Elencare organizzazioni, utenti, ruoli, gruppi e impostazioni

Gli endpoint di questa pagina espongono il lato directory di un'organizzazione Claude Enterprise: le sue organizzazioni collegate, gli utenti di ciascuna, i ruoli definiti su ciascuna e i suoi gruppi di "role-based access control" (controllo degli accessi basato sui ruoli), o RBAC, oppure forniti tramite "System for Cross-domain Identity Management" (sistema per la gestione delle identità tra domini), o SCIM, e i relativi membri. Usali per popolare elenchi di utenti per l'eDiscovery, costruire dashboard di reportistica e riconciliare l'appartenenza ai gruppi con un sistema di registrazione esterno. Una Compliance Access Key che copre l'organizzazione padre restituisce dati da ogni organizzazione collegata sottostante, quindi una singola chiave raggiunge l'intero albero. L'endpoint delle impostazioni effettive completa la directory: restituisce le impostazioni di privacy dei dati, sicurezza e funzionalità effettivamente in vigore per una singola organizzazione.

Elencare le organizzazioni

L'endpoint List organizations restituisce ogni organizzazione sotto il padre a cui la chiave è associata.

La chiamata seguente elenca ogni organizzazione sotto il tuo padre. La risposta è un array data di record di organizzazione ordinati per created_at in ordine crescente, più has_more e next_page per la paginazione. Quando has_more è true, ripassa il token next_page restituito, senza modificarlo, come parametro di query page nella richiesta successiva. Consulta List organizations nel riferimento API per i valori predefiniti e gli intervalli dei parametri limit e page.

curl --fail-with-body -sS \
  "https://api.anthropic.com/v1/compliance/organizations" \
  -H "x-api-key: $ANTHROPIC_COMPLIANCE_ACCESS_KEY" \
  -H "anthropic-version: 2023-06-01"

{
  "data": [
    {
      "uuid": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
      "name": "Acme Engineering",
      "created_at": "2025-06-01T10:00:00Z"
    },
    {
      "uuid": "5a1b2c3d-4e5f-6789-abcd-ef0123456789",
      "name": "Acme Legal",
      "created_at": "2025-07-15T14:30:00Z"
    }
  ],
  "has_more": false,
  "next_page": null
}

Il campo uuid è l'identificatore canonico per le ricerche a valle. La tabella seguente lo mette in relazione con gli altri identificatori di organizzazione presenti nella Compliance API:

La maggior parte delle altre API di Anthropic usa la forma con prefisso org_.

Per tracciare nel tempo le modifiche all'appartenenza delle organizzazioni, rielenca periodicamente questo endpoint, seguendo il token next_page attraverso ogni pagina a ogni passaggio. L'Activity Feed espone inoltre gli eventi di appartenenza tramite i tipi di attività org_deletion_requested, org_deleted_via_bulk, org_parent_join_proposal_created e org_join_proposal_decided; consulta Interrogare l'Activity Feed.

Elencare gli utenti dell'organizzazione

L'endpoint List organization users restituisce un elenco paginato di record utente per una singola organizzazione.

Questo endpoint richiede read:compliance_user_data, non read:compliance_org_data. Crea la Compliance Access Key con entrambi gli scope quando intendi usarla per l'enumerazione della directory; altrimenti la chiamata restituisce 403 Forbidden.

Consulta List organization users nel riferimento API per i valori predefiniti e gli intervalli dei parametri di query limit e page.

