Настройка Compliance API

Compliance API использует два типа ключей, и то, какой из них вы создаёте, зависит от того, какой продукт Claude использует ваша организация. Основные владельцы и владельцы организаций создают ключи Compliance Access Key в claude.ai; эти ключи открывают доступ ко всему Compliance API. Ключ основного владельца может охватывать все организации под родительской организацией; ключ владельца организации охватывает только его собственную организацию. Администраторы организаций создают ключи Admin API в Claude Console; эти ключи открывают доступ только к Activity Feed (ленте активности).



Какой ключ вам нужен?

Тенант Claude Enterprise имеет одну родительскую организацию, которая централизует управление идентификацией, SSO и SCIM для всех рабочих организаций под ней. Эти рабочие организации являются связанными организациями родительской.



Настройка Compliance API

Настройка представляет собой единый процесс: включите Compliance API для вашей организации, затем создайте Compliance Access Key в claude.ai. Организация Claude Console вместо этого создаёт ключ Admin API после включения; ключи Admin API дают доступ только к Activity Feed.



Создание ключа Admin API

Выполните шаги из раздела Создание ключа Admin API, затем задайте ключ как переменную окружения:

export ANTHROPIC_ADMIN_KEY=sk-ant-admin01-...

Отдельное имя переменной не позволяет ключу Admin API перезаписать Compliance Access Key, если вы создаёте оба. Примеры cURL в этом руководстве читают ключ из $ANTHROPIC_COMPLIANCE_ACCESS_KEY; подставьте $ANTHROPIC_ADMIN_KEY при обращении к Activity Feed с ключом Admin API.

Ключи Admin API несут область read:compliance_activities только в том случае, если Compliance API был включён для организации на момент создания ключа; см. Настройка Compliance API. Им нельзя предоставить никакую другую область Compliance API, поэтому вызовы к любой конечной точке, кроме Activity Feed, возвращают 403 Forbidden.

О роли того же ключа в управлении вашей организацией Claude Console см. Admin API.



Проверка областей вашего ключа

Чтобы проверить области уже имеющегося у вас ключа, используйте один из следующих признаков.

• Префикс ключа. sk-ant-admin01- — это ключ Admin API (несёт только read:compliance_activities, с учётом времени включения, описанного в предыдущем разделе). sk-ant-api01- — это Compliance Access Key; его области — это подмножество, которое вы выбрали при создании.
• Интерфейс настроек. Откройте раздел Keys на странице claude.ai > Organization settings > API или раздел Admin keys на странице Claude Console > Settings > Admin keys и посмотрите столбец Scopes для ключа.
• Ответы с ошибками. Вызов, превышающий области ключа, возвращает 403 с сообщением в формате Missing required scopes. Got: [<scopes the key carries>] Needed: [<scopes the endpoint requires>]. Полный каталог ошибок см. в разделе Обработка ошибок Compliance API.

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['read:compliance_activities'] Needed: ['read:compliance_user_data']"
  }
}



Управление ключами и их ротация

Удалите Compliance Access Key из той же таблицы Keys, где вы его создали: перейдите на страницу claude.ai > Organization settings > API. Удалите ключ Admin API на странице Claude Console > Settings > Admin keys.

Удаление ключа вступает в силу при следующем запросе: льготного периода нет. Ключи Compliance Access Key не истекают сами по себе.

Чтобы выполнить ротацию ключа без простоя:

1. Создайте новый ключ с теми же областями.
2. Обновите вашу интеграцию для использования нового ключа.
3. Убедитесь, что интеграция успешно работает с новым ключом.
4. Удалите старый ключ.

Курсоры пагинации, сохранённые до ротации, остаются действительными: курсоры привязаны к организации, а не к ключу.

Если произошла утечка Compliance Access Key, немедленно удалите его, проверьте Activity Feed на наличие активностей compliance_api_accessed от скомпрометированного ключа и выполните ротацию всех нижестоящих учётных данных, к которым мог получить доступ утёкший ключ. Передайте activity_types[]=compliance_api_accessed, чтобы ограничить запрос, затем в вашем клиенте оставьте активности, у которых actor.type равен api_actor, а actor.api_key_id совпадает со скомпрометированным ключом; схему актора см. в разделе Структура объекта Activity.



Дальнейшие шаги