コンプライアンス統合を設計する

本番環境のCompliance API統合では、3つの設計上の選択を行います。Activity Feedをどのように消費するか、その出力を「security information and event management」（セキュリティ情報イベント管理）、すなわちSIEMシステムとどのように相関させるか、そしてアクティビティとコンテンツの長期コピーをどこに保存するかです。これらの選択はエンドポイント自体とは独立しています。このページでは、そのトレードオフを評価するのに役立つ情報を提供します。

このページは、全体を通して参照されるパラメータとページネーションの契約を定義しているActivity Feedをクエリすると、コンテンツ保持を計画するで参照されるコンテンツエンドポイントとdeleted_atのセマンティクスを定義しているチャット、ファイル、プロジェクトの取得と削除を読んでいることを前提としています。



フィード消費パターンを選択する

Activity Feedは2つの消費パターンをサポートしています。created_at.gteとcreated_at.ltで区切られた定期的なウィンドウポーリングと、あるレスポンスからカーソルを永続化して次のリクエストで渡すカーソル駆動のインクリメンタル読み取りです。どちらも同一のActivityオブジェクトを返します。違いは、呼び出し間でクライアントが永続化する状態です。

どちらのパターンも以下の制約を共有します。

• アクティビティは発生から1分以内にクエリ可能になり、6年間保持されます。
• 各ページのlimitの最大値は5,000です。
• カーソル値は不透明な文字列であり、パースしてはいけません。
• リクエストは親組織ごとに毎分600件に制限されており、すべてのキー、すべてのリンクされた組織、すべての/v1/compliance/*エンドポイントで共有されます。レスポンスヘッダーとリトライの契約については、429 Too Many Requestsを参照してください。



ウィンドウポーリング

ウィンドウ内のすべてのアクティビティがすでにクエリ可能になるように、created_at.ltを少なくとも1分以上過去に設定します。連続するウィンドウが隙間や重複なくタイル状に並ぶように、下限にはcreated_at.gteを、上限にはcreated_at.ltを使用します。前のウィンドウのlt値を次のウィンドウのgte値として再利用します。

curl --fail-with-body -sS -G \
  "https://api.anthropic.com/v1/compliance/activities" \
  --header "x-api-key: $ANTHROPIC_COMPLIANCE_ACCESS_KEY" \
  --data-urlencode "created_at.gte=2026-04-20T07:00:00Z" \
  --data-urlencode "created_at.lt=2026-04-20T08:00:00Z" \
  --data-urlencode "limit=5000"

レスポンスがhas_more: trueの場合、ウィンドウには複数ページのアクティビティが含まれています。レスポンスのlast_idを次のリクエストのafter_idとして渡してウィンドウ内をページングする（has_moreがfalseになったら停止する）か、より小さい時間ウィンドウを選択します。完全な契約については結果をページネーションするを参照してください。

きれいにタイル状に並べても、ウィンドウが閉じた後にインデックスされたアクティビティは、後のウィンドウには決して現れません。アクティビティのidで重複排除を行い、新しい各ウィンドウを前のウィンドウと数分間重なるように広げるか、古いウィンドウを再クエリする定期的な照合パスを実行してください。



カーソル駆動のインクリメンタル読み取り

first_id="activity_01XyDMpzjS89pFZXqSFUBDr6"  # first_id from a previous response

curl --fail-with-body -sS -G \
  "https://api.anthropic.com/v1/compliance/activities" \
  --header "x-api-key: $ANTHROPIC_COMPLIANCE_ACCESS_KEY" \
  --data-urlencode "limit=5000" \
  --data-urlencode "before_id=$first_id"

has_moreがfalseになるまでページングし、最後のレスポンスのfirst_idを永続化して、次の実行時にbefore_idとしてそのまま渡すことで、保存されたカーソルより新しいアクティビティを取得します。バックフィルのために逆方向に進むには、代わりにlast_idを永続化してafter_idとして渡します。カーソルとページトークンの完全なリファレンスとリトライのセマンティクスについては、結果をページネーションするを参照してください。