I risultati sono ordinati per data di ingresso nell'organizzazione in ordine crescente. A differenza dei cursori before_id/after_id dell'Activity Feed (consulta Paginare i risultati), gli endpoint della directory paginano con un token next_page: quando has_more è true, ripassa next_page senza modificarlo come parametro di query page nella richiesta successiva.

org_uuid="91012d09-e48b-438e-a489-1bebfd8fa6f9"

curl --fail-with-body -sS -G \
  "https://api.anthropic.com/v1/compliance/organizations/$org_uuid/users" \
  -H "x-api-key: $ANTHROPIC_COMPLIANCE_ACCESS_KEY" \
  -H "anthropic-version: 2023-06-01" \
  --data-urlencode "limit=500"

{
  "data": [
    {
      "id": "user_01XyDMpzjS89pFZXqSFUBDr6",
      "full_name": "Priya Sharma",
      "email": "priya@example.com",
      "organization_role": "admin",
      "created_at": "2025-06-01T10:00:00Z"
    }
  ],
  "has_more": true,
  "next_page": "page_8aW5kZXgicG9zaXRpb25fdG9rZW5fOTE0"
}

Gli ID utente restituiti qui sono gli stessi identificatori user_... accettati dal filtro actor_ids[] di Interrogare l'Activity Feed e dai filtri user_ids[] su Recuperare chat e messaggi e sull'elenco delle sessioni remote; l'elenco delle sessioni locali non ha un filtro per utente, quindi attribuisci le sessioni locali tramite il campo user.id di ciascun oggetto sessione. Il campo organization_role riporta il livello di appartenenza predefinito dell'utente all'interno dell'organizzazione elencata (uno tra admin, billing, claude_code_user, developer, managed, membership_admin, owner, primary_owner o user), un asse indipendente da qualsiasi assegnazione di ruoli RBAC personalizzati restituita da Elencare i ruoli. Un tipico flusso di eDiscovery elenca gli utenti di una o più organizzazioni, li filtra rispetto ai tuoi record esterni e passa gli ID risultanti alle query su chat e progetti.

Un utente compare qui solo finché è un membro attivo dell'organizzazione. Gli utenti rimossi vengono eliminati dall'elenco immediatamente. La loro attività storica rimane interrogabile tramite l'Activity Feed per l'intera finestra di conservazione, indicizzata dallo stesso ID user_....

Elencare le preferenze utente

L'endpoint GET /v1/compliance/organizations/{org_uuid}/user_preferences restituisce il testo che i membri attuali di un'organizzazione hanno salvato come Instructions for Claude in claude.ai (conversation_preferences) e come Global instructions in Cowork (cowork_global_instructions). Entrambe sono impostazioni a livello di account, quindi lo stesso testo viene restituito in ogni organizzazione a cui appartiene un membro. Questo endpoint è in beta.

Questo endpoint richiede read:compliance_user_data, non read:compliance_org_data; una chiamata con una chiave priva di read:compliance_user_data restituisce 403 Forbidden.

Per impostazione predefinita, la risposta elenca solo i membri che hanno impostato almeno uno dei due valori. Passa include_unset=true per elencare ogni membro attuale, con null per ciascun valore non impostato. Per restituire solo membri specifici, passa fino a 10 ID utente in user_ids[]. I risultati vengono paginati con limit (predefinito 20, massimo 100) e page. Come per l'endpoint degli utenti dell'organizzazione, passa next_page, senza modificarlo, come page; invia inoltre gli stessi valori di include_unset e user_ids[] con ogni pagina, altrimenti la chiamata restituisce 400 Bad Request. Una pagina può contenere meno risultati di limit, o nessuno, e non essere comunque l'ultima, quindi continua a richiedere pagine finché next_page non è null.

org_uuid="91012d09-e48b-438e-a489-1bebfd8fa6f9"

curl --fail-with-body -sS \
  "https://api.anthropic.com/v1/compliance/organizations/$org_uuid/user_preferences" \
  -H "x-api-key: $ANTHROPIC_COMPLIANCE_ACCESS_KEY" \
  -H "anthropic-version: 2023-06-01"

{
  "data": [
    {
      "user": {
        "id": "user_01XyDMpzjS89pFZXqSFUBDr6",
        "email_address": "priya@example.com"
      },
      "conversation_preferences": "Keep answers brief and cite sources.",
      "cowork_global_instructions": null
    }
  ],
  "has_more": false,
  "next_page": null
}

Elencare i ruoli

L'endpoint List Compliance Roles restituisce un elenco paginato di record di ruolo definiti su una singola organizzazione, e Get Compliance Role restituisce un singolo ruolo per ID.

