Referenz zu Ergebnissen aus Security posture

Dieser Endpunkt gibt für die meisten Sicherheitskontrollen einer Organisation jeweils einen Eintrag zurück, ausgewertet zum Zeitpunkt der Anfrage, zusammen mit der Bestätigung für Security posture, die die Antwort für jede Kontrolle enthält. Du brauchst einen Compliance Access Key, der die Organisation abdeckt, mit dem Scope read:compliance_org_data oder read:org_audit; unter Verfügbarkeit von Security posture steht, welche Organisationen gelesen werden können.

Anfrage

Sende eine GET-Anfrage an /v1/compliance/organizations/{organization_id}/security_posture. Jeder Aufruf liest eine Organisation, und die Antwort ist nicht paginiert.

curl --fail-with-body -sS \
  "https://api.anthropic.com/v1/compliance/organizations/91012d09-e48b-438e-a489-1bebfd8fa6f9/security_posture" \
  -H "x-api-key: $ANTHROPIC_COMPLIANCE_ACCESS_KEY" \
  -H "anthropic-version: 2026-10-21"

Antwort

Das folgende Beispiel ist ein Auszug und zeigt vier der Kontrollen, die eine Antwort enthalten kann. Es ist die Antwort für einen Key, der read:compliance_org_data und read:compliance_user_data besitzt.

{
  "type": "security_posture",
  "organization_id": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
  "evaluated_at": "2027-02-09T09:00:02.417305Z",
  "comments_status": "not_enabled",
  "controls": [
    {
      "id": "sso_enabled",
      "display_name": "Single sign-on (SSO)",
      "section": "identity_access",
      "setting_name": "sso_enabled",
      "status": "passed",
      "rating": "passed",
      "current_value": "On",
      "desired_state": "On",
      "attestation": null
    },
    {
      "id": "directory_sync_enabled",
      "display_name": "Directory sync (SCIM)",
      "section": "identity_access",
      "setting_name": "directory_sync_enabled",
      "status": "failed_check_accepted_risk",
      "rating": "passed",
      "current_value": "Off",
      "desired_state": "On",
      "attestation": {
        "state": "in_force",
        "attested_at": "2026-10-20T15:04:00.220114Z",
        "comment": null,
        "attested_by": {
          "type": "user_actor",
          "user_id": "user_01WxYzAbCdEfGhJkMnPqRsTu"
        }
      }
    },
    {
      "id": "allowed_invite_domains",
      "display_name": "Allowed email domains",
      "section": "identity_access",
      "setting_name": "allowed_invite_domains",
      "status": "descriptive",
      "rating": "descriptive",
      "current_value": "example.com",
      "desired_state": null,
      "attestation": null
    },
    {
      "id": "oauth_conditional_access",
      "display_name": "OAuth conditional access on connected SaaS",
      "section": "connectors_integrations",
      "setting_name": null,
      "status": "not_attested",
      "rating": "not_attested",
      "current_value": null,
      "desired_state": "Completed",
      "attestation": {
        "state": "review_due",
        "attested_at": "2026-11-02T09:30:00.008771Z",
        "comment": null,
        "attested_by": {
          "type": "user_actor",
          "user_id": "user_01AbCdEfGhJkLmNpQrStUvWx"
        }
      }
    }
  ]
}

Jedes Feld ist immer vorhanden, und ein Feld ohne Wert ist null und wird nie weggelassen. Eine Zeitangabe hat entweder keine oder sechs Nachkommastellen, vergleiche Zeiten also als Zeiten, nicht als Strings.

Felder der obersten Ebene

Felder von controls[]

section ist einer der Werte identity_access, data_privacy, capabilities, connectors_integrations, chats_desktop_mdm, cowork_admin_console, cowork_desktop_mdm, claude_code_admin_console, claude_code_managed_settings und healthy_adoption.

Um Werte im Code zu vergleichen, schlage setting_name in den effektiven Einstellungen derselben Organisation nach. Die Suche kann nichts finden, und zwei Kontrollen können sich einen setting_name teilen.

Felder von attestation

Felder von attested_by

Statuswerte

status gibt den Grund für das Ergebnis einer Kontrolle an, und jeder Status hat genau ein rating.

Kein Feld nennt die Art der Kontrolle; bei failed kennzeichnet ein current_value mit dem Wert null eine manuelle Kontrolle. Weitere Werte können hinzukommen, zähle eine Kontrolle mit einem unbekannten status also nach ihrem rating, und werte ein unbekanntes rating nicht als Bestanden. Der Status review und der Bestätigungszustand review_due hängen nicht zusammen.

