--- title: 保存済みのSecurity postureのイベントを現在の結果と照合する url: https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/check-events-against-results description: 1日に1回、SIEMに保存した表明のアクティビティをエンドポイントの現在の結果と比較し、どの不一致に人による対応が必要かを判断します。 --- Compliance APIを有効にするには、[Compliance APIのセットアップ](https://platform.claude.com/docs/ja/manage-claude/compliance-api-access)を参照してください。 アクティビティフィードはアクティビティを遅れて配信することがあり、エンドポイントは履歴を保持しません。そのため、どちらのソースにも、もう一方には表示されない変更が表示される可能性があります。日次の比較により、セキュリティ情報イベント管理（SIEM）のストアに欠けているものを見つけられます。フィードは[すべての変更](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/events-reference#what-the-feed-does-not-record)を記録するとは限りません。そのため、表明がそのセキュリティコントロールに対するフィードの最初のアクティビティよりも古い場合があり、まれに変更にアクティビティがまったくないこともあります。現在の結果のみを報告する場合、このチェックは必要ありません。 組織を対象とするCompliance Access Keyが必要です。エンドポイントには`read:compliance_org_data`、アクティビティフィードには`read:compliance_activities`、または両方に対して`read:org_audit`が必要です。 ## チェックを実行する 各実行は、その日の[日次の再読み取り](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/send-events#re-read-15-days-once-a-day)が完了した後に開始し、遅れて届いたアクティビティが保存されているようにします。 1. [組織を一覧表示する](https://platform.claude.com/docs/ja/manage-claude/compliance-org-data#list-organizations)で、リンクされた組織を一覧表示します。それぞれの`uuid`が得られます。 2. 組織ごとに[エンドポイントを1回呼び出します](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/results-reference#request)。200が返されるか、エンドポイントが対応していない組織の場合は毎回の実行で404が返されます（[Security postureの利用可能性](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/overview#availability)を参照）。404は、その組織がこの実行では読み取られないことを意味します。200を返す組織の一覧を、それぞれ最初の200の`evaluated_at`（その組織に対する最初の実行）とともに保持します。 3. [除外ルール](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/check-events-against-results#set-aside-what-cannot-be-compared)に挙げられているものを除外します。 4. その組織の残りの保存済みの表明のアクティビティをセキュリティコントロールごとにグループ化し、それぞれで `created_at` が最新のものを取ります。コントロールごとに1つのアクティビティが得られるか、何も得られません。 5. 残った各コントロールについて、[判断表](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/check-events-against-results#decide-what-each-mismatch-means)で該当する行を見つけます。一致、想定内、または要調査が得られます。 6. 「要調査」に対処するのは、その組織を読み取る次の実行で再び表示された場合のみです。行6にはただちに対処し、行10と11については代わりに[プレースホルダーのルール](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/check-events-against-results#keep-a-placeholder-where-the-two-sources-cannot-be-matched)に従います。組織を読み取らなかった実行はカウントされず、待機をやり直させることもありません。 呼び出しのペースを調整し、429は[429 Too Many Requests](https://platform.claude.com/docs/ja/manage-claude/compliance-errors#429-too-many-requests)の説明に従って処理します。再試行後も呼び出しが失敗する組織は、この実行では読み取られていないものとします。失敗した呼び出しは変更ではありません。 ## フィールドを照合する レスポンス内のエントリを保存済みのアクティビティと照合するには、次のフィールドを使用します。 | レスポンス内 | アクティビティ内 | 関係 | | ------------------------- | -------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `organization_id` | `organization_uuid` | 同じ値です。アクティビティ自体の`organization_id`には`org_`プレフィックスが付いています。 | | `controls[].id` | `control` | 同じ識別子です。ただし、[ルールS2](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/check-events-against-results#set-aside-what-cannot-be-compared)の場合を除きます。 | | `attestation.attested_at` | 最新の`attested`、`changed`、または`renewed`アクティビティの`created_at` | レスポンスに表示される表明では同じ時刻です。文字列ではなく時刻として比較します。 | | `status` | `status` | 表明が有効である間、`attested_completed`は`completed`と対応し、`attested_accepted_risk`と`failed_check_accepted_risk`は`accepted_risk`と対応します。