Entrambi gli endpoint dei ruoli richiedono read:compliance_org_data. L'endpoint di elenco accetta gli stessi parametri limit e page dell'endpoint degli utenti dell'organizzazione.

org_uuid="91012d09-e48b-438e-a489-1bebfd8fa6f9"

curl --fail-with-body -sS \
  "https://api.anthropic.com/v1/compliance/organizations/${org_uuid}/roles" \
  -H "x-api-key: $ANTHROPIC_COMPLIANCE_ACCESS_KEY" \
  -H "anthropic-version: 2023-06-01"

{
  "data": [
    {
      "id": "rbac_role_01N2pQrS8tUvWxYz5AbCdEfGh",
      "name": "Compliance Reviewer",
      "description": "Read-only access to chat and project content for legal review.",
      "created_at": "2025-06-01T10:00:00Z",
      "updated_at": "2025-06-15T14:30:00Z"
    }
  ],
  "has_more": false,
  "next_page": null
}

Consulta lo schema di risposta di List Compliance Roles per la forma completa del record di ruolo. Per elencare i permessi attualmente concessi a un ruolo, usa List Compliance Role Permissions. Per verificare le assegnazioni storiche dei ruoli e le modifiche ai permessi, interroga i tipi di attività RBAC (ad esempio, rbac_role_assigned e rbac_role_permission_added) tramite l'Activity Feed; consulta Filtrare le attività.

Elencare gruppi e membri

L'endpoint List Compliance Groups restituisce un elenco paginato di gruppi RBAC e forniti tramite SCIM, e Get Compliance Group restituisce un singolo gruppo per ID. L'endpoint List Compliance Group Members restituisce i membri di un singolo gruppo.

Gli endpoint di elenco e recupero dei gruppi richiedono read:compliance_org_data. L'endpoint dei membri richiede read:compliance_user_data. Crea la chiave con entrambi gli scope per percorrere i gruppi da un capo all'altro. Entrambi gli endpoint di elenco accettano gli stessi parametri limit e page dell'endpoint degli utenti dell'organizzazione.

Consulta lo schema di risposta di List Compliance Groups per la forma completa del record di gruppo. L'array roles elenca gli ID dei ruoli assegnati al gruppo, corrispondenti agli ID di Elencare i ruoli. source_type è il discriminatore tra i gruppi creati manualmente tramite claude.ai (direct) e i gruppi sincronizzati da un identity provider esterno tramite SCIM (scim).

Elenca i gruppi, poi per ciascun gruppo elenca i suoi membri:

curl --fail-with-body -sS -G \
  "https://api.anthropic.com/v1/compliance/groups" \
  -H "x-api-key: $ANTHROPIC_COMPLIANCE_ACCESS_KEY" \
  -H "anthropic-version: 2023-06-01"

{
  "data": [
    {
      "id": "rbac_group_01P9qRsTuVwXyZa2BcDeFgHjK",
      "name": "Engineering",
      "description": "Engineering team members",
      "source_type": "scim",
      "roles": ["rbac_role_01N2pQrS8tUvWxYz5AbCdEfGh"],
      "created_at": "2025-06-01T10:00:00Z",
      "updated_at": "2025-06-15T14:30:00Z"
    }
  ],
  "has_more": false,
  "next_page": null
}

Per ciascun ID di gruppo, elenca i suoi membri:

group_id="rbac_group_01P9qRsTuVwXyZa2BcDeFgHjK"

curl --fail-with-body -sS -G \
  "https://api.anthropic.com/v1/compliance/groups/$group_id/members" \
  -H "x-api-key: $ANTHROPIC_COMPLIANCE_ACCESS_KEY" \
  -H "anthropic-version: 2023-06-01"

