Compliance API FAQ

Claude Enterprise 조직의 경우, 기본 소유자(primary owner)가 claude.ai > 조직 설정 > API에서 Compliance API를 활성화하며, 활성화는 상위 조직에서 연결된 모든 조직으로 전파됩니다. 자격을 갖춘 독립형 Claude Console 조직(상위 조직이 없는 조직)의 경우, 조직 관리자가 Claude Console > Settings > Security에서 활성화합니다. 상위 조직에 연결된 Claude Console 조직은 Compliance API를 직접 활성화하지 않으며, 상위 조직에서 활성화됩니다. 단계는 Compliance API 설정을 참조하세요.

예. 독립형 Claude Console 조직의 경우, 조직 관리자가 Compliance API를 켠 곳과 동일한 Claude Console > Settings > Security에서 Compliance API 토글을 끌 수 있습니다. Compliance API가 꺼져 있는 동안에는 조직의 활동 이벤트가 기록되지 않으므로 Activity Feed는 새 이벤트를 받지 않습니다. 조직이 Access Transparency에 등록되어 있는 경우, Compliance API를 끄면 Access Transparency 이벤트 전달도 중지됩니다. Compliance API가 꺼져 있는 동안 기록되지 않은 활동은 나중에 복구할 수 없습니다. Compliance API를 다시 켜면 그 시점부터 기록이 재개되며, 이미 기록된 활동은 삭제되지 않습니다.

아니요. Compliance API를 끄면 새로운 활동 이벤트의 기록이 중지되지만, 켜져 있는 동안 이미 캡처된 이벤트는 삭제되지 않습니다. Compliance API를 다시 켜는 시점부터 기록이 재개됩니다.

예. Claude Console에서 Compliance API를 끄거나 다시 켜면, 해당 변경 사항이 Activity Feed에 org_compliance_api_settings_updated 활동으로 기록되므로 감사 추적에서 누가 언제 설정을 변경했는지 확인할 수 있습니다. 이 활동은 기록 중지의 예외입니다. Compliance API가 꺼져 있는 동안 다른 활동은 기록되지 않지만, 비활성화 자체는 기록됩니다.

이는 예상된 동작입니다. Claude Enterprise 상위 조직은 연결된 모든 조직에 걸쳐 ID를 중앙 집중화하며, 워크로드를 담당하지 않고 Claude Console에 전혀 표시되지 않습니다. Claude Console은 상위 조직 아래에 연결된 Claude Console 조직만 표시합니다.

Compliance API를 호출하려면 대신 다음 두 가지 키 유형 중 하나를 생성합니다.

• 전체 Compliance API 액세스(Activity Feed와 채팅, 파일, 프로젝트, 세션, 사용자, 조직 메타데이터 및 조직 설정)의 경우, 상위 조직의 기본 소유자(또는 자신의 조직으로만 제한된 키의 경우 조직 소유자)가 claude.ai에서 Compliance Access Key를 생성합니다.
• Activity Feed 액세스만 필요한 경우, Claude Console 조직의 조직 관리자가 Claude Console에서 Admin API 키를 생성합니다. 조직에 대해 Compliance API가 이미 활성화되어 있어야 하며, 키가 read:compliance_activities 스코프를 갖도록 하려면 관리자가 Compliance API가 활성화된 상태에서 Admin API 키를 생성해야 합니다.

아니요. Claude API 키(sk-ant-api03-...)는 Claude API에서 Claude 모델에 대한 호출을 인증하며, /v1/compliance/*에 대한 호출은 인증하지 않습니다. Compliance API는 Compliance Access Key(sk-ant-api01-...)와 Admin API 키(sk-ant-admin01-...)만 허용합니다. 전체 매핑은 어떤 키가 필요한가요?를 참조하세요.

