Claude Admin APIキーの取得方法とスコープ選択

Claude Admin APIキーはどこで作るか

Console組織はConsoleの「Settings > Admin keys」でsk-ant-admin01-のキーを作ります。Enterprise組織はclaude.aiの「Organization settings > API」でsk-ant-api01-のキーを作ります。Consoleのキーにスコープはなく、Enterpriseのキーは作成時にスコープを選びます。

管理系のAPIは、組織の形態ごとに専用のキーで認証します。Console組織はAdminキー(Admin API・Usage and Cost API・Rate Limits API・Claude Code Analytics API・Activity Feed)、Enterprise組織は作成時に選んだスコープのキー(メンバー管理・Compliance API・Enterprise Analytics API・Spend Limits API)です。

この2つは別物です。片方で作ったキーは、もう片方の組織を管理できません。自社がConsoleとEnterpriseの両方を使っているなら、それぞれで1本ずつ作る必要があります。

例外が1つあります。Admin APIのservice-account・federation-issuer・federation-ruleの各エンドポイントは、Adminキーでは呼べません。org:adminスコープ付きのOAuthベアラートークンだけを受け付けます。

どのキーが必要か、状況から選ぶ

「Admin APIキー」と呼ばれるものは、実際には組織の形態とAPIによって別のキーに分かれます。公式ページはキーの種類を次のように区別しています。

claude.aiで作るキーはどれもsk-ant-api01-で始まり、使えるAPIは作成時に選んだスコープで決まります。Compliance Access KeyとAnalyticsキーという呼び分けは、付けたスコープによる区別です。

状況別の選び方は次のとおりです。

• Claude Codeの利用状況(セッション数・コミット数など)をConsole組織で取りたい: Adminキー。
• Enterprise組織の全体エンゲージメントを取りたい: Analyticsキー(read:analytics)。Adminキーではこちらを呼べず、逆にAnalyticsキーでAdmin APIは呼べません。
• 監査ログだけ取りたい: Console組織ならAdminキーのActivity Feedで足ります。チャットやファイルの内容まで必要なら、Enterprise側のCompliance Access Keyが要ります。
• メンバー管理をAPIで自動化したい: Console組織ならAdminキー、Enterprise組織ならread:membersやwrite:membersを付けたキー。
• 支出上限(Spend Limits API)を自動化したい: Enterprise組織のread:spend_limitsやwrite:spend_limits付きのキー。Adminキーの対応APIにSpend Limits APIは含まれません。

なお、Claude Enterpriseの親組織はConsoleには表示されません。親組織にはワークロードもAPIキーもAdminキーも存在しないため、Enterpriseのキーは必ずclaude.aiのOrganization settingsから作ります。

Console組織とEnterprise組織、何が違うのか

決定的な違いは3つあります。キーのプレフィックス、作成できる人、そしてスコープの有無です。

Consoleのキーはスコープという概念自体がありません。作成した瞬間に、Adminキーを受け付ける全エンドポイントへのフルアクセスを持ちます(Activity Feedだけは、後述のとおりCompliance APIの有効化時期に左右されます)。

Enterpriseのキーはこの逆です。作成時に必要なスコープだけを選び、後から追加することはできません。スコープを増やしたくなったら新しいキーを作り直します。

Console組織でキーを作る手順

有効期限は、Consoleで通常のAPIキーを作るときと同じ選択肢から選びます。3時間・1日・7日・30日のプリセットか任意の期間、または「Never」です。組織に有効期限の上限ポリシーがあると、選択肢は上限までに絞られ、「Never」は選べません。

期限は作成後に変更できません。期限切れのキーは401 authentication_errorを返し、再有効化もできません。

Enterprise組織でキーを作る手順とスコープ表

Enterprise組織では、キー作成時に必要なスコープを選びます。親組織のprimary ownerは、全リンク組織にまたがるキーも、単一の組織に絞ったキーも作れます。organization ownerが作れるのはCompliance APIのスコープだけを持つキーで、対象は自分の組織に限られます。

primary ownerは複数APIのスコープを1本のキーに組み合わせられます。たとえばread:analyticsとread:spend_limitsを同時に付けたキーを作れます。

呼び出したいAPIに応じて選ぶスコープは次の表のとおりです。

write:membersスコープを使ったメンバー管理の自動化手順はClaude Admin APIでシート・メンバー管理を自動化するにまとめています。

スコープを選んだのに呼べないとき

スコープが足りているのに呼び出しが失敗するときは、先に組織側の有効化を疑います。ComplianceとAnalyticsの各APIは、対応するスコープ付きキーを使う前に組織で有効化しておく必要があります。有効化していない状態でスコープだけ選んでも使えません。

有効化の場所は組織の形で変わります。

• Enterprise組織のCompliance API: primary ownerがclaude.ai > Organization settings > APIで有効化します。設定は親組織から全リンク組織に伝わります。
• 単独のConsole組織のCompliance API: adminがConsole > Settings > Securityの「Compliance API」トグルをオンにします。トグルは自己サービスで有効化できる組織にだけ表示されます。見当たらないときは、adminロールが無い・親組織にリンクされている・対象外のいずれかです。
• 親組織にリンクされたConsole組織: Console側で操作できる項目はなく、親組織のprimary ownerに依頼します。
• Enterprise Analytics API: primary ownerがclaude.aiのAPI設定で公開APIアクセスを有効にしてから、Analyticsキーを作ります。

