Configure a API de Compliance

A API de Compliance usa dois tipos de chave, e qual delas você cria depende de qual produto Claude sua organização usa. Proprietários principais e proprietários da organização criam Compliance Access Keys no claude.ai; essas chaves desbloqueiam a API de Compliance completa. A chave de um proprietário principal pode cobrir todas as organizações sob a organização pai; a chave de um proprietário da organização cobre apenas sua própria organização. Administradores da organização criam chaves de Admin API no Claude Console; essas chaves desbloqueiam apenas o Activity Feed.



Qual chave você precisa?

Um tenant do Claude Enterprise tem uma organização pai que centraliza identidade, SSO e SCIM para cada organização de carga de trabalho abaixo dela. Essas organizações de carga de trabalho são as organizações vinculadas da organização pai.



Configure a API de Compliance

A configuração é um único fluxo: habilite a API de Compliance para sua organização e, em seguida, crie uma Compliance Access Key no claude.ai. Uma organização do Claude Console, em vez disso, cria uma chave de Admin API após a habilitação; chaves de Admin API alcançam apenas o Activity Feed.



Crie uma chave de Admin API

Siga as etapas em Criar uma chave de Admin API e, em seguida, defina a chave como uma variável de ambiente:

export ANTHROPIC_ADMIN_KEY=sk-ant-admin01-...

O nome de variável distinto impede que a chave de Admin API sobrescreva uma Compliance Access Key se você provisionar ambas. Os exemplos de cURL neste guia leem a chave de $ANTHROPIC_COMPLIANCE_ACCESS_KEY; substitua por $ANTHROPIC_ADMIN_KEY ao chamar o Activity Feed com uma chave de Admin API.

Chaves de Admin API carregam o escopo read:compliance_activities apenas quando a API de Compliance foi habilitada para a organização antes da criação da chave; consulte Configure a API de Compliance. Elas não podem receber nenhum outro escopo da API de Compliance, portanto chamadas a qualquer endpoint que não seja o Activity Feed retornam 403 Forbidden.

Para o papel da mesma chave no gerenciamento da sua organização do Claude Console, consulte Admin API.



Verifique os escopos da sua chave

Para inspecionar os escopos de uma chave que você já possui, use um dos seguintes sinais.

• Prefixo da chave. sk-ant-admin01- é uma chave de Admin API (carrega apenas read:compliance_activities, sujeito ao momento da habilitação descrito na seção anterior). sk-ant-api01- é uma Compliance Access Key; seus escopos são o subconjunto que você selecionou na criação.
• Interface de configurações. Abra a seção Keys em claude.ai > Configurações da organização > API, ou a seção Admin keys em Claude Console > Settings > Admin keys, e leia a coluna Scopes da chave.
• Respostas de erro. Uma chamada que excede os escopos da chave retorna um 403 com uma mensagem no formato Missing required scopes. Got: [<scopes the key carries>] Needed: [<scopes the endpoint requires>]. Consulte Lidar com erros da API de Compliance para o catálogo completo de erros.

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['read:compliance_activities'] Needed: ['read:compliance_user_data']"
  }
}



Gerencie e rotacione chaves

Exclua uma Compliance Access Key na mesma tabela Keys onde você a criou: acesse claude.ai > Configurações da organização > API. Exclua uma chave de Admin API em Claude Console > Settings > Admin keys.

A exclusão de uma chave entra em vigor na próxima requisição: não há período de carência. Compliance Access Keys não expiram por conta própria.

Para rotacionar uma chave sem interrupção:

1. Crie uma nova chave com os mesmos escopos.
2. Atualize sua integração para usar a nova chave.
3. Verifique se a integração funciona com a nova chave.
4. Exclua a chave antiga.

Cursores de paginação armazenados antes de uma rotação permanecem válidos: os cursores têm escopo na organização, não na chave.

Se uma Compliance Access Key vazar, exclua-a imediatamente, audite o Activity Feed em busca de atividades compliance_api_accessed realizadas pela chave comprometida e rotacione quaisquer credenciais downstream que a chave vazada pudesse alcançar. Passe activity_types[]=compliance_api_accessed para delimitar a consulta e, em seguida, no seu cliente, mantenha as atividades cujo actor.type seja api_actor e cujo actor.api_key_id corresponda à chave comprometida; consulte Entenda o objeto Activity para o esquema do actor.



Próximos passos