Configurare la Compliance API

La Compliance API utilizza due tipi di chiave, e quale creare dipende dal prodotto Claude utilizzato dalla tua organizzazione. I primary owner e gli organization owner creano le Compliance Access Key in claude.ai; queste chiavi sbloccano l'intera Compliance API. La chiave di un primary owner può coprire ogni organizzazione sotto l'organizzazione padre; la chiave di un organization owner copre solo la propria organizzazione. Gli organization admin creano le chiavi Admin API in Claude Console; queste chiavi sbloccano solo l'Activity Feed.



Quale chiave ti serve?

Un tenant Claude Enterprise ha una organizzazione padre che centralizza identità, SSO e SCIM per ogni organizzazione di lavoro sottostante. Queste organizzazioni di lavoro sono le organizzazioni collegate dell'organizzazione padre.



Configurare la Compliance API

La configurazione è un unico flusso: abilita la Compliance API per la tua organizzazione, quindi crea una Compliance Access Key in claude.ai. Un'organizzazione Claude Console invece crea una chiave Admin API dopo l'abilitazione; le chiavi Admin API raggiungono solo l'Activity Feed.



Creare una chiave Admin API

Segui i passaggi in Creare una chiave Admin API, quindi imposta la chiave come variabile d'ambiente:

export ANTHROPIC_ADMIN_KEY=sk-ant-admin01-...

Il nome distinto della variabile impedisce alla chiave Admin API di sovrascrivere una Compliance Access Key se ne provvedi entrambe. Gli esempi cURL in questa guida leggono la chiave da $ANTHROPIC_COMPLIANCE_ACCESS_KEY; sostituisci $ANTHROPIC_ADMIN_KEY quando chiami l'Activity Feed con una chiave Admin API.

Le chiavi Admin API portano lo scope read:compliance_activities solo se la Compliance API era abilitata per l'organizzazione al momento della creazione della chiave; vedi Configurare la Compliance API. Non possono ricevere nessun altro scope della Compliance API, quindi le chiamate a qualsiasi endpoint diverso dall'Activity Feed restituiscono 403 Forbidden.

Per il ruolo della stessa chiave nella gestione della tua organizzazione Claude Console, vedi Admin API.



Verificare gli scope della tua chiave

Per ispezionare gli scope di una chiave che già possiedi, usa uno dei seguenti segnali.

• Prefisso della chiave. sk-ant-admin01- è una chiave Admin API (porta solo read:compliance_activities, soggetto alla tempistica di abilitazione descritta nella sezione precedente). sk-ant-api01- è una Compliance Access Key; i suoi scope sono il sottoinsieme selezionato alla creazione.
• Interfaccia delle impostazioni. Apri la sezione Keys in claude.ai > Organization settings > API, o la sezione Admin keys in Claude Console > Settings > Admin keys, e leggi la colonna Scopes per la chiave.
• Risposte di errore. Una chiamata che supera gli scope della chiave restituisce un 403 con un messaggio nel formato Missing required scopes. Got: [<scopes the key carries>] Needed: [<scopes the endpoint requires>]. Vedi Gestire gli errori della Compliance API per il catalogo completo degli errori.

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['read:compliance_activities'] Needed: ['read:compliance_user_data']"
  }
}



Gestire e ruotare le chiavi

Elimina una Compliance Access Key dalla stessa tabella Keys in cui l'hai creata: vai a claude.ai > Organization settings > API. Elimina una chiave Admin API da Claude Console > Settings > Admin keys.

L'eliminazione di una chiave ha effetto alla richiesta successiva: non c'è periodo di tolleranza. Le Compliance Access Key non scadono da sole.

Per ruotare una chiave senza interruzioni:

1. Crea una nuova chiave con gli stessi scope.
2. Aggiorna la tua integrazione per usare la nuova chiave.
3. Verifica che l'integrazione funzioni con la nuova chiave.
4. Elimina la vecchia chiave.

I cursori di paginazione memorizzati prima di una rotazione rimangono validi: i cursori sono limitati all'organizzazione, non alla chiave.

Se una Compliance Access Key viene compromessa, eliminala immediatamente, esamina l'Activity Feed per le attività compliance_api_accessed effettuate dalla chiave compromessa e ruota tutte le credenziali a valle che la chiave compromessa poteva raggiungere. Passa activity_types[]=compliance_api_accessed per limitare la query, quindi nel tuo client conserva le attività il cui actor.type è api_actor e il cui actor.api_key_id corrisponde alla chiave compromessa; vedi Comprendere l'oggetto Activity per lo schema dell'actor.



Passaggi successivi