{
  "data": [
    {
      "user_id": "user_01XyDMpzjS89pFZXqSFUBDr6",
      "email": "priya@example.com",
      "created_at": "2025-06-01T10:00:00Z",
      "updated_at": "2025-06-15T14:30:00Z"
    }
  ],
  "has_more": false,
  "next_page": null
}

Consulta lo schema di risposta di List Compliance Group Members per la forma completa del record di membro. Il campo user_id è lo stesso identificatore user_... accettato dall'Activity Feed, dall'elenco delle chat e dall'elenco delle sessioni remote; corrisponde inoltre a user.id sugli oggetti delle sessioni locali e sugli oggetti delle sessioni remote di proprietà di un utente (le sessioni remote di proprietà di un agente riportano invece l'ID della persona in started_by_user.id). Per ottenere il nome completo di un membro, cercalo tramite l'elenco degli utenti dell'organizzazione.

Ottenere le impostazioni effettive dell'organizzazione

L'endpoint Get effective organization settings restituisce le impostazioni in vigore per una singola organizzazione sotto il tuo padre: lo stato applicato dopo che sono state considerate le restrizioni normative (come HIPAA), le regole di disponibilità delle funzionalità, i valori predefiniti per tipo di organizzazione e le dipendenze tra funzionalità, che può differire da quanto configurato da un amministratore. Usalo per attestare che le finestre di conservazione, la redazione dei contenuti, l'applicazione del single sign-on, la allowlist IP e i controlli sulla durata delle sessioni corrispondano alla tua baseline documentata, senza accesso da amministratore alla Console.

Questo endpoint richiede read:compliance_org_data; una chiave priva di tale scope restituisce 403 Forbidden. Il target deve essere una delle organizzazioni collegate del padre: l'organizzazione padre stessa non è un target valido. Un'organizzazione sconosciuta, un ID di organizzazione che non è un UUID valido, un'organizzazione al di fuori dell'albero del tuo padre e un'organizzazione padre che non ha ancora accesso a questo endpoint restituiscono tutti lo stesso 404 Not Found, quindi un 404 non rivela se un'organizzazione esiste. L'endpoint delle impostazioni viene abilitato per organizzazione padre separatamente dal resto della Compliance API; se ogni richiesta restituisce 404, contatta il tuo referente Anthropic.

org_uuid="91012d09-e48b-438e-a489-1bebfd8fa6f9"

curl --fail-with-body -sS \
  "https://api.anthropic.com/v1/compliance/organizations/$org_uuid/settings" \
  -H "x-api-key: $ANTHROPIC_COMPLIANCE_ACCESS_KEY" \
  -H "anthropic-version: 2023-06-01"

La risposta è un elenco di righe di impostazione tipizzate, e quali righe compaiono varia in base all'organizzazione: un'impostazione che gli amministratori dell'organizzazione non possono modificare, perché controllata da una policy di Anthropic o non disponibile per l'organizzazione, viene omessa dall'elenco. Tratta una riga mancante come "non controllabile dagli amministratori di questa organizzazione", non come "disattivata". Il seguente esempio abbreviato mostra tre delle righe che una risposta può contenere:

{
  "type": "effective_organization_settings",
  "organization_id": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
  "settings": [
    {
      "name": "data_retention_periods",
      "type": "data_retention",
      "value": {
        "chat": {
          "type": "fixed",
          "timescale": "day",
          "duration": 90
        }
      }
    },
    {
      "name": "content_redaction_enabled",
      "type": "boolean",
      "value": true
    },
    {
      "name": "ip_allowlist_ip_ranges",
      "type": "string_list",
      "value": ["10.0.0.0/8", "203.0.113.0/24"]
    }
  ],
  "api_keys": [
    {
      "type": "compliance_api_key",
      "id": "apikey_01Hx7k2mP9nQ4rS6tU8vW0xY",
      "name": "Compliance Export Key",
      "scopes": ["read:compliance_activities", "read:compliance_org_data"],
      "is_active": true,
      "created_at": "2026-03-14T09:30:00Z",
      "created_by_id": "user_01Jz3a4bC5dE6fG7hI8jK9lM",
      "expires_at": null
    }
  ]
}

Ogni riga contiene name, type e value; il campo type (boolean, integer, string_list, provisioning_mode o data_retention) indica la forma di value. L'elenco completo dei nomi delle impostazioni, e lo schema di value per ciascun tipo, si trova in Get effective organization settings nel riferimento API.