本番環境のキャッチアップループは、has_moreとfirst_idに基づいて反復を駆動することで、前回のポーリング以降に記録されたアクティビティを取得します。

cursor = stored_cursor
loop:
  page = GET /v1/compliance/activities?before_id={cursor}&limit=5000
  store(page.data)
  if page.first_id is not null:
    cursor = page.first_id
  if not page.has_more: break
persist(cursor)

カーソルはキーのローテーション後も有効です。キーの管理とローテーションを参照してください。



SIEMと相関させる

各Activityには、SIEM（Splunk、Datadog、Microsoft Sentinel、Cribl、または類似のもの）にすでに存在するイベントと結合できるフィールドが含まれています。

actor.user_idとactor.email_addressは、actor.typeがuser_actorの場合に存在します。読み取る前にディスクリミネーターを確認してください。user_idはユーザーアカウントの安定した不透明な識別子です。すべてのCompliance APIエンドポイントとアクティビティペイロードで一貫しており、ユーザーのメールアドレスや表示名が変更されても変わりません。主要な結合キーとしては、email_addressではなくuser_idを使用してください。

Compliance API自体への呼び出しはcompliance_api_accessedアクティビティを発行します。これらを他のアクティビティタイプと一緒に取り込むことで、誰がいつコンプライアンスデータをクエリしたかをSIEMに記録できます。activity_types[]=compliance_api_accessedを渡してクエリのスコープを絞り、クライアント側でactor.typeがapi_actorである各アクティビティからactor.api_key_idを読み取り、特定のCompliance Access KeyまたはAdmin APIキーにアクセスを帰属させます。



コンテンツ保持を計画する

後で取得できるものは、3つの保持期間によって決まります。

Claude Platformの他の部分が保持をどのように扱うかについては、APIとデータ保持を参照してください。

エクスポートしてアーカイブするか、オンデマンドでAPIから取得するかは、次のように判断してください。

• リーガルホールドまたは監査の期間が、アクティビティメタデータについて6年を超える場合は、取り込み時にActivity Feedのページを独自のアーカイブにエクスポートしてください。
• コンテンツ保持ポリシーがeDiscoveryの期間より短い場合は、保持ウィンドウが期限切れになる前にチャットとファイルのコンテンツをエクスポートしてください。Compliance APIは、保持によってすでに削除されたコンテンツを返すことはできません。
• ワークフローがCompliance APIのハードデリートを発行する可能性がある場合（たとえばDLPの強制）、まず対象のコンテンツを取得してアーカイブしてください。ハードデリート後に回復ウィンドウはありません。claude.aiからのソフトデリートはdeleted_atが設定された状態で取得可能なままですが、Compliance APIによる削除はそうではありません。

それ以外のすべてのケースでは、直接APIから取得することに依存し、並行コピーの維持は避けてください。



配信保証と完全性

Activity Feedはat-least-once（少なくとも1回）として扱ってください。正しくページネーションされたトラバーサルはすべてのアクティビティを少なくとも1回返しますが、部分的な失敗後のリトライでは、すでに保存したアクティビティが再配信される可能性があります。アクティビティのidフィールドで重複排除を行ってください。

リストエンドポイントはtotal_countフィールドやチェックサムを返しません。エクスポート実行が完了したことを証明するには、以下をログに記録してください。

• 開始カーソルと最終的なlast_id。
• エクスポートされたレコード数。
• 実行タイムスタンプと最終ページのrequest-id。

コンテンツエンドポイント（チャット、ファイル、プロジェクト、プロジェクト添付ファイル）はclaude.aiのデータのみを提供します。Activity Feedは組織全体の管理イベントとリソースイベントを表示します。Compliance APIには以下は含まれません。

• Claude ConsoleまたはClaude APIワークロードからのプロンプトテキストやモデルの応答。
• 組織の保持ポリシーによって削除されたコンテンツ。
• Compliance APIを通じてハードデリートされたコンテンツ。

Compliance APIが何を取得し、何を取得しないかの詳細については、Compliance API FAQを参照してください。

証拠保全（chain of custody）のために、エクスポートされたレコードを来歴メタデータとともに保存してください。ソースエンドポイント、クエリパラメータ、実行タイムスタンプ、各レコードのコンテンツハッシュです。



次のステップ