Claude Media
Claude Compliance APIキーの作成手順 — Access Keyとスコープの選び方
Claudeチュートリアル

Claude Compliance APIキーの作成手順 — Access Keyとスコープの選び方

Claude Compliance APIのキーは、Enterpriseならclaude.aiでCompliance Access Key、単体のConsoleならAdmin API keyを作ります。有効化とスコープの選び方も示します。

読了目安 約11分

Compliance APIとは何をするAPIか

Compliance APIは、組織のChatやファイル、プロジェクト、セッションを、セキュリティ・法務・コンプライアンス担当者が扱うための管理者向けAPIです。読み取りに加えて、Chat・ファイル・プロジェクトを削除できます。アクティビティの監査、コンテンツの取得と削除、下流ツールへのイベント連携に使います。

Claudeで「Compliance APIキー」や「Access Key」と呼ばれるものは、実体が2種類あります。Claude Enterpriseなら、claude.aiの「Organization settings > API」で作るsk-ant-api01-始まりのCompliance Access Keyです。単体のClaude Consoleなら、「Settings > Admin keys」で作るsk-ant-admin01-始まりのAdmin API keyです。

使い始めるには、組織でCompliance APIを有効化し、権限を持つキーを作る必要があります。作るキーは組織の形態で決まります。Claude Enterpriseの組織は、claude.aiでCompliance Access Keyを作ります。Chat・ファイル・プロジェクト・セッション・ユーザー一覧まで、すべてのエンドポイントに届きます。単体のClaude Console組織はAdmin API keyを作りますが、使えるのはActivity Feed(組織全体の操作イベント一覧)だけです。

自分の組織ではどのキーを作るか

くらべる

Compliance APIで作る2種類のキー

Claude Enterprise

Compliance Access Key

claude.aiの親組織で作ります。スコープは作成時に選びます。

単体のClaude Console

Admin API key

Claude Consoleで管理者ロールのメンバーが作ります。スコープは選べず、Admin APIキーを受け付ける全エンドポイントにフルアクセスを持ちます。作成時に有効期限を選べます。

Compliance API絡みで名前が似たキーは4種類あります。作成場所と用途は次のとおりです。

キー種別作成場所主な用途Compliance APIとの関係
Compliance Access Key(sk-ant-api01-...)作成場所claude.ai > Organization settings > API主な用途Chat・ファイル・プロジェクト・セッション・ユーザー・組織設定Compliance APIとの関係全エンドポイントに対応
Admin API key(sk-ant-admin01-...)作成場所Claude Console > Settings > Admin keys主な用途Admin APIとCompliance APIのActivity FeedCompliance APIとの関係Activity Feedのみ
Analytics APIキー作成場所claude.ai > Organization settings > API主な用途Claude Enterprise Analytics APICompliance APIとの関係対応しない
Claude APIキー(sk-ant-api03-...)作成場所Claude Console > Settings > API keys主な用途Claudeモデルの呼び出しCompliance APIとの関係対応しない

Claude Enterpriseのテナントには識別・SSO・SCIMを集約する親組織が1つあり、その配下にリンク組織(claude.ai組織とClaude Console組織)がぶら下がります。親組織はClaude Console(platform.claude.com)には表示されません。親組織はワークロードを持たないため、Compliance Access Keyはclaude.aiの組織設定で作ります。

Compliance APIを有効化する

有効化の場所は組織の構成によって変わります。

  • Claude Enterprise組織: 親組織のPrimary Ownerがclaude.aiの「Organization settings > API」で有効化します。親組織レベルで有効化すると、claude.ai・Claude Console両方のリンク組織すべてに反映されます。
  • 単体のClaude Console組織: 組織のAdmin(管理者ロール)が「Claude Console > Settings > Security」のCompliance APIトグルをオンにします。対象組織ではセルフサービスで即座に反映されます。トグルが見当たらない場合は、管理者ロールを持っていない、親組織にリンクされている(その場合は親組織側で有効化する)、またはセルフサービス対象外のいずれかです。
  • 親組織にリンクされたClaude Console組織: 自組織側でオンにする操作はありません。親組織のPrimary Ownerに依頼します。

