API key management

API キーは Claude Console で生成する静的なシークレットで、リクエストのたびに Authorization ヘッダーで bearer token として送ります。キーを作成するときに種類を選びます。種類によって、そのキーでできること、使える範囲、使えなくなる時期が決まります。API キーの発行、有効期限の設定、アカウント単位での権限の整理に関わる機能です。

API キーは、Claude Console で生成する静的なシークレットです。リクエストのたびに Authorization ヘッダーで bearer token として送ります。Authorization の代わりに、従来の x-api-key ヘッダーで送ることもできます。

個人キーとサービスアカウントキーは、どちらもアカウントに紐づくキーです。それぞれが、組織ですでに管理しているユーザーまたはサービスアカウントに属します。リクエストはすべてそのアカウントとして、同じ権限で動作します。紐づくアカウントが組織から削除されると、キーは機能しなくなります。個人キーは、ユーザーが組織から削除された時点でアーカイブされます。そのユーザーを再び招待しても、アーカイブされたキーは元に戻りません。新しいキーを作成し直す必要があります。

これらのキーは、組織の管理者がアカウントごとの利用状況を追跡しやすくし、キーの利用が正当であることを確かめやすくするための仕組みです。従来のワークスペース API キーも、レガシーの選択肢として引き続きサポートされます。

有効期限はキーの作成時に、次のいずれかから選びます。

• プリセット: 3 時間、1 日、7 日、30 日
• 任意の期間
• Never(無期限): secrets manager に保管し、自分でローテーションするキー向けの選択肢です

有効期限は作成時に決まり、あとから変更できません。組織に有効期限の上限ポリシーがある場合、Console で選べるプリセットと任意の期間はその上限までに制限され、Never は選べません。

期限が近づくと、Anthropic がキーの作成者にメールで知らせます。有効期間が 14 日以上のキーには期限の 7 日前に、7 日以上のキーには 1 日前に通知が届きます。有効期間がそれより短いキーには、事前の通知メールは送られません。

期限が切れたキーでリクエストを送ると、401 authentication_error が返ります。期限切れのキーは再び有効にできず、削除だけができます。利用を続けるには新しいキーを作成します。

各キーの有効期限は、Console の API キーの一覧で確認できます。Admin API でも、List API Keys と Retrieve API Key のエンドポイントが expires_at のタイムスタンプを返します。有効期限の無いキーでは、この値は null です。

特定のワークスペース用に作成したキーは、そのワークスペースでだけ使えます。このキーを使うリクエストでは、ワークスペース ID を省略できます。

ワークスペースに限定していないキーを使う場合は、リクエストごとに anthropic-workspace-id ヘッダーでワークスペース ID を指定します。このヘッダーが無いと、API は 400 invalid_request_error を返します。ワークスペース ID は、Claude Console の Workspaces (ワークスペース) ページの ID 列で確認できます。List Workspaces エンドポイントでも取得できます。

Admin API で個人キーやサービスアカウントキーを使う場合は、特定のワークスペースに限定していないキーである必要があります。

無効化と削除の違い

Console の API keys ページでは、Disable (無効化) と Delete (削除) で扱いが異なります。Disable は元に戻せる操作で、Admin API ではキーの status が "inactive" になります。Re-enable (再有効化) を選ぶと "active" に戻ります。Delete は元に戻せません。キーはアーカイブされ、List API Keys には status: "archived" として残ります。

ワークスペース API キーからの置き換え

既存のワークスペース API キーを個人キーまたはサービスアカウントキーに置き換える流れは、次のとおりです。

1. キーの種類を決めます。自分のツールには個人キーを、共有のワークロードや無人で動くワークロードにはサービスアカウントキーを使います。
2. 必要ならサービスアカウントを作成します。組織の管理者に、Claude Console の Service accounts (サービスアカウント) ページでの作成と、該当するワークスペースへの追加を依頼する場合があります。
3. 新しいキーを作成します。連携先が複数のワークスペースを使う場合を除き、その連携のワークスペース専用に作成します。
4. 連携先が古いキーを読み込んでいる箇所をすべて新しいキーに置き換えます。読み込み先は、多くの場合 ANTHROPIC_API_KEY 環境変数か secrets manager の項目です。ワークスペースに限定していないキーでは、anthropic-workspace-id ヘッダーも送ります。
5. リクエストが成功することを確認してから、Claude Console の API keys ページで古いワークスペースキーを削除します。

なお、有効期限の設定が導入される前に作成したキーは、この変更の影響を受けません。

Claude Console でキーを作成し、リクエストで使うまでの流れです。

1. Claude Console で API keys (API キー) ページを開き、Create key (キーを作成) をクリックします。
2. キーに名前を付け、有効期限を選びます。
3. Linked account (紐づけるアカウント) を設定します。個人キーにする場合は自分を、複数のユーザーで共有するキーにする場合はサービスアカウントを選びます。
4. 必要に応じて、キーを特定のワークスペースに限定します。限定したキーを使うリクエストでは、ワークスペース ID を指定しなくて済みます。
5. HTTP リクエストを直接送る場合は、キーを Authorization: Bearer <key> として送ります。ANTHROPIC_API_KEY 環境変数を設定しておくと、client SDK がキーを自動で読み込みます。