Console組織のAdminキーには、もう1つ条件があります。Activity Feedの権限(read:compliance_activities)が付くのは、Compliance APIを有効化したあとに作ったキーだけです。有効化より前に作ったキーではActivity Feedを読めないので、有効化したあとにAdminキーを作り直します。

なお、AdminキーにはActivity Feed以外のCompliance APIスコープを付けられません。作成時期にかかわらず、それ以外のエンドポイントを呼ぶと403 Forbiddenになります。

Compliance APIには注意点がもう1つあります。トグルをオフにすると、その間は組織のアクティビティイベントが記録されません。Activity Feedにも新しいイベントが入らなくなります。

オフの間に記録されなかったイベントは、後から復元できません。オンに戻すとその時点から記録が再開し、記録済みのイベントは消えません。止めるときは監査要件との兼ね合いを先に確認します。

キーの使い方と権限不足時の挙動

どちらの組織のキーも、リクエストのx-api-keyヘッダーに渡して使います。

curl "https://api.anthropic.com/v1/organizations/usage_report/claude_code?starting_at=2025-09-08" \
  --header "anthropic-version: 2023-06-01" \
  --header "x-api-key: $ANTHROPIC_ADMIN_KEY"

キーが持つスコープを超える呼び出しをすると、403 Forbiddenが返ります。メッセージには、そのキーが持つスコープと、エンドポイントが要求するスコープが並ぶので、不足分は読めばわかります。

キー作成で起きやすいつまずき

シークレットの表示は1回限りです。ダイアログを閉じると同じ値は再表示できないため、コピーの前にダイアログを閉じてしまうと、キーを削除して作り直すことになります。そのキーを使う予定だった連携先の設定も、新しい値に更新し直しです。

Consoleでキーを作れない場合は、adminロールがあるかを先に見ます。公式が作成権限を与えているのはadminロールのメンバーだけです。

モデル呼び出し用の通常のAPIキー(sk-ant-api03-)は、Console > Settings > API keysで作る別のキーです。作成時に、自分名義の個人キーか、サービスアカウントのキーかを選びます。Admin APIに含まれるUsage and Cost APIは、ワークスペースに限定していない個人キーやサービスアカウントキーでも呼べます。通らないのはワークスペースに限定したキーです。Claude Enterprise Analytics APIとCompliance APIはclaude.aiで作る別のキー(sk-ant-api01-)が必要で、sk-ant-api03-のキーでは呼べません。

取り違えが疑われるときは、手元のキーのプレフィックスを見ます。sk-ant-admin01-ならConsole側、sk-ant-api01-ならclaude.aiで作ったキーです。管理系のAPIが通らないときは、キーがワークスペースに限定されていないかも見ます。Enterprise AnalyticsやComplianceにsk-ant-api03-のキーを渡している取り違えも、プレフィックスで見分けられます。

また、Compliance Access Keyは機微なデータに届きます。read:compliance_user_dataを持つキーは、リンク組織すべてのチャット・ファイル・プロジェクト・セッションの会話記録を読めます。primary ownerがまだ見ていない内容も含まれます。delete:compliance_user_dataを持てば、チャットやファイルを恒久的に削除できます。ソース管理やSIEM転送ツールの設定ファイルには置かず、本番データベースの認証情報と同じ扱いにします。

Console組織はキーを分けても権限を絞れない

渡す相手に合わせてConsoleのキーの権限を絞ることはできないので、統制の手段は「誰に渡すか」と「いつ失効させるか」に限られます。連携先ごとにキーを発行し、不要になったキーは削除する運用が現実的です。有効期限を設定しておけば、漏洩した場合でも資格情報の寿命を制限できます。

一方、Enterpriseのキーは、Compliance APIのように機微なデータへ届く経路があるぶん、用途で分離できる設計になっています。監査ログ専用、Analyticsダッシュボード専用といった具合に分けておけば、1本が漏れても影響範囲が限られます。実際に漏洩が疑われたときの無効化の流れはClaude APIキーの漏洩が疑われるときの無効化手順と管理にあります。

用途別のスコープの組み合わせ

Enterpriseキーは複数のスコープを1本にまとめられますが、役割ごとに分けて発行する形がいちばん事故を小さくします。

2つのAnalytics APIで使うキー

Claude Code Analytics API(1ユーザーあたりのセッション数・行数・コミット・ツール受入率など)はConsole組織のAdminキーを使います。Claude Enterprise Analytics APIは、chat・projects・Claude Codeなどを横断して、組織全体のエンゲージメント・アダプション・コストを返します。こちらはEnterprise組織のAnalyticsキー(read:analytics)を使います。両者は別のAPIで、キーに互換性はありません。使い分けはClaude Analytics API群の使い分けで、Claude Code側の指標の読み方はClaude Code Analytics APIの使い方で扱います。

Enterprise組織の支出上限運用はClaude Enterpriseの消費管理、法人プラン全体の料金・セキュリティはClaude Enterpriseとはが詳しく扱っています。

まとめ

Enterpriseのスコープは作成後に追加できないため、使う予定のAPIを書き出してからキーを切ると作り直しが減ります。Console組織は権限を絞れない前提で、渡す相手と期限を管理する運用になります。