Compliance API FAQ

Claude Enterprise組織の場合、プライマリオーナーがclaude.ai > 組織設定 > APIでCompliance APIを有効化し、有効化は親組織からリンクされたすべての組織へと引き継がれます。対象となるスタンドアロンのClaude Console組織（親組織を持たない組織）の場合、組織管理者がClaude Console > Settings > Securityで有効化します。親組織にリンクされているClaude Console組織は、自身でCompliance APIを有効化することはなく、親組織から有効化されます。手順については、Compliance APIのセットアップを参照してください。

はい。スタンドアロンのClaude Console組織の場合、組織管理者はClaude Console > Settings > Security（オンにしたのと同じ場所）でCompliance APIトグルをオフにできます。Compliance APIがオフの間、組織のアクティビティイベントは記録されないため、Activity Feedは新しいイベントを受け取りません。組織がAccess Transparencyに登録されている場合、Compliance APIをオフにするとAccess Transparencyのイベント配信も停止します。Compliance APIがオフの間に記録されなかったアクティビティは、後から復元できません。Compliance APIを再度オンにすると、その時点から記録が再開されます。すでに記録されたアクティビティは削除されません。

いいえ。Compliance APIをオフにすると新しいアクティビティイベントの記録は停止しますが、オンの間にすでに取得されたイベントは削除されません。記録はCompliance APIが再度オンにされた時点から再開されます。

はい。Claude ConsoleでCompliance APIをオフ（または再度オン）にすると、その変更はActivity Feedにorg_compliance_api_settings_updatedアクティビティとして記録されるため、監査証跡には誰がいつ設定を変更したかが示されます。このアクティビティは記録停止の例外です。Compliance APIがオフの間は他のアクティビティは記録されませんが、無効化自体は記録されます。

これは想定された動作です。Claude Enterpriseの親組織は、リンクされたすべての組織にわたってアイデンティティを一元管理します。ワークロードを持たず、Claude Consoleには一切表示されません。Claude Consoleに表示されるのは、親の下にリンクされたClaude Console組織のみです。

Compliance APIを呼び出すには、代わりに次の2種類のキーのいずれかを作成します。

• Compliance APIへのフルアクセス（Activity Feedに加えて、チャット、ファイル、プロジェクト、セッション、ユーザー、組織メタデータ、組織設定）の場合、 親組織のプライマリオーナー（または、自身の組織のみに制限されたキーの場合は組織オーナー）がclaude.aiでCompliance Access Keyを作成します。
• Activity Feedへのアクセスのみの場合、 Claude Console組織の組織管理者がClaude ConsoleでAdmin APIキーを作成します。組織でCompliance APIがすでに有効化されている必要があり、キーがread:compliance_activitiesスコープを持つためには、管理者はCompliance APIが有効な状態でAdmin APIキーを作成する必要があります。

いいえ。Claude APIキー（sk-ant-api03-...）はClaude API上のClaudeモデルへの呼び出しを認証するものであり、/v1/compliance/*への呼び出しは認証しません。Compliance APIが受け付けるのは、Compliance Access Key（sk-ant-api01-...）とAdmin APIキー（sk-ant-admin01-...）のみです。完全な対応表については、どのキーが必要ですか？を参照してください。

Admin APIキーは固定のread:compliance_activitiesスコープを持ち、これはActivity Feedのみを認可します。その他すべてのCompliance APIエンドポイントには、claude.aiで作成されたCompliance Access Keyのみが持つことのできるスコープが必要です。Admin APIキーでコンテンツまたはディレクトリのエンドポイントを呼び出すと、そのエンドポイントファミリーが必要とするスコープを示す403が返されます。チャット、ファイル、プロジェクト、プロジェクト添付ファイル、セッション、ユーザー、グループメンバーにはread:compliance_user_data、組織、ロール、グループ、有効な組織設定にはread:compliance_org_dataです。たとえば、チャットの一覧取得は次のレスポンスを返します。

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['read:compliance_activities'] Needed: ['read:compliance_user_data']"
  }
}

コンテンツエンドポイントにアクセスするには、親組織のプライマリオーナー（または、自身の組織のみについては組織オーナー）が、read:compliance_user_data（削除の場合はdelete:compliance_user_dataも）、または組織、ロール、グループ、有効設定のエンドポイント用にread:compliance_org_dataを持つCompliance Access Keyを作成する必要があります。スタンドアロンのClaude Console組織（親組織を持たない組織）はCompliance Access Keyを作成できないため、コンテンツエンドポイントは利用できず、Activity Feedのみをクエリできます。エンドポイントごとの完全なカタログについては、Compliance APIエラーの処理を参照してください。