Admin API 키는 고정된 read:compliance_activities 스코프를 가지며, 이는 Activity Feed만 승인합니다. 다른 모든 Compliance API 엔드포인트는 claude.ai에서 생성된 Compliance Access Key만 가질 수 있는 스코프를 요구합니다. Admin API 키로 콘텐츠 또는 디렉터리 엔드포인트를 호출하면 해당 엔드포인트 계열이 요구하는 스코프를 명시하는 403이 반환됩니다. 채팅, 파일, 프로젝트, 프로젝트 첨부 파일, 세션, 사용자 및 그룹 구성원의 경우 read:compliance_user_data, 조직, 역할, 그룹 및 유효 조직 설정의 경우 read:compliance_org_data입니다. 예를 들어, 채팅 목록을 조회하면 다음 응답이 반환됩니다.

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['read:compliance_activities'] Needed: ['read:compliance_user_data']"
  }
}

콘텐츠 엔드포인트에 액세스하려면 상위 조직의 기본 소유자(또는 자신의 조직에 한해 조직 소유자)가 read:compliance_user_data(삭제의 경우 delete:compliance_user_data) 또는 조직, 역할, 그룹 및 유효 설정 엔드포인트용 read:compliance_org_data를 가진 Compliance Access Key를 생성해야 합니다. 독립형 Claude Console 조직(상위 조직이 없는 조직)은 Compliance Access Key를 생성할 수 없으므로 콘텐츠 엔드포인트를 사용할 수 없으며, Activity Feed만 조회할 수 있습니다. 엔드포인트별 전체 카탈로그는 Compliance API 오류 처리를 참조하세요.

Activity Feed는 6년간의 조직 활동을 보존하며, 새 이벤트는 발생 후 1분 이내에 조회할 수 있습니다. 피드는 최대 조직에 대해 Compliance API가 처음 활성화된 시점까지만 거슬러 올라갑니다. 기록은 소급 적용되지 않으며, 활성화 이전의 활동은 백필되지 않습니다. Activity Feed 보존은 조직의 콘텐츠 보존 정책과 독립적입니다. 채팅, 파일 및 프로젝트 콘텐츠는 사용자가 더 일찍 삭제하지 않는 한 조직에 구성된 보존 규칙(기본값은 무기한)을 따릅니다.

아니요. Activity Feed는 누가 언제 무엇을 했는지(인증, 채팅 생성, 파일 업로드, 프로젝트 변경, 관리 작업 및 유사한 리소스 이벤트)를 기록하지만, 채팅이나 메시지 내부의 프롬프트 텍스트나 모델 응답은 캡처하지 않습니다.

메시지 본문과 파일 콘텐츠를 가져오려면 read:compliance_user_data를 가진 Compliance Access Key로 채팅, 메시지 및 파일 엔드포인트를 사용하세요. 동일한 키와 스코프로 로컬 세션 엔드포인트를 통해 사용자 기기의 세션(예: Cowork 및 Claude Code 세션) 트랜스크립트를, 원격 세션 엔드포인트를 통해 클라우드의 Cowork 세션 트랜스크립트를 가져올 수 있습니다. 이러한 엔드포인트는 Claude Enterprise 콘텐츠만 제공합니다. Claude Console 워크로드와 API 키로 인증된 Claude API 워크로드는 Activity Feed를 통해 관리 및 리소스 이벤트를 노출하지만, Compliance API를 통해 프롬프트 텍스트나 모델 응답을 노출하지 않습니다.

예. 사용자 기기에서 실행되는 Claude Desktop의 Cowork 세션, Claude Code 세션(터미널, Claude Desktop 또는 IDE 확장 프로그램), Claude Science 데스크톱 앱의 세션, 그리고 Excel, PowerPoint, Word 및 Outlook의 Claude for Microsoft 365 세션은 사용자가 Claude Enterprise 계정으로 로그인한 동안 캡처되며 로컬 세션 엔드포인트를 통해 사용할 수 있습니다. claude.ai 웹 또는 모바일에서 시작되어 Anthropic 관리 환경의 클라우드에서 실행되는 Cowork 세션은 원격 세션 엔드포인트를 통해 사용할 수 있습니다. 각 계열에는 세션 메타데이터를 반환하는 목록 엔드포인트와 세션 트랜스크립트(사용자 프롬프트, 어시스턴트 응답, 도구 호출 및 결과)를 반환하는 메시지 엔드포인트가 있습니다. 로컬 계열에는 단일 세션의 메타데이터를 가져오는 세 번째 엔드포인트가 추가됩니다. 이 모든 엔드포인트는 read:compliance_user_data를 가진 기존 Compliance Access Key를 사용하며, 새 키나 스코프가 필요하지 않습니다.

