Compliance API einrichten

Die Compliance API verwendet zwei Key-Typen, und welchen du erstellst, hängt davon ab, welches Claude-Produkt deine Organisation nutzt. Primary Owner und Organization Owner erstellen Compliance Access Keys in claude.ai; diese Keys schalten die vollständige Compliance API frei. Der Key eines Primary Owners kann jede Organisation unter der übergeordneten Organisation abdecken; der Key eines Organization Owners deckt nur dessen eigene Organisation ab. Organisationsadministratoren erstellen Admin-API-Keys in Claude Console; diese Keys schalten nur den Activity Feed frei.



Welchen Key brauchst du?

Ein Claude Enterprise-Mandant hat eine übergeordnete Organisation (parent organization), die Identität, SSO und SCIM für jede darunter liegende Workload-Organisation zentralisiert. Diese Workload-Organisationen sind die verknüpften Organisationen (linked organizations) der übergeordneten Organisation.



Compliance API einrichten

Die Einrichtung ist ein einziger Ablauf: Aktiviere die Compliance API für deine Organisation und erstelle dann einen Compliance Access Key in claude.ai. Eine Claude Console-Organisation erstellt stattdessen einen Admin-API-Key nach der Aktivierung; Admin-API-Keys erreichen nur den Activity Feed.



Admin-API-Key erstellen

Folge den Schritten unter Admin-API-Key erstellen und setze dann den Key als Umgebungsvariable:

export ANTHROPIC_ADMIN_KEY=sk-ant-admin01-...

Der eigene Variablenname verhindert, dass der Admin-API-Key einen Compliance Access Key überschreibt, falls du beide bereitstellst. Die cURL-Beispiele in diesem Leitfaden lesen den Key aus $ANTHROPIC_COMPLIANCE_ACCESS_KEY; ersetze $ANTHROPIC_ADMIN_KEY, wenn du den Activity Feed mit einem Admin-API-Key aufrufst.

Admin-API-Keys tragen den Scope read:compliance_activities nur, wenn die Compliance API zum Zeitpunkt der Key-Erstellung für die Organisation aktiviert war; siehe Compliance API einrichten. Ihnen kann kein anderer Compliance-API-Scope gewährt werden, sodass Aufrufe an jeden anderen Endpunkt als den Activity Feed 403 Forbidden zurückgeben.

Zur Rolle desselben Keys bei der Verwaltung deiner Claude Console-Organisation siehe Admin API.



Scopes deines Keys überprüfen

Um die Scopes eines Keys zu prüfen, den du bereits hast, nutze eines der folgenden Signale.

• Key-Präfix. sk-ant-admin01- ist ein Admin-API-Key (trägt nur read:compliance_activities, abhängig vom Aktivierungszeitpunkt im vorherigen Abschnitt). sk-ant-api01- ist ein Compliance Access Key; seine Scopes sind die Teilmenge, die du bei der Erstellung ausgewählt hast.
• Einstellungs-UI. Öffne den Abschnitt Keys unter claude.ai > Organization settings > API oder den Abschnitt Admin keys unter Claude Console > Settings > Admin keys und lies die Spalte Scopes für den Key.
• Fehlerantworten. Ein Aufruf, der die Scopes des Keys überschreitet, gibt einen 403 mit einer Nachricht im Format Missing required scopes. Got: [<scopes the key carries>] Needed: [<scopes the endpoint requires>] zurück. Siehe Compliance-API-Fehler behandeln für den vollständigen Fehlerkatalog.

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['read:compliance_activities'] Needed: ['read:compliance_user_data']"
  }
}



Keys verwalten und rotieren

Lösche einen Compliance Access Key in derselben Keys-Tabelle, in der du ihn erstellt hast: Gehe zu claude.ai > Organization settings > API. Lösche einen Admin-API-Key unter Claude Console > Settings > Admin keys.

Das Löschen eines Keys wird bei der nächsten Anfrage wirksam: Es gibt keine Übergangsfrist. Compliance Access Keys laufen nicht von selbst ab.

So rotierst du einen Key ohne Ausfall:

1. Erstelle einen neuen Key mit denselben Scopes.
2. Aktualisiere deine Integration, sodass sie den neuen Key verwendet.
3. Überprüfe, ob die Integration mit dem neuen Key erfolgreich ist.
4. Lösche den alten Key.

Paginierungs-Cursor, die vor einer Rotation gespeichert wurden, bleiben gültig: Cursor sind an die Organisation gebunden, nicht an den Key.

Wenn ein Compliance Access Key leakt, lösche ihn sofort, prüfe den Activity Feed auf compliance_api_accessed-Aktivitäten durch den kompromittierten Key und rotiere alle nachgelagerten Zugangsdaten, die der geleakte Key erreichen konnte. Übergib activity_types[]=compliance_api_accessed, um die Abfrage einzugrenzen, und behalte dann in deinem Client die Aktivitäten, deren actor.type api_actor ist und deren actor.api_key_id mit dem kompromittierten Key übereinstimmt; siehe Das Activity-Objekt verstehen für das Actor-Schema.



Nächste Schritte