设置 Compliance API

Compliance API 使用两种密钥类型，您创建哪一种取决于您的组织使用的 Claude 产品。主要所有者和组织所有者在 claude.ai 中创建 Compliance Access Key；这些密钥可解锁完整的 Compliance API。主要所有者的密钥可以覆盖父组织下的每个组织；组织所有者的密钥仅覆盖其自己的组织。组织管理员在 Claude Console 中创建 Admin API 密钥；这些密钥仅解锁 Activity Feed。



您需要哪种密钥？

Claude Enterprise 租户有一个父组织，它为其下的每个工作负载组织集中管理身份、SSO 和 SCIM。这些工作负载组织是父组织的关联组织。



设置 Compliance API

设置是一个连贯的流程：为您的组织启用 Compliance API，然后在 claude.ai 中创建 Compliance Access Key。Claude Console 组织则在启用后创建 Admin API 密钥；Admin API 密钥仅能访问 Activity Feed。



创建 Admin API 密钥

按照创建 Admin API 密钥中的步骤操作，然后将密钥设置为环境变量：

export ANTHROPIC_ADMIN_KEY=sk-ant-admin01-...

使用不同的变量名可以防止 Admin API 密钥覆盖 Compliance Access Key（如果您同时配置了两者）。本指南中的 cURL 示例从 $ANTHROPIC_COMPLIANCE_ACCESS_KEY 读取密钥；使用 Admin API 密钥调用 Activity Feed 时，请替换为 $ANTHROPIC_ADMIN_KEY。

Admin API 密钥仅在创建密钥时组织已启用 Compliance API 的情况下才带有 read:compliance_activities 范围；请参阅设置 Compliance API。它们无法被授予任何其他 Compliance API 范围，因此调用 Activity Feed 以外的任何端点都会返回 403 Forbidden。

有关同一密钥在管理 Claude Console 组织中的作用，请参阅 Admin API。



检查密钥的范围

要检查您已有密钥的范围，请使用以下方法之一。

• 密钥前缀。 sk-ant-admin01- 是 Admin API 密钥（仅带有 read:compliance_activities，受前一节所述的启用时间限制）。sk-ant-api01- 是 Compliance Access Key；其范围是您在创建时选择的子集。
• 设置界面。 打开 claude.ai > Organization settings > API 中的 Keys 部分，或 Claude Console > Settings > Admin keys 中的 Admin keys 部分，查看该密钥的 Scopes 列。
• 错误响应。 超出密钥范围的调用会返回 403，消息格式为 Missing required scopes. Got: [<scopes the key carries>] Needed: [<scopes the endpoint requires>]。有关完整的错误目录，请参阅处理 Compliance API 错误。

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['read:compliance_activities'] Needed: ['read:compliance_user_data']"
  }
}



管理和轮换密钥

从创建 Compliance Access Key 的同一个 Keys 表中删除它：前往 claude.ai > Organization settings > API。从 Claude Console > Settings > Admin keys 删除 Admin API 密钥。

删除密钥会在下一次请求时生效：没有宽限期。Compliance Access Key 不会自行过期。

要在不中断服务的情况下轮换密钥：

1. 创建具有相同范围的新密钥。
2. 更新您的集成以使用新密钥。
3. 验证集成使用新密钥成功运行。
4. 删除旧密钥。

轮换前存储的分页游标仍然有效：游标的作用域是组织，而不是密钥。

如果 Compliance Access Key 泄露，请立即删除它，审计 Activity Feed 中由被泄露密钥产生的 compliance_api_accessed 活动，并轮换泄露密钥可能触及的任何下游凭据。传递 activity_types[]=compliance_api_accessed 以限定查询范围，然后在您的客户端中，保留 actor.type 为 api_actor 且 actor.api_key_id 与被泄露密钥匹配的活动；有关 actor 架构，请参阅了解 Activity 对象。



后续步骤