获取 Compliance API 访问权限

Compliance API 使用两种密钥类型，您需要创建哪种密钥取决于您的组织使用的 Claude 产品。主要所有者在 claude.ai 中创建 Compliance Access Key（合规访问密钥）；这些密钥可解锁完整的 Compliance API。组织管理员在 Claude Console 中创建 Admin API 密钥；这些密钥仅可解锁 Activity Feed。

您需要哪种密钥？

Claude Enterprise 租户拥有一个父组织，该父组织为其下的每个工作负载组织集中管理身份、SSO 和 SCIM。这些工作负载组织是父组织的关联组织。

申请 Compliance API 访问权限

请联系您的 Anthropic 代表以申请访问权限。启用操作在父组织级别进行，并会级联到每个关联组织，包括 claude.ai 和 Claude Console。启用后的变化取决于您的组织使用的 Claude 产品。

启用后：claude.ai 组织

在 Anthropic 为您的父组织启用 Compliance API 后，主要所有者可以在 claude.ai > Organization settings > API 的 Keys（密钥）部分创建 Compliance Access Key。

启用后：Claude Console 组织

在 Anthropic 为您的父组织启用 Compliance API 后，此后创建的 Admin API 密钥将带有 read:compliance_activities 范围。启用前创建的 Admin API 密钥仍可用于 Admin API，但使用这些密钥调用 Activity Feed 会返回 403 Forbidden；请创建新的 Admin API 密钥以获取该范围。

创建 Compliance Access Key

创建 Admin API 密钥

只有在创建密钥之前已为组织启用 Compliance API 的情况下，Admin API 密钥才会带有 read:compliance_activities 范围；请参阅启用后：Claude Console 组织。这些密钥无法被授予任何其他 Compliance API 范围，因此调用 Activity Feed 以外的任何端点都会返回 403 Forbidden。

有关同一密钥在管理 Claude Console 组织中的作用，请参阅 Admin API。

检查密钥的范围

要检查您已有密钥的范围，请使用以下方法之一。

• 密钥前缀。sk-ant-admin01- 是 Admin API 密钥（仅带有 read:compliance_activities，受前一节所述的启用时间限制）。sk-ant-api01- 是 Compliance Access Key；其范围是您在创建时选择的子集。
• **设置界面。**打开 claude.ai > Organization settings > API 中的 Keys（密钥）部分，或 Claude Console > Settings > Admin keys 中的 Admin keys 部分，查看该密钥的 Scopes（范围）列。
• **错误响应。**超出密钥范围的调用会返回 403 错误，消息格式为 Missing required scopes. Got: [<scopes the key carries>] Needed: [<scopes the endpoint requires>]。有关完整的错误目录，请参阅处理 Compliance API 错误。

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['read:compliance_activities'] Needed: ['read:compliance_user_data']"
  }
}

管理和轮换密钥

在创建 Compliance Access Key 的同一 Keys（密钥）表中删除该密钥：前往 claude.ai > Organization settings > API。在 Claude Console > Settings > Admin keys 中删除 Admin API 密钥。

删除密钥会在下一次请求时生效：没有宽限期。Compliance Access Key 不会自行过期。

要在不中断服务的情况下轮换密钥：

1. 创建具有相同范围的新密钥。
2. 更新您的集成以使用新密钥。
3. 验证集成使用新密钥可以成功运行。
4. 删除旧密钥。

轮换前存储的分页游标仍然有效：游标的作用域是组织，而不是密钥。

如果 Compliance Access Key 泄露，请立即删除它，审计 Activity Feed 中由被泄露密钥产生的 compliance_api_accessed 活动，并轮换泄露密钥可能触及的任何下游凭据。传递 activity_types[]=compliance_api_accessed 以限定查询范围，然后在您的客户端中保留 actor.type 为 api_actor 且 actor.api_key_id 与被泄露密钥匹配的活动；有关 actor 架构，请参阅了解 Activity 对象。

后续步骤