--- title: Security postureのイベントをOCSFにマッピングする url: https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/ocsf-mapping description: Compliance APIのSecurity postureの各アクティビティを、保存する前に、そのアクティビティに対応するOpen Cybersecurity Schema Framework（OCSF）のクラスと属性にマッピングします。 --- Compliance APIを有効にするには、[Compliance APIのセットアップ](https://platform.claude.com/docs/ja/manage-claude/compliance-api-access)を参照してください。 [Open Cybersecurity Schema Framework](https://schema.ocsf.io/)（OCSF）は、セキュリティイベント向けのオープンなスキーマです。このマッピングは、[Security posture](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/overview)のアクティビティを読み取った後、保存する前に、独自のパイプライン内で適用します。アクティビティをセキュリティ情報イベント管理（SIEM）システムに取り込むには、[Security postureのイベントをSIEMに送信する](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/send-events)から始めてください。 ## OCSFのバージョン このマッピングはOCSF 1.6.0を使用します。別のバージョンに対して検証する場合は、このページの属性をそのバージョンと照らし合わせて確認してください。たとえば、OCSF 1.7.0では、`metadata.uid`はOCSFイベント自体の識別子であり、`metadata.original_event_uid`がソースからの識別子を保持します。OCSF 1.9.0では、`actor.app_name`が非推奨となり、代わりに`actor.application`が使用されます。 ## すべてのSecurity postureのアクティビティに共通する属性 すべてのイベントで、これらのフィールドをマッピングします。 | アクティビティのフィールド | OCSF属性 | 注記 | | ------------------- | ------------------------------ | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `id` | `metadata.uid` | そのままコピーします。 | | `type` | `metadata.event_code` | そのままコピーします。 | | `created_at` | `time` | RFC 3339の文字列をUnixエポックからのミリ秒に変換し、整数に切り捨てます。 | | `created_at` | `metadata.original_time` | 文字列をそのままコピーします。 | | なし | `metadata.logged_time` | アクティビティを保存した時刻（[変更を検出する](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/detect-changes#before-you-write-a-rule)の`stored_at`）（Unixエポックからのミリ秒）。 | | `organization_uuid` | `metadata.tenant_uid` | そのままコピーします。 | | `organization_id` | `unmapped.organization_id` | そのままコピーします。 | | なし | `metadata.version` | 定数：`1.6.0`。 | | なし | `metadata.product.vendor_name` | 定数：`Anthropic`。 | | なし | `metadata.product.name` | 定数：`Compliance API`。 | | なし | `type_uid` | `class_uid * 100 + activity_id`。 | | なし | `severity_id` | すべてのイベントで`1`（Informational）に設定し、アラートの優先度は、そのアラートを発生させる[検出ルール](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/detect-changes)で設定します。 | OCSF属性がないフィールドは、ハンドラーが認識しないフィールドも含め、すべてアクティビティフィードでの名前のまま`unmapped`オブジェクトに入れます。フィールドが存在しないか`null`の場合は、OCSF属性を省略します。 `actor`オブジェクトを次のようにマッピングします。 | アクティビティのフィールド | OCSF属性 | 注記 | | --------------------- | ------------------------- | ---------------------------------------------------- | | なし | `metadata.profiles` | `host`を追加します。これは`actor`を含むOCSFプロファイル（オプションの属性セット）です。 | | `actor.type` | `unmapped.actor.type` | そのままコピーします。 | | `actor.user_id` | `actor.user.uid` | `user_actor`のみ。 | | `actor.email_address` | `actor.user.email_addr` | `user_actor`のみ。 | | `actor.ip_address` | `src_endpoint.ip` | `user_actor`のみ。 | | `actor.user_agent` | `http_request.user_agent` | `user_actor`のみ。 | | `actor.service` | `actor.app_name` | `system_actor`のみ。 | ## 表明のアクティビティ：Entity Management [`org_security_control_attestation_updated`](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/events-reference#attestation-activity)アクティビティを、OCSFのEntity Managementクラス（3004）にマッピングします。Entity Managementのイベントは管理対象エンティティに対する操作を報告します。ここでのエンティティは、セキュリティコントロールに対する組織の表明です。 | アクティビティのフィールド | OCSF属性 | 注記 | | ----------------- | -------------------------- | ------------------------------------------------- | | なし | `class_uid` | 定数：`3004`（Entity Management）。 | | なし | `category_uid` | 定数：`3`（Identity & Access Management）。 | | `action` | `activity_id` | 後述の`action`の値の表に従います。 | | `action` | `unmapped.action` | 2つの`action`の値が1つの`activity_id`を共有するため、そのままコピーします。 | | なし | `entity.type_id` | 定数：`99`（Other）。 | | なし | `entity.type` | 定数：`Security control attestation`。 | | `control` | `entity.uid` | そのままコピーします。 | | `status` | `entity.data.status` | そのままコピーします。表明の値です。 | | `review_date` | `entity.data.review_date` | そのままコピーします。表明の終了日です。 | | `previous_status` | `unmapped.previous_status` | そのままコピーします。変更前の表明の値です。 | `status`を`status_id`や、成功または失敗を表すいずれの値にもマッピングしないでください。表明はコントロールについての人による記述であり、チェックの結果ではありません。 | `action` | `activity_id` | `type_uid` | | ---------- | ---------------- | ---------- | | `attested` | `1`（Create） | `300401` | | `changed` | `3`（Update） | `300403` | | `renewed` | `3`（Update） | `300403` | | `cleared` | `4`（Delete） | `300404` | | `lapsed` | `11`（Deactivate） | `300411` | | その他の値 | `99`（Other） | `300499` | `99`（Other）の場合は、`activity_name`に`action`の値を設定します。 `attested`アクティビティは、次のようなイベントにマッピングされます（値はサンプルです）。 ```json { "class_uid": 3004, "category_uid": 3, "activity_id": 1, "type_uid": 300401, "severity_id": 1, "time": 1794495872517, "metadata": { "version": "1.6.0", "profiles": ["host"], "uid": "activity_01Kp5RvNd8Wc3TgMy6BxQf4Z", "event_code": "org_security_control_attestation_updated", "original_time": "2026-11-12T15:04:32.517208Z", "logged_time": 1794495910000, "tenant_uid": "91012d09-e48b-438e-a489-1bebfd8fa6f9", "product": { "vendor_name": "Anthropic", "name": "Compliance API" } }, "actor": { "user": { "uid": "user_01TuVwXyZaBcDeFgH2JkLmN4", "email_addr": "admin@example.com" } }, "src_endpoint": { "ip": "192.0.2.34" }, "http_request": { "user_agent": "ExampleBrowser/1.0" }, "entity": { "type_id": 99, "type": "Security control attestation", "uid": "mdm_chat_required_organization", "data": { "status": "completed" } }, "unmapped": { "action": "attested", "actor": { "type": "user_actor" }, "organization_id": "org_01JuY4bkwkH1x4PodBJaWmh2" } } ```