Compliance Access Keyを作成する(Claude Enterprise)

手順

claude.aiでキーを作る流れ

  1. 1

    作るキーの対象組織を決める

    親組織向けのキーは配下の全組織に届き、単一組織向けのキーはその組織だけに届きます。キーの対象は作成時に決まります。

  2. 2

    対応するロールでサインインする

    親組織のPrimary Ownerは、どちらの対象のキーも作れます。Organization Ownerが作れるのは、自組織限定でCompliance APIスコープだけを持つキーです。

  3. 3

    Organization settings > APIを開く

    claude.aiで「Organization settings > API」を開き、Keysセクションを探します。ここに「API」ページ自体が見えない、またはCompliance系のスコープが選べないときは、ロールが足りないか、Compliance APIが未有効化です。

  4. 4

    キーに名前を付けてスコープを選ぶ

    「Create key」を押し、名前を付けて1つ以上のスコープを選び、「Create」を押します。

  5. 5

    シークレットを保存する

    表示されたsk-ant-api01-で始まるシークレットをシークレットマネージャーに保存します。全文が表示されるのは1回だけです。

選べるスコープは次のとおりです。最小のスコープ集合を選ぶのが原則で、読み取りと削除を両方使うワークフローではキーを2本に分ける選択肢もあります。漏洩した読み取り専用キーが削除まで実行できてしまう事態を避けられます。

スコープ付与される権限
read:compliance_activities付与される権限Activity Feedの読み取り
read:compliance_user_data付与される権限Chat・メッセージ・ファイル・プロジェクト・セッションのメタデータとトランスクリプト・組織ユーザー・グループメンバーの読み取り
delete:compliance_user_data付与される権限Chat・ファイル・プロジェクトの削除
read:compliance_org_data付与される権限組織メタデータ(名前・種別・ロール・グループ)と有効設定の読み取り。ユーザー一覧とグループメンバーにはread:compliance_user_dataが必要
read:org_audit付与される権限Compliance APIの読み取りエンドポイントすべてと、Admin APIのユーザー管理の読み取り。Spend Limits APIとAnalytics APIは含まない

read:org_auditはclaude.aiで作るキーの共通スコープで、上の4つとは別に選べます。セキュリティ監査用の連携で、読み取りだけを1つのスコープにまとめたいときの選択肢です。

スコープはキー作成時に確定し、作成後の変更はできません。範囲を広げたいときは、新しいスコープを持つキーを作り直してから旧キーを削除します。かつて存在したread:compliance_org_settingsは2026年6月30日に廃止され、新しいキーでは選べません。このスコープだけを持つ旧キーは、組織設定エンドポイントで403になります。

取得したシークレットは、後続のcURLサンプルが読めるように環境変数へ渡しておきます。

export ANTHROPIC_COMPLIANCE_ACCESS_KEY=sk-ant-api01-...

Admin API keyを作成する(単体のClaude Console)

単体のClaude Console組織は、Compliance APIの有効化後にAdmin API keyを作成します。Claude Consoleの「Settings > Admin keys」を開き、管理者ロールのメンバーが「Create key」で作ります。Compliance APIに固有の追加操作はありません。

Claude Consoleのキーにはスコープの選択肢がありません。Activity Feedを読むだけの用途でも、漏洩時の影響はCompliance APIの範囲にとどまりません。

export ANTHROPIC_ADMIN_KEY=sk-ant-admin01-...

変数名をCompliance Access Keyと分けておくと、両方を発行した組織で片方が片方を上書きする事故を防げます。

Admin API keyがread:compliance_activitiesスコープを持つのは、キー作成時点でCompliance APIが有効化されていた場合だけです。有効化前に作ったAdmin API keyはこのスコープを持たず、Activity Feedへの呼び出しも403になります。作り直しが必要です。Admin API keyには他のCompliance APIスコープを追加できず、Activity Feed以外のエンドポイントを叩くと常に403 Forbiddenが返ります。

