merotasi kunci

Hapus Compliance Access Key dari tabel Keys yang sama tempat Anda membuatnya: buka claude.ai > Organization settings > API. Hapus kunci Admin API dari Claude Console > Settings > Admin keys.

Penghapusan kunci berlaku pada permintaan berikutnya: tidak ada masa tenggang. Compliance Access Key tidak kedaluwarsa dengan sendirinya.

Untuk merotasi kunci tanpa gangguan layanan:

1. Buat kunci baru dengan scope yang sama.
2. Perbarui integrasi Anda untuk menggunakan kunci baru.
3. Verifikasi bahwa integrasi berhasil dengan kunci baru.
4. Hapus kunci lama.

Kursor paginasi yang disimpan sebelum rotasi tetap valid: kursor dicakup ke organisasi, bukan ke kunci.

Jika Compliance Access Key bocor, segera hapus, audit Activity Feed untuk aktivitas compliance_api_accessed oleh kunci yang disusupi, dan rotasi kredensial hilir apa pun yang dapat dijangkau oleh kunci yang bocor tersebut. Teruskan activity_types[]=compliance_api_accessed untuk membatasi cakupan kueri, lalu di klien Anda, pertahankan aktivitas yang actor.type-nya adalah api_actor dan actor.api_key_id-nya cocok dengan kunci yang disusupi; lihat Memahami objek Activity untuk skema actor.

Langkah selanjutnya