Activity Feedは6年分の組織アクティビティを保持し、新しいイベントは発生から1分以内にクエリ可能になります。フィードが遡れるのは、最大でも組織でCompliance APIが最初に有効化された時点までです。記録は遡及的ではなく、有効化前のアクティビティはバックフィルされません。Activity Feedの保持期間は、組織のコンテンツ保持ポリシーとは独立しています。チャット、ファイル、プロジェクトのコンテンツは、ユーザーがそれより早く削除しない限り、組織に設定された保持ルール（デフォルトでは無期限）に従います。

いいえ。Activity Feedは誰がいつ何をしたか（認証、チャット作成、ファイルアップロード、プロジェクト変更、管理操作、および同様のリソースイベント）を記録しますが、チャットやメッセージ内のプロンプトテキストやモデルの応答は取得しません。

メッセージ本文やファイル内容を取得するには、read:compliance_user_dataを持つCompliance Access Keyでチャット、メッセージ、ファイルのエンドポイントを使用します。同じキーとスコープで、ローカルセッションエンドポイントを通じてユーザーのマシン上のセッション（CoworkやClaude Codeのセッションなど）のトランスクリプトを、リモートセッションエンドポイントを通じてクラウド上のCoworkセッションのトランスクリプトを取得できます。これらのエンドポイントが提供するのはClaude Enterpriseのコンテンツのみです。Claude Consoleのワークロード、およびAPIキーで認証されたClaude APIのワークロードは、Activity Feedを通じて管理イベントとリソースイベントを公開しますが、Compliance APIを通じてプロンプトテキストやモデルの応答を公開することはありません。

はい。ユーザーのマシン上で実行されるClaude DesktopのCoworkセッション、Claude Codeセッション（ターミナル、Claude Desktop、またはIDE拡張機能内）、Claude Scienceデスクトップアプリのセッション、およびExcel、PowerPoint、Word、OutlookでのClaude for Microsoft 365セッションは、ユーザーがClaude Enterpriseアカウントでサインインしている間に取得され、ローカルセッションエンドポイントを通じて利用できます。claude.aiのWebまたはモバイルで開始されたCoworkセッションは、Anthropicが管理する環境のクラウド上で実行され、リモートセッションエンドポイントを通じて利用できます。各ファミリーには、セッションメタデータを返す一覧エンドポイントと、セッショントランスクリプト（ユーザープロンプト、アシスタントの応答、ツール呼び出しとその結果）を返すメッセージエンドポイントがあります。ローカルファミリーには、1つのセッションのメタデータを取得する3つ目のエンドポイントが追加されています。これらのエンドポイントはすべて、read:compliance_user_dataを持つ既存のCompliance Access Keyを使用します。新しいキーやスコープは必要ありません。

ローカルセッションはそのリクエストがClaude APIに到達した時点で取得されるため、デバイスには何もインストールされず、APIに到達しないデバイス上のアクティビティは取得されません。Claude Console APIキーで認証されたClaude Codeセッション、サードパーティのクラウドプラットフォーム（Amazon Bedrock、Google Cloud、またはMicrosoft Foundry）経由で実行されるClaude Codeセッション、およびWeb上のClaude Codeは取得されません。Web上のClaude CodeもAnthropicが管理する環境のクラウド上で実行されますが、リモートセッションではありません。リモートセッションエンドポイントが返すのはCoworkセッションのみです。HIPAA対応が有効な組織はローカルセッションデータを取得できず、ゼロデータ保持（ZDR）が適用されているセッションは除外されます。

ローカルおよびリモートのセッションエンドポイントは、CoworkとClaude Codeのセッションについては安定版です。Claude ScienceとClaude for Microsoft 365のセッションのカバレッジはベータ版です。

ローカルとリモートのセッショントランスクリプトはどちらも、ユーザープロンプト、アシスタントの応答、ツール呼び出しとその結果を含みます。ローカルセッション（ユーザーのマシン上）の場合、それはClaudeが何を依頼され何を返したかであり、デバイス上で何が起きたかではありません。

エンドポイントとパラメータについては、ユーザーのマシン上のセッションおよびクラウド上のセッションを参照してください。

CoworkのOpenTelemetryロギングとClaude Codeのモニタリングはセッションエンドポイントと重複しますが、異なるニーズに応えます。OTELはアクティビティの発生に合わせてイベント単位のテレメトリをお客様が運用するインフラストラクチャにストリーミングするのに対し、Compliance APIは保持されたセッション単位のトランスクリプトを事後にAnthropicから取得できるようにします。OTELもプロンプトと応答を取得できますが、CoworkとClaude Codeのセッション内容の取得にはCompliance APIをAnthropicは推奨します。ローカルセッション、リモートセッション、OTELを比較した表については、セッショントランスクリプトの取得の冒頭を参照してください。