エラーの返り方から原因を逆引きする

Compliance APIのエラーは、ステータスコードごとに原因の層が違います。キーの種別・スコープ・有効化の3層を、次の順で疑います。

ステータス返る場面確認すること
400返る場面キーは有効だが、組織でCompliance APIが無効(Compliance API is not enabled for this organization)確認すること有効化の手順、またはオフにされていないか
401返る場面提示したsk-ant-api01-またはsk-ant-admin01-のキーが認証を通らない(無効・無効化済み・期限切れ)確認することキーが削除・失効していないか
403返る場面有効なキーだが、エンドポイントが受け付けるスコープを持たない確認することメッセージのGot:とNeeded one of:
404(本文Not found)返る場面キー未送信、またはClaude APIキー(sk-ant-api03-)など別種のキー確認することx-api-keyヘッダーとキーのプレフィックス

例外は組織設定のエンドポイントです。キー未送信やClaude APIキーでも、404でなく401を返します。それ以外のエンドポイントでClaude APIキーを使うと、401や403ではなく404が返るので紛らわしくなります。ステータスの判定はメッセージ文字列でなくHTTPステータスとerror.typeで行うのが公式の前提で、メッセージは将来言い回しが変わりえます。

キーのスコープを確認する

手元のキーがどのスコープを持つかは、次の3つの手がかりで判断できます。

  1. キーのプレフィックス: sk-ant-admin01- はAdmin API key(常にread:compliance_activitiesのみ、有効化タイミングの条件つき)、sk-ant-api01- はCompliance Access Key(作成時に選んだスコープの組み合わせ)
  2. 設定画面: claude.aiの「Organization settings > API」のKeysセクション、またはClaude Consoleの「Settings > Admin keys」でScopes列を確認
  3. エラーレスポンス: スコープ不足の呼び出しは403で、Got: に手持ちのスコープ、Needed one of: にエンドポイントが受け付けるスコープが列挙される
{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['read:compliance_activities'] Needed one of: ['read:compliance_user_data', 'read:org_audit']"
  }
}

読み取りエンドポイントでは、列挙されたスコープのどれか1つがあれば通ります。削除エンドポイントだけはNeeded one of:でなくNeeded:の形で返ります。このメッセージだけで、設定画面を開き直さなくてもキーの持ちスコープを把握できます。

キーの削除とローテーション

Compliance Access Keyの削除はclaude.aiの「Organization settings > API」の同じKeysテーブルから、Admin API keyの削除はClaude Consoleの「Settings > Admin keys」から行います。削除は次のリクエストから即座に効き、猶予期間はありません。Compliance Access Keyは自動失効しないため、ローテーションは運用側の責任になります。

ダウンタイムなしでローテーションする手順は次の4ステップです。

  1. 同じスコープの新しいキーを作成する
  2. 連携先の設定を新しいキーに切り替える
  3. 新しいキーで動作確認する
  4. 旧キーを削除する

ページネーションカーソルは組織に紐づいており、キーには紐づいていません。ローテーション前に発行したカーソルは、ローテーション後も引き続き有効です。

キーが漏洩した場合は、直ちに削除したうえでActivity Feedをcompliance_api_accessedアクティビティで絞り込み、漏洩したキーによるアクセス痕跡を洗い出します。activity_types[]=compliance_api_accessedでクエリを絞り、レスポンス中のactor.typeがapi_actorでactor.api_key_idが漏洩キーと一致するものだけを残す形で照合します。漏洩したキーが届いた範囲の下流の認証情報も、あわせてローテーションの対象です。

まとめ

最初に決める判断は、読み取りだけの連携と削除する連携でキーを分けるかどうかです。

Compliance Access Keyの発行が終わったら、Compliance APIでチャット・ファイル・プロジェクトを取得・削除する手順、またはCompliance APIでローカル/リモートのセッション文字起こしを取得する手順に進めます。組織のロール(Primary Owner・Organization Owner・Admin)の権限差はTeam/Enterpriseの権限ロール一覧にまとめています。Compliance APIとは別物の、Organization settingsから直接CSVを落とす監査ログ機能はClaude監査ログの見方を参照してください。

この記事を共有:XはてブLinkedIn

関連する記事

Claude をもっと見る →