Configurar la Compliance API

La Compliance API usa dos tipos de claves, y cuál crees depende de qué producto de Claude use tu organización. Los propietarios principales y los propietarios de la organización crean Compliance Access Keys en claude.ai; estas claves desbloquean la Compliance API completa. La clave de un propietario principal puede cubrir todas las organizaciones bajo la organización principal; la clave de un propietario de la organización cubre únicamente su propia organización. Los administradores de la organización crean claves de Admin API en Claude Console; estas claves desbloquean únicamente el Activity Feed.



¿Qué clave necesitas?

Un tenant de Claude Enterprise tiene una organización principal que centraliza la identidad, SSO y SCIM para cada organización de carga de trabajo debajo de ella. Estas organizaciones de carga de trabajo son las organizaciones vinculadas de la principal.



Configurar la Compliance API

La configuración es un solo flujo: habilita la Compliance API para tu organización, luego crea una Compliance Access Key en claude.ai. Una organización de Claude Console, en cambio, crea una clave de Admin API después de la habilitación; las claves de Admin API solo acceden al Activity Feed.



Crear una clave de Admin API

Sigue los pasos en Crear una clave de Admin API, luego establece la clave como una variable de entorno:

export ANTHROPIC_ADMIN_KEY=sk-ant-admin01-...

El nombre de variable distinto evita que la clave de Admin API sobrescriba una Compliance Access Key si aprovisionas ambas. Los ejemplos de cURL en esta guía leen la clave desde $ANTHROPIC_COMPLIANCE_ACCESS_KEY; sustituye $ANTHROPIC_ADMIN_KEY cuando llames al Activity Feed con una clave de Admin API.

Las claves de Admin API llevan el alcance read:compliance_activities solo si la Compliance API estaba habilitada para la organización en el momento en que se creó la clave; consulta Configurar la Compliance API. No se les puede otorgar ningún otro alcance de la Compliance API, por lo que las llamadas a cualquier endpoint que no sea el Activity Feed devuelven 403 Forbidden.

Para conocer el rol de la misma clave en la gestión de tu organización de Claude Console, consulta Admin API.



Verificar los alcances de tu clave

Para inspeccionar los alcances de una clave que ya tienes, usa una de las siguientes señales.

• Prefijo de la clave. sk-ant-admin01- es una clave de Admin API (lleva únicamente read:compliance_activities, sujeto al momento de habilitación descrito en la sección anterior). sk-ant-api01- es una Compliance Access Key; sus alcances son el subconjunto que seleccionaste al crearla.
• Interfaz de configuración. Abre la sección Keys en claude.ai > Organization settings > API, o la sección Admin keys en Claude Console > Settings > Admin keys, y lee la columna Scopes de la clave.
• Respuestas de error. Una llamada que excede los alcances de la clave devuelve un 403 con un mensaje en el formato Missing required scopes. Got: [<scopes the key carries>] Needed: [<scopes the endpoint requires>]. Consulta Manejar errores de la Compliance API para ver el catálogo completo de errores.

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['read:compliance_activities'] Needed: ['read:compliance_user_data']"
  }
}



Gestionar y rotar claves

Elimina una Compliance Access Key desde la misma tabla Keys donde la creaste: ve a claude.ai > Organization settings > API. Elimina una clave de Admin API desde Claude Console > Settings > Admin keys.

La eliminación de una clave surte efecto en la siguiente solicitud: no hay período de gracia. Las Compliance Access Keys no expiran por sí solas.

Para rotar una clave sin interrupciones:

1. Crea una nueva clave con los mismos alcances.
2. Actualiza tu integración para usar la nueva clave.
3. Verifica que la integración funcione correctamente con la nueva clave.
4. Elimina la clave anterior.

Los cursores de paginación almacenados antes de una rotación siguen siendo válidos: los cursores están delimitados a la organización, no a la clave.

Si una Compliance Access Key se filtra, elimínala de inmediato, audita el Activity Feed en busca de actividades compliance_api_accessed realizadas por la clave comprometida, y rota cualquier credencial descendente a la que la clave filtrada pudiera acceder. Pasa activity_types[]=compliance_api_accessed para delimitar la consulta, luego en tu cliente, conserva las actividades cuyo actor.type sea api_actor y cuyo actor.api_key_id coincida con la clave comprometida; consulta Entender el objeto Activity para ver el esquema del actor.



Próximos pasos