Claude Admin APIキーの取得方法とスコープ選択

Claude Admin APIキーはどこで作るか

Admin APIキーは、Admin API・Analytics API・Compliance API・Spend Limits API・Usage and Cost API・Rate Limits APIの認証を担う共通キーです。作成場所は組織の形態で完全に分かれます。Claude Console(platform.claude.com)の組織ならConsole内の管理画面、Claude Enterprise(claude.ai)の組織ならclaude.ai内の管理画面です。

この2つは別物です。片方で作ったキーは、もう片方の組織を管理できません。自社がConsoleとEnterpriseの両方を使っているなら、それぞれで1本ずつ作る必要があります。

Console組織とEnterprise組織、何が違うのか

決定的な違いは3つあります。キーのプレフィックス、作成できる人、そしてスコープの有無です。

Consoleのキーはスコープという概念自体がありません。作成した瞬間に、対応する全エンドポイントへのフルアクセスを持ちます(service-accountとfederation関連のエンドポイントだけは例外で、org:adminスコープ付きのOAuthベアラートークンが必要です)。

Enterpriseのキーはこの逆です。作成時に必要なスコープだけを選び、後から追加することはできません。スコープを増やしたくなったら新しいキーを作り直します。

Console組織でキーを作る手順

1. admin ロールを持つアカウントでサインイン
2. Console > Settings > Admin keysを開く
3. 「Create key」をクリックし、名前と有効期限を選択
4. 表示された `sk-ant-admin01-` から始まるシークレットをコピーし、
   シークレットマネージャーに保存する(表示は1回限り)

Console組織のキーには選択できるスコープがありません。作成した時点で、対応する全エンドポイントに使えます。

Enterprise組織でキーを作る手順とスコープ表

Enterprise組織では、キー作成時に必要なスコープを選びます。組織全体を管理できるのは親組織のprimary ownerだけで、organization ownerが作れるのはCompliance APIのスコープに限定されたキー(自分の組織のみ)です。

1. primary owner(またはCompliance限定ならorganization owner)でサインイン
2. claude.ai > Organization settings > APIを開き、Keysセクションを探す
3. 「+ Create key」をクリックし、名前を付けて必要なスコープを選択
4. 表示された `sk-ant-api01-` から始まるシークレットをコピーし保存する

primary ownerは複数APIのスコープを1本のキーに組み合わせられます。たとえばread:analyticsとread:spend_limitsを同時に付けたキーを作れます。

呼び出したいAPIに応じて選ぶスコープは次の表の通りです。

ComplianceとAnalyticsの各APIは、対応するスコープ付きキーを使う前に組織側で有効化しておく必要があります。有効化していない状態でスコープだけ選んでも呼び出しは失敗します。

キーの使い方と権限不足時の挙動

どちらの組織のキーも、リクエストのx-api-keyヘッダーに渡して使います。

curl "https://api.anthropic.com/v1/organizations/usage_report/claude_code?starting_at=2025-09-08" \
  --header "anthropic-version: 2023-06-01" \
  --header "x-api-key: $ANTHROPIC_ADMIN_KEY"

キーが持つスコープを超える呼び出しをすると、403 Forbiddenが返ります。エラーメッセージには、そのキーが実際に持っているスコープと、呼び出そうとしたエンドポイントが要求するスコープの両方が列挙されるため、不足しているスコープの特定に迷うことはありません。

キー作成で起きやすいつまずき

キー作成そのものは数クリックで終わりますが、実務では次のようなつまずきが繰り返し起きます。

シークレットの表示は1回限りです。作成直後にコピーし忘れてダイアログを閉じると、同じシークレットは二度と表示されません。キーの再表示はできないため、その場でシークレットマネージャーに保存する運用を先に決めておく必要があります。取り直しになるのは、失念したキーを削除して新規作成し直す手間だけでなく、そのキーを使う予定だった連携先の設定もすべて更新し直すことを意味します。

スコープを選んだのにAPIが呼べないというケースの多くは、スコープの選択ミスではなく、AnalyticsやComplianceのAPI自体が組織側で有効化されていないことが原因です。read:analyticsスコープを付けたキーを作っても、Claude Enterprise Analytics API自体が組織で有効化されていなければ呼び出しは失敗します。エラーメッセージがスコープ不足のときと紛らわしいため、まず組織設定側の有効化状態を確認するのが早道です。