OTELイベントとCompliance APIレコードは組織とユーザーの識別子を共有しているため、結合できます。

いいえ。Compliance APIを通じて実行された削除は即時かつ永続的で、復元できません。ユーザーがclaude.aiで削除したチャットの内容も復元できません。Compliance APIは引き続きそのチャットとメッセージをdeleted_atが設定された状態で返しますが、その内容は返しません。保持する必要のあるコンテンツ（リーガルホールドやアーカイブ用）は、まだ利用可能な間に取得してください。コンテンツを独自のアーカイブにエクスポートするタイミングについては、コンテンツ保持の計画を参照してください。

Compliance APIには既知のカバレッジ境界があります。Activity Feedはリソースイベントを記録しますがプロンプトや応答のテキストは記録せず、APIキーで認証されたClaude ConsoleおよびClaude APIのワークロードはメッセージ内容を一切公開せず、保持ポリシーによって削除されたコンテンツ、ユーザーがclaude.aiで削除したコンテンツ、またはCompliance APIを通じてハード削除されたコンテンツは復元できません。完全なカバレッジ境界と配信契約については、配信保証と完全性を参照してください。

セッショントランスクリプトにも独自の境界があります。ローカルセッションはそのリクエストがClaude APIに到達した時点でのみ取得されるため、APIに到達しないデバイス上のアクティビティは取得されません。Claude Console APIキーで認証されたClaude Codeセッション、サードパーティのクラウドプラットフォーム（Amazon Bedrock、Google Cloud、またはMicrosoft Foundry）経由で実行されるClaude Codeセッション、およびWeb上のClaude Codeも取得されません。HIPAA対応が有効な組織はローカルセッションデータを取得できず、ゼロデータ保持が適用されているセッションは除外されます。ローカルかリモートかを問わず、セッショントランスクリプトには思考ブロックやツール定義は含まれません。顧客管理の暗号化キーを使用する組織は、通常どおりローカルセッショントランスクリプトを受け取ります。キーが使用できない間、メッセージエンドポイントはトランスクリプト内容の代わりに503 Service Unavailableを返し、セッションメタデータは引き続き一覧表示されます。

Activityレコードをactor.user_id、actor.email_address、actor.ip_address、actor.user_agent、created_atでSIEMに結合します。結合キーの表と利用パターンについては、コンプライアンス統合の設計を参照してください。

はい。Claude Enterpriseの親組織は、claude.ai組織とClaude Console組織の混在（たとえば、本番用とステージング用の別々のClaude Console組織）を含め、多数のリンクされた組織を持つことができます。アイデンティティ、SSO、SCIMは親全体で共有され、請求、メンバー、プロジェクト、APIキーは組織ごとに分離されたままです。Compliance APIの有効化は親組織レベルで行われ、リンクされたすべての組織に引き継がれます。また、親組織をカバーしread:compliance_org_dataを持つCompliance Access Keyは、GET /v1/compliance/organizationsを通じて親の下にあるすべての組織を列挙できます。

アクティビティは新しいものから順に返され、created_atが同じ場合はアクティビティIDで順序が決まります。追いつくには、has_moreがfalseになるまでbefore_idでページを順に進めます。その最後のレスポンスのfirst_idが新しいカーソルとなり、現在に到達したことになります。初回のバックフィルやカーソル永続化の安全条件を含む完全なループについては、カーソル駆動の増分読み取りを参照してください。

Activity Feedのみをテストする場合、Claude Enterprise組織は必要ありません。組織管理者が対象となるスタンドアロンのClaude Consoleテスト組織でCompliance APIを有効化し、新しいAdmin APIキーでフィードをクエリできます。その組織のSecurity設定にCompliance APIセクションが表示されない場合、その組織はセルフサービスでの有効化の対象ではありません。

すべてのエンドポイントをテストするには、同じ親の下でClaude Console組織にリンクされたClaude Enterpriseサンドボックス組織をセットアップします。これにより、サンドボックスでActivity Feed（Admin APIキー経由）と、チャット、ファイル、プロジェクト、セッションのエンドポイント（Compliance Access Key経由）の両方を試すことができます。

1. Claude Enterprise組織をプロビジョニングします。 Anthropicの担当者に連絡して、Claude Enterpriseサンドボックス組織をセットアップしてください。既存のClaude Enterprise組織では、プライマリオーナーがclaude.aiで直接Compliance APIを有効化できます。
2. Claude Console組織を作成します。 同じメールアドレスを使用して、platform.claude.comでClaude Console組織をご自身で作成します。
3. 2つの組織をリンクします。 Claude Enterprise組織のプライマリオーナーとしてサインインし、claude.ai > 組織設定 > アイデンティティとアクセスに移動して、Merge Organizationsを使用して2つを共有の親の下にリンクします。

リンクが完了したら、Compliance APIのセットアップに従ってキーを作成し、クエリを開始します。テスト組織は本番組織と同じ有効化プロセスを使用します。