로컬 세션은 요청이 Claude API에 도달할 때 캡처되므로 기기에 아무것도 설치되지 않으며, API에 도달하지 않는 기기 내 활동은 캡처되지 않습니다. Claude Console API 키로 인증된 Claude Code 세션, 서드파티 클라우드 플랫폼(Amazon Bedrock, Google Cloud 또는 Microsoft Foundry)을 통해 실행되는 Claude Code 세션, 그리고 웹의 Claude Code는 캡처되지 않습니다. 웹의 Claude Code도 Anthropic 관리 환경의 클라우드에서 실행되지만 원격 세션이 아니며, 원격 세션 엔드포인트는 Cowork 세션만 반환합니다. HIPAA 준비가 활성화된 조직은 로컬 세션 데이터를 받지 않으며, zero data retention(ZDR)이 적용되는 세션은 제외됩니다.

로컬 및 원격 세션 엔드포인트는 Cowork 및 Claude Code 세션에 대해 안정적이며, Claude Science 및 Claude for Microsoft 365 세션에 대한 지원은 베타입니다.

로컬 및 원격 세션 트랜스크립트 모두 사용자 프롬프트, 어시스턴트 응답, 도구 호출 및 결과를 포함합니다. 로컬 세션(사용자 기기)의 경우, 이는 기기에서 일어난 일이 아니라 Claude에게 요청된 작업과 Claude가 반환한 내용입니다.

엔드포인트와 매개변수는 사용자 기기의 세션 및 클라우드의 세션을 참조하세요.

Cowork의 OpenTelemetry 로깅과 Claude Code 모니터링은 세션 엔드포인트와 겹치지만 서로 다른 요구를 충족합니다. OTEL은 활동이 발생할 때 이벤트별 텔레메트리를 사용자가 운영하는 인프라로 스트리밍하는 반면, Compliance API는 사후에 Anthropic에서 보존된 세션별 트랜스크립트를 가져올 수 있게 합니다. OTEL도 프롬프트와 응답을 캡처할 수 있지만, Anthropic은 Cowork 및 Claude Code 세션의 콘텐츠를 가져오는 데 Compliance API를 권장합니다. 로컬 세션, 원격 세션 및 OTEL을 비교하는 표는 세션 트랜스크립트 가져오기의 소개를 참조하세요.

OTEL 이벤트와 Compliance API 레코드는 조직 및 사용자 식별자를 공유하므로 조인할 수 있습니다.

아니요. Compliance API를 통해 수행된 삭제는 즉시 적용되고 영구적이며 복구할 수 없습니다. 사용자가 claude.ai에서 삭제한 채팅의 콘텐츠도 복구할 수 없습니다. Compliance API는 deleted_at이 채워진 상태로 채팅과 메시지를 여전히 반환하지만, 그 콘텐츠는 반환하지 않습니다. 보존해야 하는 콘텐츠(법적 보존 또는 아카이브용)는 아직 사용 가능할 때 가져오세요. 콘텐츠를 자체 아카이브로 내보내야 하는 시점은 콘텐츠 보존 계획을 참조하세요.

Compliance API에는 알려진 지원 범위 경계가 있습니다. Activity Feed는 리소스 이벤트를 기록하지만 프롬프트나 응답 텍스트는 기록하지 않으며, API 키로 인증된 Claude Console 및 Claude API 워크로드는 메시지 콘텐츠를 전혀 노출하지 않고, 보존 정책에 의해 제거되었거나 사용자가 claude.ai에서 삭제했거나 Compliance API를 통해 영구 삭제된 콘텐츠는 복구할 수 없습니다. 전체 지원 범위 경계와 전달 계약은 전달 보장 및 완전성을 참조하세요.

