设置 Compliance API

Compliance API 使用两种密钥类型，您需要创建哪一种取决于您的组织使用的 Claude 产品。主要所有者和组织所有者在 claude.ai 中创建 Compliance Access Key；这些密钥可解锁完整的 Compliance API。主要所有者的密钥可以覆盖父组织下的每个组织；组织所有者的密钥仅覆盖其自己的组织。组织管理员在 Claude Console 中创建 Admin API 密钥；这些密钥仅解锁活动源。



您需要哪种密钥？

Claude Enterprise 租户有一个父组织，它为其下的每个工作负载组织集中管理身份、SSO 和 SCIM。这些工作负载组织是父组织的关联组织。



设置 Compliance API

设置是一个流程：为您的组织启用 Compliance API，然后在 claude.ai 中创建 Compliance Access Key。Claude Console 组织则在启用后创建 Admin API 密钥；Admin API 密钥仅能访问活动源。



创建 Admin API 密钥

按照创建 Admin API 密钥中的步骤操作，然后将密钥设置为环境变量：

export ANTHROPIC_ADMIN_KEY=sk-ant-admin01-...

使用不同的变量名可以防止在同时配置两种密钥时 Admin API 密钥覆盖 Compliance Access Key。本指南中的 cURL 示例从 $ANTHROPIC_COMPLIANCE_ACCESS_KEY 读取密钥；使用 Admin API 密钥调用活动源时，请替换为 $ANTHROPIC_ADMIN_KEY。

只有在创建密钥之前已为组织启用 Compliance API 的情况下，Admin API 密钥才会携带 read:compliance_activities 范围；请参阅设置 Compliance API。它们无法被授予任何其他 Compliance API 范围，因此对活动源以外的任何端点的调用都会返回 403 Forbidden。

关于同一密钥在管理 Claude Console 组织中的作用，请参阅 Admin API。



检查密钥的范围

要检查您已有密钥的范围，请使用以下方式之一。

• 密钥前缀。sk-ant-admin01- 是 Admin API 密钥（仅携带 read:compliance_activities，受上一节中启用时间的限制）。sk-ant-api01- 是 Compliance Access Key；其范围是您在创建时选择的子集。
• 设置界面。打开 claude.ai > 组织设置 > API 中的密钥部分，或 Claude Console > 设置 > Admin 密钥 中的 Admin 密钥部分，查看该密钥的范围列。
• **错误响应。**超出密钥范围的调用会返回 403，消息格式为 Missing required scopes. Got: [<scopes the key carries>] Needed: [<scopes the endpoint requires>]。请参阅处理 Compliance API 错误了解完整的错误目录。

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['read:compliance_activities'] Needed: ['read:compliance_user_data']"
  }
}



管理和轮换密钥

从您创建 Compliance Access Key 的同一个密钥表中删除它：前往 claude.ai > 组织设置 > API。从 Claude Console > 设置 > Admin 密钥 中删除 Admin API 密钥。

删除密钥会在下一次请求时生效：没有宽限期。Compliance Access Key 不会自行过期。

要在不中断服务的情况下轮换密钥：

1. 使用相同的范围创建一个新密钥。
2. 更新您的集成以使用新密钥。
3. 验证集成使用新密钥能够成功运行。
4. 删除旧密钥。

轮换之前存储的分页游标仍然有效：游标的作用域是组织，而不是密钥。

如果 Compliance Access Key 泄露，请立即删除它，在活动源中审计被泄露密钥的 compliance_api_accessed 活动，并轮换泄露密钥可能触及的所有下游凭据。传入 activity_types[]=compliance_api_accessed 来限定查询范围，然后在您的客户端中，保留 actor.type 为 api_actor 且 actor.api_key_id 与被泄露密钥匹配的活动；有关 actor 架构，请参阅了解 Activity 对象。



后续步骤