ConsoleとEnterpriseを取り違えるのもよくある失敗です。自社がConsoleからEnterpriseへ移行した後も、担当者がブックマークしている旧いConsoleの管理画面でキーを作り続け、Enterprise側の機能(Compliance APIやEnterprise Analytics API)が呼べないと混乱するパターンです。作成場所を間違えると、キーのプレフィックス自体(sk-ant-admin01-かsk-ant-api01-か)が手がかりになります。

admin以外のロールで作成しようとして失敗するのもConsole組織側の定番です。adminロールを持たないメンバーには「Create key」の操作自体が見えないか、実行してもエラーになります。組織のロール管理者に事前に確認しておくと手戻りがありません。

スコープ設計は組織構造の違いを映している

ConsoleキーとEnterpriseキーでスコープの扱いが違う理由は、単なる仕様の非対称ではなく、2つの組織モデルの性格差を反映しています。Console組織はセルフサーブで開発者が直接APIを触る前提のため、キーの粒度を細かく分けるより「adminなら全部触れる」方がシンプルに機能します。一方Enterprise組織は、Compliance APIのような機微なデータへのアクセスを含むため、キーを渡す相手ごとに権限を絞れる設計が要求されます。監査ログ専用のキー、Analyticsダッシュボード連携専用のキーのように、用途で分離しておくと、キーが漏洩したときの被害範囲も自然に限定されます。

どちらのAPIキーを使うべきか

Claude Code Analytics API(1ユーザーあたりのセッション数・行数・コミット・ツール受入率などを見たい場合)はConsole組織のAdmin APIキーが必要です。Claude Enterprise Analytics API(chat・projects・Claude Codeを横断した組織全体のエンゲージメント)はEnterprise組織のAnalytics APIキー(read:analyticsスコープ)を使います。2つのAnalytics APIの使い分けはClaude Analytics API群の使い分けで、Claude Code側の具体的な指標の読み方はClaude Code Analytics APIの使い方で扱います。

Enterprise組織の支出上限運用はClaude Enterpriseの消費管理、法人プラン全体の料金・セキュリティはClaude Enterpriseとはが詳しく扱っています。

スコープを組み合わせる実務パターン

Enterpriseキーは複数のスコープを1本にまとめられるため、実際の運用では役割ごとにキーを分けて発行するのが定石です。よくある組み合わせを3つ挙げます。

Analyticsダッシュボード連携用のキーはread:analyticsだけを付けて発行します。社内BIツールにエンゲージメント・コストデータを流し込むだけなら、メンバー管理や支出上限のスコープは不要です。読み取り専用に絞ることで、キーが漏洩したときの影響範囲を最小化できます。

セキュリティ監査用のキーはread:org_audit単体で足ります。この1スコープだけで、Admin APIのユーザー管理系の読み取りエンドポイントと、Compliance APIの読み取りエンドポイントの全てにアクセスできます。ただしSpend LimitsとAnalyticsは対象外なので、支出やコストの監査も兼ねたい場合はread:spend_limitsとread:analyticsを追加で組み合わせる必要があります。

支出管理の自動化用のキーはread:spend_limitsとwrite:spend_limitsのセットです。増額リクエストの自動承認フローを組む場合など、参照と更新の両方が必要になるためです。単に現在の上限を可視化するだけのダッシュボードならread:spend_limitsのみで十分です。

用途ごとにキーを分ける運用は、Console組織では選べません。Console組織のキーは常に全権限であるため、キーを渡す相手を絞りたい場合でも権限自体を絞ることはできず、渡す人数を絞ることでしか運用上の統制はできない点も覚えておく価値があります。Console組織で複数の連携先にAPIアクセスを渡す必要がある場合は、連携先の数だけキーを発行し、不要になったキーは都度削除する運用でカバーします。キー自体にスコープの粒度がない分、キーのライフサイクル管理(誰にいつ渡し、いつ失効させるか)がConsole組織のセキュリティ統制の実質的な手段になります。

まとめ

Admin APIキーは組織形態(Console / Enterprise)によって作成場所・プレフィックス・スコープの有無が変わります。Consoleはスコープなしの全権限キー、Enterpriseは用途別にスコープを選ぶキーです。Enterpriseでスコープを追加したくなったら、既存キーの編集ではなく新規作成が必要な点を覚えておくと、運用時の手戻りを避けられます。