Настройка Compliance API

Compliance API использует два типа ключей, и то, какой из них вы создаёте, зависит от того, какой продукт Claude использует ваша организация. Основные владельцы и владельцы организаций создают Compliance Access Keys (ключи доступа для соответствия требованиям) в claude.ai; эти ключи открывают доступ ко всему Compliance API. Ключ основного владельца может охватывать все организации в рамках родительской организации; ключ владельца организации охватывает только его собственную организацию. Администраторы организаций создают ключи Admin API в Claude Console; эти ключи открывают доступ только к Activity Feed (ленте активности).

Какой ключ вам нужен?

Тенант Claude Enterprise имеет одну родительскую организацию, которая централизует управление идентификацией, SSO и SCIM для каждой рабочей организации под ней. Эти рабочие организации являются связанными организациями родительской организации.

Настройка Compliance API

Настройка представляет собой единый процесс: включите Compliance API для вашей организации, затем создайте Compliance Access Key в claude.ai. Организация Claude Console вместо этого создаёт ключ Admin API после включения; ключи Admin API имеют доступ только к Activity Feed.

1. 1

   Включите Compliance API

   Где именно включается Compliance API, зависит от того, как настроена ваша организация:

   • Организации Claude Enterprise: основной владелец включает Compliance API в разделе claude.ai > Organization settings > API. Включение происходит на уровне родительской организации и распространяется на каждую связанную организацию — как claude.ai, так и Claude Console.
   • Автономные организации Claude Console: администратор организации включает переключатель Compliance API на странице Compliance (platform.claude.com/settings/security) в Claude Console. Для соответствующих требованиям организаций включение выполняется самостоятельно, и изменение вступает в силу немедленно. Если на странице отображается ошибка «страница не найдена» или не отображается раздел Compliance API, значит, у вас нет роли администратора, ваша организация связана с родительской организацией (в этом случае Compliance API включается из родительской организации) или ваша организация не соответствует требованиям для самостоятельного включения; если вы не уверены, какой из вариантов применим, обратитесь к вашей аккаунт-команде или в службу поддержки Anthropic.
   • Организации Claude Console, связанные с родительской организацией: в Claude Console ничего включать не нужно. Попросите основного владельца вашей родительской организации включить Compliance API в claude.ai или обратитесь к вашей аккаунт-команде.

   Автономная организация Claude Console использует ключи Admin API, а не Compliance Access Keys: после включения пропустите оставшиеся шаги и вместо этого создайте новый ключ Admin API. Оставшиеся шаги предназначены для создания Compliance Access Keys, которые доступны только организациям, входящим в тенант Claude Enterprise.

2. 2

   Определите область действия ключа

   Доступ ключа задаётся при его создании. Решите, какие организации охватывает ключ:

   • Ключ для родительской организации может получать доступ к каждой организации в рамках родительской организации.
   • Ключ для одной организации может получать доступ только к этой организации.
3. 3

   Войдите с соответствующей ролью

   Войдите в claude.ai. Основной владелец родительской организации может создать ключ с любой из двух областей действия. Владелец организации может создать ключ, ограниченный только его собственной организацией.

   Если страница API, описанная в следующем шаге, не отображается или области соответствия (compliance scopes) недоступны при создании ключа, значит, либо ваша роль не позволяет создавать Compliance Access Keys, либо Compliance API ещё не включён для вашей организации (вернитесь к первому шагу).

4. 4

   Откройте настройки API

   Перейдите в claude.ai > Organization settings > API и найдите раздел Keys.

5. 5

   Создайте ключ

   Нажмите Create key, задайте имя ключа и выберите одну или несколько областей (scopes) из следующей таблицы. Нажмите Create.

   Область	Предоставляет
   read:compliance_activities	Чтение Activity Feed. Ключ, охватывающий родительскую организацию, читает события для родительской организации и всех связанных организаций.
   read:compliance_user_data	Чтение пользовательских чатов, сообщений, файлов, проектов, метаданных и транскриптов сессий, пользователей организации, пользовательских настроек и участников групп
   delete:compliance_user_data	Удаление пользовательских чатов, файлов и проектов
   read:compliance_org_data	Чтение метаданных организации (названий, типов, ролей и групп) и действующих настроек для организаций в рамках родительской организации. Для списков пользователей и состава групп требуется read:compliance_user_data.

   С Plugins API область read:compliance_org_data также позволяет читать через Admin API перечень плагинов и маркетплейсов плагинов вашей организации, включая личные плагины участников и их файлы. Этот перечень идентифицирует участников: он содержит идентификатор пользователя каждого участника, который владеет плагином или создал его либо которому доступ к плагину был предоставлен в индивидуальном порядке, а также адрес электронной почты создателя плагина, пока он остаётся участником; см. Чтение плагинов и маркетплейсов плагинов.