`control_failed`と対応するものはありません。 | ## 比較できないものを除外する 比較する前に、次のものを除外します。 | # | 対象 | ルール | | -- | -------------------------------------------------------------------------------- | ------------------------------------------------------------------ | | S1 | `action`が`attested`、`changed`、`renewed`、`cleared`、`lapsed`のいずれでもない保存済みの表明アクティビティ | チェック全体から除外します。新しい`action`の値ごとに1回、レビュー対象としてフラグを付けます。 | | S2 | `mdm_cowork_required_organization`を指定する保存済みの表明アクティビティ | `mdm_chat_required_organization`のアクティビティとして扱います。 | | S3 | そのコントロールのエントリがレスポンスにない保存済みの表明アクティビティ | 比較対象はありません。そのコントロールはレスポンスにないものとして報告し、決して合格（`passed`）として報告しないでください。 | | S4 | `status`が`descriptive`、`not_applicable`、または`not_evaluated`のエントリ | スキップします。それが`not_evaluated`である実行は、そのコントロールについてはカウントされません。 | ## 各不一致の意味を判断する 残った各コントロールは、ちょうど1つの行に該当します。 | # | 最新の保存済みアクティビティ | レスポンス内のエントリ | 判断 | 対処 | | -- | ----------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------- | --- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 1 | `attested`、`changed`、または`renewed` | `attested_at`がその`created_at`と等しく、`state`が`in_force`で、`status`がその値と対応しています。 | 一致 | なし。 | | 2 | `cleared` | 行11の場合を除き、`attestation`が`null`です。 | 一致 | なし。 | | 3 | `lapsed`で、リスク受容（`accepted_risk`） | `attestation`が`null`であるか、以前のアクティビティの時刻を持ち、`state`が`check_passing`または`setting_changed`です。 | 一致 | なし。 | | 4 | `lapsed`で、`completed`または`control_failed` | `attestation`が`null`です。 | 一致 | なし。 | | 5 | `attested`、`changed`、または`renewed` | `attested_at`がその`created_at`と等しく、`state`が`review_due`、`check_passing`、または`setting_changed`です。 | 想定内 | 有効ではありません。アクティビティを待たずに、新しい状態ごとに1回対処します。`in_force`に戻るとこれはリセットされます。 | | 6 | `attested`、`changed`、または`renewed`で、完了（`completed`）、かつ`created_at`が最初の実行より後 | そのアクティビティを比較する最初の実行で、`attestation`が`null`であり、`status`が`current_value`を伴う`failed`です。 | 要調査 | Security postureのページには、失敗しているチェックが合格として表示されている可能性があります。待たずにレビュー対象としてフラグを付けます。 | | 7 | `attested`、`changed`、または`renewed`で、`completed` | `attestation`が`null`で、`status`が`not_attested`ではなく、`current_value`が`null`の`failed`でもなく、行6に該当しません。 | 想定内 | 比較対象はありません。レスポンスにそれが表示されることはありません。 | | 8 | `attested`、`changed`、または`renewed`で、不合格（`control_failed`）として | `attestation`が`null`で、`status`は次の3つのいずれかです。（1）`failed`、（2）自動チェックが与える任意のステータス、（3）終了日（UTCでの`review_date`）以降は`not_attested`。 | 想定内 | 比較対象はありません。終了日以降に`status`が`failed`から変わったときに1回対処します。 | | 9 | `attested`、`changed`、または`renewed`で、`accepted_risk` | `attestation`が`null`で、`status`が`passed`、`matches_profile`、または`exceeds_baseline`です。 | 想定内 | プレースホルダーを保存します（[プレースホルダーのルール7](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/check-events-against-results#keep-a-placeholder-where-the-two-sources-cannot-be-matched)）。 | | 10 | なし、またはすべての保存済みアクティビティが`attested_at`より古い | `attestation`が存在します。 | 要調査 | プレースホルダーのルールに従います。 | | 11 | なし、または値が`control_failed`ではないもの | `current_value`が`null`で、`status`が`failed`です。 | 要調査 | ストアに不合格（`control_failed`）としての表明が欠けています。プレースホルダーのルールに従い、`status`が`failed`から変わったときに1回対処します。 | | 12 | `attested`、`changed`、`renewed`、または`cleared`で、`attested_at`より新しく、ほぼ同じ時刻の別のアクティビティがある | `attestation`が存在します。 | 想定内 | ほぼ同時に行われた変更は、どちらの順序でも保存される可能性があります。 | | 13 | 同じ条件で、そのような2つ目のアクティビティがない | `attestation`が存在します。 | 要調査 | Anthropicサポートに一度だけ連絡してください。 | | 14 | `attested`、`changed`、または`renewed` | `attested_at`がその`created_at`と等しく、`state`が`in_force`で、`status`がその値と対応していません。 | 要調査 | Anthropicサポートに一度だけ連絡してください。 | | 15 | `attested`、`changed`、または`renewed`で、それより前のどの行にも該当しない | `attestation`が`null`です。 | 要調査 | 取り消された可能性が最も高いです。プレースホルダーを保存し（[プレースホルダーのルール7](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/check-events-against-results#keep-a-placeholder-where-the-two-sources-cannot-be-matched)）、一度だけレビュー対象としてフラグを付けます。 | | 16 | なし | `attestation`が`null`で、行11に該当しません。 | 一致 | なし。 | | 17 | その他 | その他 | 要調査 | 1回、レビュー対象としてフラグを付けます。 | ## 2つのソースを照合できない場合にプレースホルダーを保持する プレースホルダーは、2つのソースのうち一方に欠けているものの代わりとなるもので、保存済みのアクティビティとは分けて保持します。行10と11については、フィードを再度読み取り、[日次の再読み取り](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/send-events#re-read-15-days-once-a-day)が及ぶ範囲である15日以内に何も届かない場合にのみ、プレースホルダーを保存してフラグを付けます。最初の実行では、レビューなしで直ちに保存します。 行10のプレースホルダー（コントロールと`attested_at`で一意に識別される）： 1. そのコントロールの最新の保存済みアクティビティから、または何も保存していない場合は`attested_at`（この時刻を含む）から再度読み取ります。15日間は`attested_at`から数えます。エントリからプレースホルダーを作成し、アクティビティがないものとしてマークします。判断表では、それをその`attested_at`における`attested`アクティビティで、値がその`status`（ある場合）と対応するものとして読みます。 2. 表明が表示される各実行で、その`status`と`state`を更新します。 3. `created_at`がその`attested_at`と等しいアクティビティが届いたら、プレースホルダーをそれで置き換えます。 4. 2回連続の実行で表明が表示されない場合は、プレースホルダーを解決します。そのコントロールについて、より新しい保存済みアクティビティまたは未解決の行10の不一致でそれが説明できる場合、または両方の実行で`descriptive`が表示される場合を除き、レビュー対象としてフラグを付けます。 5. 組織を読み取らなかった実行、または`not_evaluated`が表示される実行は、その2回の実行にカウントされず、カウントをやり直させることもありません。 6. 表明が再び表示された場合は、同じプレースホルダーを再開します。 行9、11、15のプレースホルダー（コントロールのみで一意に識別される）： 7. 行11の場合、15日間はその`status`が表示される最初の実行から数えます。プレースホルダーが未解決である間は、そのコントロールについてそれ以上フラグを付けません。より新しいアクティビティが届いたとき、表明が表示されたとき、または2回連続の実行が別の行に該当したときに、プレースホルダーを解決します。 8. 表明が`failed_check_accepted_risk`として表示されたために行9のプレースホルダーが解決した場合は、1回、レビュー対象としてフラグを付けます。リスクが有効になっています。 ## 具体例 次の2回の実行は、結果リファレンスの[レスポンスのサンプル](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/results-reference#response)にある組織を読み取ります。実行1が最初の実行です。 * 実行1、`directory_sync_enabled`。保存済み：`attested`、`accepted_risk`、作成日時`2026-10-20T15:04:00.220114Z`。レスポンス：`failed_check_accepted_risk`、`in_force`、同じ`attested_at`。行1：一致。 * 実行1、`allowed_invite_domains`。保存済み：なし。レスポンス：`descriptive`、`attestation`は`null`。ルールS4：除外。 * 実行1、`oauth_conditional_access`。保存済み：なし。レスポンス：`state`が`review_due`の`attestation`。行10：要調査。初回の実行では、レビューせずに直ちにプレースホルダーを保存します。 * 実行2、`oauth_conditional_access`。プレースホルダー：実行1のもの。レスポンス：同じ。行5：想定内。`review_due`に対して1回対処します。 ## チェックで見つけられないもの レスポンスが自動コントロールについて省略する表明に対しては、欠落しているアクティビティを日次のチェックで見つけることはできません。レスポンスには、そのような表明の兆候がまったく表示されないか、`status`の`failed`のみが表示されます。これは、自動チェックが与えるステータスと同じように見えます。 ## 組織が応答しなくなった場合 200を返した後、何回か連続する実行で404を返す組織には、1回、人による対応が必要です。Security postureページにアクセスできるユーザーに、その組織に対してページがオフにされたかどうかを確認してください（[Security postureの利用可能性](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/overview#availability)を参照）。ページがオフにされていなかった場合は、Anthropicの担当者に連絡してください。組織が削除されたか、またはその組織に対するアクセス、Security posture、またはエンドポイントが終了した可能性があります。原因にかかわらず、その組織のプレースホルダーと未解決の不一致をレビューなしで解決し、その組織の呼び出しを続け、その組織から200が返された場合はそれらを再開します。