Настройка Compliance API

Compliance API использует два типа ключей, и то, какой из них вы создаёте, зависит от того, какой продукт Claude использует ваша организация. Основные владельцы и владельцы организаций создают Compliance Access Keys в claude.ai; эти ключи открывают доступ к полному Compliance API. Ключ основного владельца может охватывать каждую организацию под родительской организацией; ключ владельца организации охватывает только его собственную организацию. Администраторы организаций создают ключи Admin API в Claude Console; эти ключи открывают доступ только к Activity Feed.



Какой ключ вам нужен?

Тенант Claude Enterprise имеет одну родительскую организацию, которая централизует идентификацию, SSO и SCIM для каждой рабочей организации под ней. Эти рабочие организации являются связанными организациями родительской.



Настройка Compliance API

Настройка представляет собой единый процесс: включите Compliance API для вашей организации, затем создайте Compliance Access Key в claude.ai. Организация Claude Console вместо этого создаёт ключ Admin API после включения; ключи Admin API имеют доступ только к Activity Feed.



Создание ключа Admin API

Выполните шаги из раздела Создание ключа Admin API, затем задайте ключ как переменную окружения:

export ANTHROPIC_ADMIN_KEY=sk-ant-admin01-...

Отдельное имя переменной предотвращает перезапись Compliance Access Key ключом Admin API, если вы создаёте оба. Примеры cURL в этом руководстве читают ключ из $ANTHROPIC_COMPLIANCE_ACCESS_KEY; подставьте $ANTHROPIC_ADMIN_KEY при вызове Activity Feed с ключом Admin API.

Ключи Admin API несут область read:compliance_activities только в том случае, если Compliance API был включён для организации до создания ключа; см. Настройка Compliance API. Им нельзя предоставить никакую другую область Compliance API, поэтому вызовы любой конечной точки, кроме Activity Feed, возвращают 403 Forbidden.

О роли того же ключа в управлении вашей организацией Claude Console см. Admin API.



Проверка областей вашего ключа

Чтобы проверить области уже имеющегося у вас ключа, используйте один из следующих признаков.

• Префикс ключа. sk-ant-admin01- — это ключ Admin API (несёт только read:compliance_activities, с учётом сроков включения, описанных в предыдущем разделе). sk-ant-api01- — это Compliance Access Key; его области — это подмножество, выбранное вами при создании.
• Интерфейс настроек. Откройте раздел Keys в claude.ai > Organization settings > API или раздел Admin keys в Claude Console > Settings > Admin keys и посмотрите столбец Scopes для ключа.
• Ответы с ошибками. Вызов, превышающий области ключа, возвращает 403 с сообщением в формате Missing required scopes. Got: [<scopes the key carries>] Needed: [<scopes the endpoint requires>]. Полный каталог ошибок см. в разделе Обработка ошибок Compliance API.

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['read:compliance_activities'] Needed: ['read:compliance_user_data']"
  }
}



Управление ключами и их ротация

Удалите Compliance Access Key из той же таблицы Keys, где вы его создали: перейдите в claude.ai > Organization settings > API. Удалите ключ Admin API в Claude Console > Settings > Admin keys.

Удаление ключа вступает в силу при следующем запросе: льготного периода нет. Compliance Access Keys не истекают сами по себе.

Чтобы выполнить ротацию ключа без простоя:

1. Создайте новый ключ с теми же областями.
2. Обновите вашу интеграцию, чтобы она использовала новый ключ.
3. Убедитесь, что интеграция успешно работает с новым ключом.
4. Удалите старый ключ.

Курсоры пагинации, сохранённые до ротации, остаются действительными: курсоры привязаны к организации, а не к ключу.

Если Compliance Access Key утёк, немедленно удалите его, проверьте Activity Feed на наличие активностей compliance_api_accessed, выполненных скомпрометированным ключом, и выполните ротацию всех нижестоящих учётных данных, к которым мог получить доступ утёкший ключ. Передайте activity_types[]=compliance_api_accessed, чтобы ограничить запрос, затем в вашем клиенте оставьте активности, у которых actor.type равен api_actor, а actor.api_key_id совпадает со скомпрометированным ключом; схему actor см. в разделе Понимание объекта Activity.



Следующие шаги