設定 Compliance API

Compliance API 使用兩種金鑰類型，您要建立哪一種取決於您的組織使用哪個 Claude 產品。主要擁有者和組織擁有者在 claude.ai 中建立 Compliance Access Key；這些金鑰可解鎖完整的 Compliance API。主要擁有者的金鑰可涵蓋父組織下的每個組織；組織擁有者的金鑰僅涵蓋其自己的組織。組織管理員在 Claude Console 中建立 Admin API 金鑰；這些金鑰僅解鎖活動摘要。



您需要哪種金鑰？

Claude Enterprise 租戶有一個父組織（parent organization），為其下的每個工作負載組織集中管理身分識別、SSO 和 SCIM。這些工作負載組織是父組織的連結組織（linked organizations）。



設定 Compliance API

設定是一個流程：為您的組織啟用 Compliance API，然後在 claude.ai 中建立 Compliance Access Key。Claude Console 組織則在啟用後建立 Admin API 金鑰；Admin API 金鑰僅能存取活動摘要。



建立 Admin API 金鑰

請依照建立 Admin API 金鑰中的步驟操作，然後將金鑰設定為環境變數：

export ANTHROPIC_ADMIN_KEY=sk-ant-admin01-...

使用不同的變數名稱可避免在您同時佈建兩者時，Admin API 金鑰覆寫 Compliance Access Key。本指南中的 cURL 範例從 $ANTHROPIC_COMPLIANCE_ACCESS_KEY 讀取金鑰；使用 Admin API 金鑰呼叫活動摘要時，請替換為 $ANTHROPIC_ADMIN_KEY。

只有在建立金鑰之前已為組織啟用 Compliance API 時，Admin API 金鑰才會帶有 read:compliance_activities 範圍；請參閱設定 Compliance API。它們無法被授予任何其他 Compliance API 範圍，因此對活動摘要以外的任何端點的呼叫都會回傳 403 Forbidden。

關於同一金鑰在管理您的 Claude Console 組織中的角色，請參閱 Admin API。



檢查您金鑰的範圍

若要檢查您已擁有的金鑰上的範圍，請使用以下其中一種訊號。

• 金鑰前綴。sk-ant-admin01- 是 Admin API 金鑰（僅帶有 read:compliance_activities，且受前一節所述的啟用時機限制）。sk-ant-api01- 是 Compliance Access Key；其範圍是您在建立時選擇的子集。
• 設定 UI。開啟 claude.ai > 組織設定 > API 中的金鑰區段，或 Claude Console > 設定 > Admin 金鑰 中的 Admin 金鑰區段，並查看該金鑰的範圍欄位。
• **錯誤回應。**超出金鑰範圍的呼叫會回傳 403，訊息格式為 Missing required scopes. Got: [<scopes the key carries>] Needed: [<scopes the endpoint requires>]。完整的錯誤目錄請參閱處理 Compliance API 錯誤。

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['read:compliance_activities'] Needed: ['read:compliance_user_data']"
  }
}



管理和輪替金鑰

從您建立 Compliance Access Key 的同一個金鑰表格中刪除它：前往 claude.ai > 組織設定 > API。從 Claude Console > 設定 > Admin 金鑰 刪除 Admin API 金鑰。

刪除金鑰會在下一個請求時生效：沒有寬限期。Compliance Access Key 不會自行過期。

若要在不中斷服務的情況下輪替金鑰：

1. 建立具有相同範圍的新金鑰。
2. 更新您的整合以使用新金鑰。
3. 驗證整合使用新金鑰可成功運作。
4. 刪除舊金鑰。

在輪替之前儲存的分頁游標仍然有效：游標的範圍限定於組織，而非金鑰。

如果 Compliance Access Key 外洩，請立即刪除它，在活動摘要中稽核由遭入侵金鑰產生的 compliance_api_accessed 活動，並輪替外洩金鑰可能觸及的任何下游憑證。傳入 activity_types[]=compliance_api_accessed 來限定查詢範圍，然後在您的用戶端中，保留 actor.type 為 api_actor 且 actor.api_key_id 與遭入侵金鑰相符的活動；actor 結構描述請參閱了解 Activity 物件。



後續步驟