Compliance APIをセットアップする

Compliance APIは2種類のキーを使用します。どちらを作成するかは、組織が使用しているClaude製品によって決まります。プライマリオーナーと組織オーナーはclaude.aiでCompliance Access Keyを作成します。これらのキーはCompliance API全体を利用可能にします。プライマリオーナーのキーは親組織配下のすべての組織をカバーできます。組織オーナーのキーは自身の組織のみをカバーします。組織管理者はClaude ConsoleでAdmin APIキーを作成します。これらのキーはActivity Feedのみを利用可能にします。

どのキーが必要ですか？

Claude Enterpriseテナントには1つの親組織（parent organization）があり、その配下にあるすべてのワークロード組織のID、SSO、SCIMを一元管理します。これらのワークロード組織は、親組織のリンクされた組織（linked organizations）です。

Compliance APIをセットアップする

セットアップは1つのフローです。組織でCompliance APIを有効化し、次にclaude.aiでCompliance Access Keyを作成します。Claude Console組織の場合は、有効化後に代わりにAdmin APIキーを作成します。Admin APIキーはActivity Feedにのみアクセスできます。

1. 1

   Compliance APIを有効化する

   Compliance APIをどこで有効化するかは、組織のセットアップ方法によって異なります。

   • Claude Enterprise組織： プライマリオーナーがclaude.ai > Organization settings > APIでCompliance APIを有効化します。有効化は親組織レベルで行われ、claude.aiとClaude Consoleの両方のすべてのリンクされた組織に適用されます。
   • スタンドアロンのClaude Console組織： 組織管理者がClaude Console > Settings > SecurityでCompliance APIトグルをオンにします。対象となる組織では有効化はセルフサービスで行え、変更は即座に反映されます。Compliance APIセクションが表示されない場合は、管理者ロールを持っていないか、組織が親組織にリンクされている（その場合、Compliance APIは親組織から有効化されます）か、組織がセルフサービスでの有効化の対象ではないかのいずれかです。どれに該当するか不明な場合は、アカウントチームまたはAnthropicサポートにお問い合わせください。
   • 親組織にリンクされたClaude Console組織： Claude Consoleでオンにするものはありません。親組織のプライマリオーナーにclaude.aiでCompliance APIを有効化するよう依頼するか、アカウントチームにお問い合わせください。

   スタンドアロンのClaude Console組織は、Compliance Access KeyではなくAdmin APIキーを使用します。有効化後は残りの手順をスキップし、代わりに新しいAdmin APIキーを作成してください。残りの手順はCompliance Access Keyをプロビジョニングするものであり、これはClaude Enterpriseテナントに属する組織のみが利用できます。

2. 2

   キーのスコープを決定する

   キーのアクセス範囲は作成時に設定されます。キーがどの組織をカバーするかを決定してください。

   • 親組織用のキーは、親組織配下のすべての組織にアクセスできます。
   • 単一の組織用のキーは、その組織にのみアクセスできます。
3. 3

   対応するロールでサインインする

   claude.aiにサインインします。親組織のプライマリオーナーは、どちらのスコープのキーも作成できます。組織オーナーは、自身の組織に限定されたキーのみを作成できます。

   次の手順で説明するAPIページが表示されない場合、またはキー作成時にコンプライアンススコープが利用できない場合は、ロールがCompliance Access Keyを作成できないか、組織でCompliance APIがまだ有効化されていないかのいずれかです（最初の手順に戻ってください）。

4. 4

   API設定を開く

   claude.ai > Organization settings > APIに移動し、Keysセクションを見つけます。

5. 5

   キーを作成する

   Create keyをクリックし、キーに名前を付け、次の表から1つ以上のスコープを選択します。Createをクリックします。

   スコープ	付与される権限
   read:compliance_activities	Activity Feedの読み取り。親組織をカバーするキーは、親組織およびすべてのリンクされた組織のイベントを読み取ります。
   read:compliance_user_data	ユーザーのチャット、メッセージ、ファイル、プロジェクト、セッションのメタデータとトランスクリプト、組織のユーザー、グループメンバーの読み取り
   delete:compliance_user_data	ユーザーのチャット、ファイル、プロジェクトの削除
   read:compliance_org_data	組織メタデータ（名前、種類、ロール、グループ）および親組織配下の組織に適用されている有効な設定の読み取り。ユーザー一覧とグループメンバーシップにはread:compliance_user_dataが必要です。