   Выберите минимальный набор областей, необходимый вашей интеграции:

   • Конвейеру аудита, который только читает Activity Feed, нужна лишь область read:compliance_activities.
   • Инструменту eDiscovery, который читает чаты и файлы, но никогда их не удаляет, не нужна область delete:compliance_user_data.
   • Если ваш рабочий процесс и читает, и удаляет данные, используйте два ключа с раздельными областями, чтобы утечка ключа для чтения не позволила удалить данные.

   Области Compliance Access Key неизменяемы после создания. Чтобы изменить области, создайте новый ключ с нужными областями, затем удалите старый.

6. 6

   Скопируйте и сохраните секрет

   Скопируйте отображённый секретный ключ (начинающийся с sk-ant-api01-) и сохраните его в вашем менеджере секретов. Полный секрет отображается только один раз.

7. 7

   Экспортируйте ключ для примеров в этом руководстве

   Задайте ключ как переменную окружения, чтобы примеры для командной оболочки в этом руководстве могли его прочитать:

   export ANTHROPIC_COMPLIANCE_ACCESS_KEY=sk-ant-api01-...

   

Создание ключа Admin API

Выполните шаги из раздела Создание ключа Admin API, затем задайте ключ как переменную окружения:

export ANTHROPIC_ADMIN_KEY=sk-ant-admin01-...

Отдельное имя переменной не позволяет ключу Admin API перезаписать Compliance Access Key, если вы создаёте оба. Примеры cURL в этом руководстве читают ключ из $ANTHROPIC_COMPLIANCE_ACCESS_KEY; подставьте $ANTHROPIC_ADMIN_KEY при обращении к Activity Feed с ключом Admin API.

Ключи Admin API имеют область read:compliance_activities только в том случае, если Compliance API был включён для организации на момент создания ключа; см. Настройка Compliance API. Им нельзя предоставить никакую другую область Compliance API, поэтому вызовы любой конечной точки, кроме Activity Feed, возвращают 403 Forbidden.

О роли того же ключа в управлении вашей организацией Claude Console см. Admin API.

Проверка областей вашего ключа

Чтобы проверить области уже имеющегося у вас ключа, используйте один из следующих признаков.

• Префикс ключа. sk-ant-admin01- — это ключ Admin API (имеет только read:compliance_activities с учётом момента включения, описанного в предыдущем разделе). sk-ant-api01- — это Compliance Access Key; его области действия — это подмножество, выбранное вами при создании.
• Интерфейс настроек. Для Compliance Access Key откройте раздел Keys в claude.ai > Organization settings > API и посмотрите столбец Scopes для ключа. Ключи Admin API, перечисленные на странице Admin keys (platform.claude.com/settings/admin-keys) в Claude Console, не имеют выбираемых областей действия.
• Ответы с ошибками. Вызов, выходящий за пределы областей действия ключа, возвращает 403 с сообщением в формате Missing required scopes. Got: [<scopes the key carries>] Needed one of: [<scopes the endpoint accepts>] (Needed: [...] для конечных точек удаления). Полный каталог ошибок см. в разделе Обработка ошибок Compliance API.

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['read:compliance_activities'] Needed one of: ['read:compliance_user_data', 'read:org_audit']"
  }
}

Управление ключами и их ротация

Удаляйте Compliance Access Key в той же таблице Keys, где вы его создали: перейдите в claude.ai > Organization settings > API. Удаляйте ключ Admin API на странице Admin keys (platform.claude.com/settings/admin-keys) в Claude Console.

Удаление ключа вступает в силу при следующем запросе: льготного периода нет. Compliance Access Keys не истекают сами по себе.

Чтобы выполнить ротацию ключа без простоя:

1. Создайте новый ключ с теми же областями.
2. Обновите вашу интеграцию, чтобы она использовала новый ключ.
3. Убедитесь, что интеграция успешно работает с новым ключом.
4. Удалите старый ключ.

Курсоры пагинации, сохранённые до ротации, остаются действительными: курсоры привязаны к организации, а не к ключу.

Если произошла утечка Compliance Access Key, немедленно удалите его, проверьте Activity Feed на наличие активностей compliance_api_accessed со стороны скомпрометированного ключа и выполните ротацию всех нижестоящих учётных данных, к которым мог получить доступ утёкший ключ. Передайте activity_types[]=compliance_api_accessed, чтобы ограничить запрос, затем в вашем клиенте оставьте активности, у которых actor.type равен api_actor, а actor.api_key_id совпадает со скомпрометированным ключом; схему actor см. в разделе Структура объекта Activity.

Следующие шаги