L'array api_keys elenca ogni Compliance Access Key configurata per la tua organizzazione padre, quindi viene restituito lo stesso elenco indipendentemente da quale organizzazione collegata interroghi. Ogni voce contiene il type della chiave (compliance_api_key), id, name, scopes, il flag is_active, i timestamp created_at ed expires_at, e created_by_id (l'ID dell'utente che ha creato la chiave; può essere null). Il valore segreto della chiave non viene mai restituito. Le chiavi disattivate sono incluse con is_active: false in modo che tu possa esaminare le chiavi che in precedenza avevano accesso, e le chiavi che possiedono solo lo scope ritirato read:compliance_org_settings rimangono nell'elenco per visibilità di audit e pulizia, anche se tale scope non concede più l'accesso.

Il campo organization_id di primo livello è l'UUID semplice dell'organizzazione: lo stesso valore di uuid nell'elenco delle organizzazioni, non la forma con prefisso org_ che organization_id assume nei record di Activity Feed, chat e progetti (consulta la tabella degli identificatori di organizzazione).

Le righe riflettono lo stato applicato piuttosto che l'ultima configurazione memorizzata: ad esempio, sso_provisioning_mode riporta una modalità SCIM configurata solo finché la sincronizzazione della directory è abilitata, ip_allowlist_enabled è true solo finché la allowlist è attiva e ha almeno un intervallo attivo, e code_execution_network_egress_enabled è false ogni volta che l'esecuzione del codice è disattivata.

La risposta riflette lo stato al momento della lettura; nulla viene salvato come snapshot. Le modifiche alla maggior parte di queste impostazioni emergono come eventi nell'Activity Feed; usa questo endpoint per lo stato risolto corrente e il feed per verificare chi ha modificato cosa, e quando.

Leggere plugin e marketplace di plugin

I plugin e i marketplace di plugin della tua organizzazione fanno parte dell'Admin API anziché della Compliance API, ma una Compliance Access Key con read:compliance_org_data può chiamare direttamente gli endpoint di lettura della Plugins API:

• Elencare i plugin e recuperare un plugin
• Elencare le versioni di un plugin, recuperare una versione e scaricare i file di una versione
• Elencare le impostazioni di installazione di un plugin e le sue condivisioni
• Elencare i marketplace di plugin e recuperare un marketplace

Invia l'header anthropic-beta: ce-plugins-2026-09-01 in ogni richiesta; senza di esso questi endpoint restituiscono 404 Not Found. Ogni chiamata legge un'organizzazione: una chiave che copre l'organizzazione padre legge l'organizzazione collegata in cui è stata creata, a meno che tu non passi il parametro di query organization_id (l'UUID di un'organizzazione collegata o il suo ID con prefisso org_) per leggerne una diversa, e una chiave limitata a un'organizzazione legge solo quell'organizzazione. Queste chiamate vengono conteggiate nei "rate limits" (limiti di velocità) dell'Admin API, non in quelli della Compliance API.

La creazione o la modifica dei plugin, delle loro impostazioni di installazione o delle impostazioni di un marketplace richiede una chiave Admin API con write:plugins. Tra le chiamate di lettura, solo il download dei file di un plugin nel marketplace personale di un membro registra un evento nell'Activity Feed (claude_plugin_archive_accessed). Consulta la guida alla Plugins API per ciascun endpoint, esempi di richieste e gli eventi registrati dall'API.

Passaggi successivi