Configura la Compliance API

La Compliance API utilizza due tipi di chiavi, e quale creare dipende da quale prodotto Claude utilizza la tua organizzazione. I proprietari principali e i proprietari dell'organizzazione creano le Compliance Access Key in claude.ai; queste chiavi sbloccano l'intera Compliance API. La chiave di un proprietario principale può coprire ogni organizzazione sotto l'organizzazione padre; la chiave di un proprietario dell'organizzazione copre solo la propria organizzazione. Gli amministratori dell'organizzazione creano le chiavi Admin API in Claude Console; queste chiavi sbloccano solo l'Activity Feed.



Quale chiave ti serve?

Un tenant Claude Enterprise ha una organizzazione padre che centralizza identità, SSO e SCIM per ogni organizzazione di lavoro sottostante. Queste organizzazioni di lavoro sono le organizzazioni collegate del padre.



Configura la Compliance API

La configurazione è un unico flusso: abilita la Compliance API per la tua organizzazione, poi crea una Compliance Access Key in claude.ai. Un'organizzazione Claude Console invece crea una chiave Admin API dopo l'abilitazione; le chiavi Admin API raggiungono solo l'Activity Feed.



Crea una chiave Admin API

Segui i passaggi in Crea una chiave Admin API, poi imposta la chiave come variabile d'ambiente:

export ANTHROPIC_ADMIN_KEY=sk-ant-admin01-...

Il nome di variabile distinto evita che la chiave Admin API sovrascriva una Compliance Access Key se le provisioni entrambe. Gli esempi cURL di questa guida leggono la chiave da $ANTHROPIC_COMPLIANCE_ACCESS_KEY; sostituisci $ANTHROPIC_ADMIN_KEY quando chiami l'Activity Feed con una chiave Admin API.

Le chiavi Admin API portano l'ambito read:compliance_activities solo quando la Compliance API è stata abilitata per l'organizzazione prima della creazione della chiave; vedi Configura la Compliance API. Non possono ricevere nessun altro ambito della Compliance API, quindi le chiamate a qualsiasi endpoint diverso dall'Activity Feed restituiscono 403 Forbidden.

Per il ruolo della stessa chiave nella gestione della tua organizzazione Claude Console, vedi Admin API.



Verifica gli ambiti della tua chiave

Per ispezionare gli ambiti di una chiave che possiedi già, usa uno dei seguenti segnali.

• Prefisso della chiave. sk-ant-admin01- è una chiave Admin API (porta solo read:compliance_activities, soggetta alla tempistica di abilitazione della sezione precedente). sk-ant-api01- è una Compliance Access Key; i suoi ambiti sono il sottoinsieme che hai selezionato alla creazione.
• Interfaccia delle impostazioni. Apri la sezione Keys in claude.ai > Impostazioni organizzazione > API, o la sezione Admin keys in Claude Console > Settings > Admin keys, e leggi la colonna Scopes per la chiave.
• Risposte di errore. Una chiamata che supera gli ambiti della chiave restituisce un 403 con un messaggio nel formato Missing required scopes. Got: [<scopes the key carries>] Needed: [<scopes the endpoint requires>]. Vedi Gestisci gli errori della Compliance API per il catalogo completo degli errori.

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['read:compliance_activities'] Needed: ['read:compliance_user_data']"
  }
}



Gestisci e ruota le chiavi

Elimina una Compliance Access Key dalla stessa tabella Keys in cui l'hai creata: vai su claude.ai > Impostazioni organizzazione > API. Elimina una chiave Admin API da Claude Console > Settings > Admin keys.

L'eliminazione di una chiave ha effetto alla richiesta successiva: non c'è alcun periodo di tolleranza. Le Compliance Access Key non scadono da sole.

Per ruotare una chiave senza interruzioni:

1. Crea una nuova chiave con gli stessi ambiti.
2. Aggiorna la tua integrazione per usare la nuova chiave.
3. Verifica che l'integrazione funzioni con la nuova chiave.
4. Elimina la vecchia chiave.

I cursori di paginazione memorizzati prima di una rotazione rimangono validi: i cursori sono legati all'organizzazione, non alla chiave.

Se una Compliance Access Key trapela, eliminala immediatamente, controlla l'Activity Feed per le attività compliance_api_accessed della chiave compromessa e ruota tutte le credenziali a valle che la chiave trapelata poteva raggiungere. Passa activity_types[]=compliance_api_accessed per delimitare la query, poi nel tuo client conserva le attività il cui actor.type è api_actor e il cui actor.api_key_id corrisponde alla chiave compromessa; vedi Comprendere l'oggetto Activity per lo schema dell'actor.



Prossimi passi