   インテグレーションに必要な最小限のスコープセットを選択してください。

   • Activity Feedのみを読み取る監査パイプラインには、read:compliance_activitiesのみが必要です。
   • チャットやファイルを読み取るが削除はしないeDiscoveryツールには、delete:compliance_user_dataは不要です。
   • ワークフローで読み取りと削除の両方を行う場合は、スコープを分けた2つのキーを使用してください。これにより、読み取りキーが漏洩してもデータを削除できなくなります。

   Compliance Access Keyのスコープは作成後に変更できません。スコープを変更するには、必要なスコープを持つ新しいキーを作成してから、古いキーを削除してください。

6. 6

   シークレットをコピーして保管する

   表示されたシークレットキー（sk-ant-api01-で始まる）をコピーし、シークレットマネージャーに保管します。完全なシークレットは一度しか表示されません。

7. 7

   このガイドの例のためにキーをエクスポートする

   このガイドのシェルサンプルがキーを読み取れるように、キーを環境変数として設定します。

   export ANTHROPIC_COMPLIANCE_ACCESS_KEY=sk-ant-api01-...

   

Admin APIキーを作成する

Admin APIキーを作成するの手順に従い、キーを環境変数として設定します。

export ANTHROPIC_ADMIN_KEY=sk-ant-admin01-...

変数名を別にすることで、両方をプロビジョニングした場合にAdmin APIキーがCompliance Access Keyを上書きするのを防ぎます。このガイドのcURLの例は$ANTHROPIC_COMPLIANCE_ACCESS_KEYからキーを読み取ります。Admin APIキーでActivity Feedを呼び出す場合は、$ANTHROPIC_ADMIN_KEYに置き換えてください。

Admin APIキーは、キーの作成時点で組織のCompliance APIが有効化されていた場合にのみread:compliance_activitiesスコープを持ちます。Compliance APIをセットアップするを参照してください。他のCompliance APIスコープを付与することはできないため、Activity Feed以外のエンドポイントへの呼び出しは403 Forbiddenを返します。

同じキーがClaude Console組織の管理で果たす役割については、Admin APIを参照してください。

キーのスコープを確認する

すでに持っているキーのスコープを確認するには、次のいずれかの手がかりを使用します。

• キーのプレフィックス。 sk-ant-admin01-はAdmin APIキーです（前のセクションで説明した有効化のタイミングに応じて、read:compliance_activitiesのみを持ちます）。sk-ant-api01-はCompliance Access Keyです。そのスコープは作成時に選択したサブセットです。
• 設定UI。 claude.ai > Organization settings > APIのKeysセクション、またはClaude Console > Settings > Admin keysのAdmin keysセクションを開き、キーのScopes列を確認します。
• エラーレスポンス。 キーのスコープを超える呼び出しは、Missing required scopes. Got: [<scopes the key carries>] Needed: [<scopes the endpoint requires>]という形式のメッセージとともに403を返します。完全なエラーカタログについては、Compliance APIのエラーを処理するを参照してください。

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['read:compliance_activities'] Needed: ['read:compliance_user_data']"
  }
}

キーの管理とローテーション

Compliance Access Keyは、作成したのと同じKeysテーブルから削除します。claude.ai > Organization settings > APIに移動してください。Admin APIキーはClaude Console > Settings > Admin keysから削除します。

キーの削除は次のリクエストから有効になります。猶予期間はありません。Compliance Access Keyは自動的に期限切れになることはありません。

サービス停止なしでキーをローテーションするには：

1. 同じスコープを持つ新しいキーを作成します。
2. 新しいキーを使用するようにインテグレーションを更新します。
3. 新しいキーでインテグレーションが成功することを確認します。
4. 古いキーを削除します。

ローテーション前に保存されたページネーションカーソルは引き続き有効です。カーソルはキーではなく組織にスコープされています。

Compliance Access Keyが漏洩した場合は、直ちに削除し、侵害されたキーによるcompliance_api_accessedアクティビティについてActivity Feedを監査し、漏洩したキーが到達できた下流の認証情報をすべてローテーションしてください。クエリを絞り込むにはactivity_types[]=compliance_api_accessedを渡し、クライアント側でactor.typeがapi_actorであり、actor.api_key_idが侵害されたキーと一致するアクティビティを抽出します。actorのスキーマについては、Activityオブジェクトを理解するを参照してください。

次のステップ