Configurar a Compliance API

A Compliance API usa dois tipos de chave, e qual delas você cria depende de qual produto Claude sua organização usa. Proprietários principais e proprietários de organização criam Compliance Access Keys no claude.ai; essas chaves desbloqueiam a Compliance API completa. A chave de um proprietário principal pode cobrir todas as organizações sob a organização pai; a chave de um proprietário de organização cobre apenas sua própria organização. Administradores de organização criam chaves de Admin API no Claude Console; essas chaves desbloqueiam apenas o Activity Feed.



Qual chave você precisa?

Um tenant Claude Enterprise tem uma organização pai que centraliza identidade, SSO e SCIM para cada organização de carga de trabalho abaixo dela. Essas organizações de carga de trabalho são as organizações vinculadas da organização pai.



Configurar a Compliance API

A configuração é um único fluxo: habilite a Compliance API para sua organização e, em seguida, crie uma Compliance Access Key no claude.ai. Uma organização do Claude Console, em vez disso, cria uma chave de Admin API após a habilitação; chaves de Admin API acessam apenas o Activity Feed.



Criar uma chave de Admin API

Siga as etapas em Criar uma chave de Admin API e, em seguida, defina a chave como uma variável de ambiente:

export ANTHROPIC_ADMIN_KEY=sk-ant-admin01-...

O nome de variável distinto evita que a chave de Admin API sobrescreva uma Compliance Access Key caso você provisione ambas. Os exemplos de cURL neste guia leem a chave de $ANTHROPIC_COMPLIANCE_ACCESS_KEY; substitua por $ANTHROPIC_ADMIN_KEY ao chamar o Activity Feed com uma chave de Admin API.

Chaves de Admin API carregam o escopo read:compliance_activities apenas se a Compliance API estava habilitada para a organização no momento em que a chave foi criada; consulte Configurar a Compliance API. Elas não podem receber nenhum outro escopo da Compliance API, então chamadas a qualquer endpoint que não seja o Activity Feed retornam 403 Forbidden.

Para o papel dessa mesma chave no gerenciamento da sua organização do Claude Console, consulte Admin API.



Verificar os escopos da sua chave

Para inspecionar os escopos de uma chave que você já possui, use um dos seguintes sinais.

• Prefixo da chave. sk-ant-admin01- é uma chave de Admin API (carrega apenas read:compliance_activities, sujeito ao momento de habilitação descrito na seção anterior). sk-ant-api01- é uma Compliance Access Key; seus escopos são o subconjunto que você selecionou na criação.
• Interface de configurações. Abra a seção Keys em claude.ai > Organization settings > API, ou a seção Admin keys em Claude Console > Settings > Admin keys, e leia a coluna Scopes da chave.
• Respostas de erro. Uma chamada que excede os escopos da chave retorna um 403 com uma mensagem no formato Missing required scopes. Got: [<scopes the key carries>] Needed: [<scopes the endpoint requires>]. Consulte Tratar erros da Compliance API para o catálogo completo de erros.

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['read:compliance_activities'] Needed: ['read:compliance_user_data']"
  }
}



Gerenciar e rotacionar chaves

Exclua uma Compliance Access Key na mesma tabela Keys onde você a criou: vá para claude.ai > Organization settings > API. Exclua uma chave de Admin API em Claude Console > Settings > Admin keys.

A exclusão de uma chave entra em vigor na próxima requisição: não há período de carência. Compliance Access Keys não expiram por conta própria.

Para rotacionar uma chave sem interrupção:

1. Crie uma nova chave com os mesmos escopos.
2. Atualize sua integração para usar a nova chave.
3. Verifique se a integração funciona com a nova chave.
4. Exclua a chave antiga.

Cursores de paginação armazenados antes de uma rotação permanecem válidos: cursores têm escopo na organização, não na chave.

Se uma Compliance Access Key vazar, exclua-a imediatamente, audite o Activity Feed em busca de atividades compliance_api_accessed feitas pela chave comprometida e rotacione quaisquer credenciais downstream que a chave vazada poderia alcançar. Passe activity_types[]=compliance_api_accessed para delimitar a consulta e, em seguida, no seu cliente, mantenha as atividades cujo actor.type seja api_actor e cujo actor.api_key_id corresponda à chave comprometida; consulte Entender o objeto Activity para o esquema do actor.



Próximos passos