세션 트랜스크립트에는 자체적인 경계가 있습니다. 로컬 세션은 요청이 Claude API에 도달할 때만 캡처되므로, API에 도달하지 않는 기기 내 활동은 캡처되지 않습니다. Claude Console API 키로 인증된 Claude Code 세션, 서드파티 클라우드 플랫폼(Amazon Bedrock, Google Cloud 또는 Microsoft Foundry)을 통해 실행되는 Claude Code 세션, 그리고 웹의 Claude Code도 캡처되지 않습니다. HIPAA 준비가 활성화된 조직은 로컬 세션 데이터를 받지 않으며, zero data retention이 적용되는 세션은 제외됩니다. 로컬이든 원격이든 어떤 세션 트랜스크립트에도 사고 블록이나 도구 정의는 포함되지 않습니다. 고객 관리 암호화 키를 사용하는 조직은 평소와 같이 로컬 세션 트랜스크립트를 받습니다. 키를 사용할 수 없는 동안에는 메시지 엔드포인트가 트랜스크립트 콘텐츠 대신 503 Service Unavailable을 반환하며, 세션 메타데이터는 계속 나열됩니다.

actor.user_id, actor.email_address, actor.ip_address, actor.user_agent 및 created_at을 기준으로 Activity 레코드를 SIEM에 조인하세요. 조인 키 표와 소비 패턴은 컴플라이언스 통합 설계를 참조하세요.

예. Claude Enterprise 상위 조직은 claude.ai 조직과 Claude Console 조직의 혼합(예: 별도의 프로덕션 및 스테이징 Claude Console 조직)을 포함하여 많은 연결된 조직을 가질 수 있습니다. ID, SSO 및 SCIM은 상위 조직 전체에서 공유되며, 청구, 구성원, 프로젝트 및 API 키는 각 조직별로 분리되어 유지됩니다. Compliance API 활성화는 상위 조직 수준에서 이루어지고 연결된 모든 조직으로 전파되며, 상위 조직을 포함하고 read:compliance_org_data를 가진 Compliance Access Key는 GET /v1/compliance/organizations를 통해 상위 조직 아래의 모든 조직을 열거할 수 있습니다.

활동은 최신순으로 반환되며, created_at이 동일한 경우 활동 ID로 순서가 결정됩니다. 따라잡으려면 has_more가 false가 될 때까지 before_id로 페이지를 앞으로 순회하세요. 마지막 응답의 first_id가 새 커서이며, 현재 시점에 도달한 것입니다. 초기 백필과 커서 지속성에 대한 안전 조건을 포함한 전체 루프는 커서 기반 증분 읽기에 있습니다.

Activity Feed만 테스트하려면 Claude Enterprise 조직이 필요하지 않습니다. 조직 관리자가 자격을 갖춘 독립형 Claude Console 테스트 조직에서 Compliance API를 활성화하고 새 Admin API 키로 피드를 조회할 수 있습니다. 해당 조직의 Security 설정에 Compliance API 섹션이 표시되지 않으면, 그 조직은 셀프 서비스 활성화 자격이 없는 것입니다.

모든 엔드포인트를 테스트하려면 동일한 상위 조직 아래에서 Claude Console 조직에 연결된 Claude Enterprise 샌드박스 조직을 설정하세요. 이렇게 하면 샌드박스에서 Activity Feed(Admin API 키를 통해)와 채팅, 파일, 프로젝트 및 세션 엔드포인트(Compliance Access Key를 통해)를 모두 사용해 볼 수 있습니다.

1. Claude Enterprise 조직을 프로비저닝합니다. Anthropic 담당자에게 문의하여 Claude Enterprise 샌드박스 조직을 설정하세요. 기존 Claude Enterprise 조직에서는 기본 소유자가 claude.ai에서 직접 Compliance API를 활성화할 수 있습니다.
2. Claude Console 조직을 생성합니다. 동일한 이메일 주소를 사용하여 platform.claude.com에서 Claude Console 조직을 직접 생성하세요.
3. 두 조직을 연결합니다. Claude Enterprise 조직의 기본 소유자로 로그인하고, claude.ai > 조직 설정 > ID 및 액세스로 이동한 다음, Merge Organizations를 사용하여 두 조직을 공유 상위 조직 아래에 연결하세요.

연결이 완료되면 Compliance API 설정에 따라 키를 생성하고 조회를 시작하세요. 테스트 조직은 프로덕션 조직과 동일한 활성화 프로세스를 사용합니다.