Bestätigungszustände

state gibt an, ob die Bestätigung, die die Antwort enthält, in Kraft ist.

Wenn mehr als ein Grund zutrifft, gibt die Antwort den ersten von check_passing, setting_changed und review_due an. Ab 00:00 UTC an ihrem Enddatum ist eine Bestätigung nicht in Kraft. Die Antwort enthält kein Enddatum, daher entscheidet state; ein Enddatum, das gespeichert wurde, ist das review_date der Aktivität der Bestätigung. Werte einen unbekannten state als nicht in Kraft.

Wie eine Bestätigung in der Antwort erscheint

Die Antwort enthält manche Bestätigungen und lässt andere weg, ein attestation mit dem Wert null beweist also nicht, dass niemand bestätigt hat.

Jede Zeile außer den letzten beiden gilt, solange die Bestätigung in Kraft ist. Bei einer automatischen Kontrolle ist eine Bestätigung nicht in Kraft, solange der Wert, den die Prüfung liest, von dem abweicht, für den sie gespeichert wurde. Jede Bestätigung, die die Antwort bei einer automatischen Kontrolle enthält, ist ein akzeptiertes Risiko. Der Activity Feed erfasst auch Bestätigungen der Arten, die die Antwort weglässt.

Ergebnisse zählen

Prüfe vier Dinge, wenn du Kontrollen nach rating zählst.

Wer bestätigt hat, und Kommentare

attested_by wird nur für einen Key gefüllt, der read:compliance_user_data zusammen mit read:compliance_org_data besitzt oder der read:org_audit besitzt. Ein Key mit nur read:compliance_user_data erhält einen 403. Die user_id in attested_by ist dieselbe wie die user_id des actor in der Aktivität der Bestätigung. attested_by enthält nur die Benutzer-ID: Benutzer einer Organisation auflisten liefert den Namen und die E-Mail-Adresse jedes aktuellen Mitglieds. Bevor du diese Scopes hinzufügst, lies Wer sehen kann, wer bestätigt hat.

Der Endpunkt gibt keine Kommentare zurück, auch wenn die Seite Security posture einen anzeigt: Jeder comment ist null, und comments_status ist not_enabled oder not_permitted. not_enabled und ein comment mit dem Wert null bedeuten also nicht, dass die Bestätigung keinen Kommentar hat. comments_status gibt an, wie ein comment mit dem Wert null zu lesen ist, und das Schema definiert diese Werte.

Weitere Werte können hinzukommen; werte einen unbekannten Wert als unavailable.

Fehler

Fehler verwenden denselben Body wie der Rest der Compliance API; diese Tabelle listet die Fehler auf, die dieser Endpunkt auf eigene Weise zurückgibt.

Ursachen für einen 404:

• organization_id ist keine UUID, benennt keine Organisation oder benennt eine gelöschte.
• organization_id benennt die übergeordnete Organisation, eine Organisation unter einer anderen übergeordneten Organisation oder eine, die ein Key für eine einzelne Organisation nicht abdeckt.
• Die Organisation nutzt nicht Claude Enterprise, oder Security posture ist für sie nicht verfügbar, wie bei einer Organisation in der Claude Console.
• Die Seite Security posture wurde für die Organisation ausgeschaltet (siehe Verfügbarkeit von Security posture).
• Security posture ist für die Organisation verfügbar, aber der Endpunkt bedient sie nicht.
• Die Verfügbarkeit konnte nicht geprüft werden; eine spätere Anfrage kann erfolgreich sein.

Jeder 404 hat denselben Body, ebenso wie ein Pfad, der nicht existiert.

Aktualität und Nebeneffekte

Der Endpunkt wertet jede Kontrolle aus, wenn du ihn aufrufst, und evaluated_at ist dieser Zeitpunkt.

• Eine Änderung aus den letzten Minuten wird möglicherweise noch nicht angezeigt.
• Ein Ergebnis kann sich ändern, ohne dass sich eine Einstellung geändert hat, zum Beispiel wenn ein Enddatum erreicht ist oder Anthropic einen empfohlenen Wert ändert.
• Wenn Anthropic einen aktuellen Wert umformuliert, ist ein akzeptiertes Risiko für diesen Wert nicht in Kraft.
• Ein Aufruf speichert kein Ergebnis und beendet keine Bestätigung.
• Jede Anfrage, die die Prüfungen von Key, Scope und Version ohne Query-Parameter besteht, erfasst genau eine Aktivität compliance_api_accessed, unabhängig davon, ob sie erfolgreich ist oder fehlschlägt; ihre url nennt die gelesene Organisation, und organization_uuid ist null bei einem Key für die übergeordnete Organisation.