Security postureの結果リファレンス

このエンドポイントは、組織のセキュリティコントロールの大部分について、それぞれ1つのエントリを返します。各エントリはリクエスト時点で評価され、そのコントロールについてレスポンスに表示されるSecurity postureの表明を含みます。その組織を対象とし、read:compliance_org_dataまたはread:org_auditスコープを持つCompliance Access Keyが必要です。どの組織を読み取れるかについては、Security postureの利用可能性を参照してください。

リクエスト

/v1/compliance/organizations/{organization_id}/security_postureにGETリクエストを送信します。各呼び出しは1つの組織を読み取り、レスポンスはページネーションされません。

curl --fail-with-body -sS \
  "https://api.anthropic.com/v1/compliance/organizations/91012d09-e48b-438e-a489-1bebfd8fa6f9/security_posture" \
  -H "x-api-key: $ANTHROPIC_COMPLIANCE_ACCESS_KEY" \
  -H "anthropic-version: 2026-10-21"

レスポンス

以下の抜粋例は、レスポンスに含まれうるコントロールのうち4つを示しています。これはread:compliance_org_dataとread:compliance_user_dataを保持するキーに対するレスポンスです。

{
  "type": "security_posture",
  "organization_id": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
  "evaluated_at": "2027-02-09T09:00:02.417305Z",
  "comments_status": "not_enabled",
  "controls": [
    {
      "id": "sso_enabled",
      "display_name": "Single sign-on (SSO)",
      "section": "identity_access",
      "setting_name": "sso_enabled",
      "status": "passed",
      "rating": "passed",
      "current_value": "On",
      "desired_state": "On",
      "attestation": null
    },
    {
      "id": "directory_sync_enabled",
      "display_name": "Directory sync (SCIM)",
      "section": "identity_access",
      "setting_name": "directory_sync_enabled",
      "status": "failed_check_accepted_risk",
      "rating": "passed",
      "current_value": "Off",
      "desired_state": "On",
      "attestation": {
        "state": "in_force",
        "attested_at": "2026-10-20T15:04:00.220114Z",
        "comment": null,
        "attested_by": {
          "type": "user_actor",
          "user_id": "user_01WxYzAbCdEfGhJkMnPqRsTu"
        }
      }
    },
    {
      "id": "allowed_invite_domains",
      "display_name": "Allowed email domains",
      "section": "identity_access",
      "setting_name": "allowed_invite_domains",
      "status": "descriptive",
      "rating": "descriptive",
      "current_value": "example.com",
      "desired_state": null,
      "attestation": null
    },
    {
      "id": "oauth_conditional_access",
      "display_name": "OAuth conditional access on connected SaaS",
      "section": "connectors_integrations",
      "setting_name": null,
      "status": "not_attested",
      "rating": "not_attested",
      "current_value": null,
      "desired_state": "Completed",
      "attestation": {
        "state": "review_due",
        "attested_at": "2026-11-02T09:30:00.008771Z",
        "comment": null,
        "attested_by": {
          "type": "user_actor",
          "user_id": "user_01AbCdEfGhJkLmNpQrStUvWx"
        }
      }
    }
  ]
}

すべてのフィールドは常に存在し、値のないフィールドは省略されずnullになります。時刻の小数部は0桁または6桁のいずれかであるため、時刻は文字列としてではなく時刻として比較してください。

トップレベルのフィールド

controls[]のフィールド

sectionは、identity_access、data_privacy、capabilities、connectors_integrations、chats_desktop_mdm、cowork_admin_console、cowork_desktop_mdm、claude_code_admin_console、claude_code_managed_settings、healthy_adoptionのいずれかです。

コードで値を比較するには、同じ組織の有効な設定でsetting_nameを検索してください。検索で何も見つからない可能性があり、また2つのコントロールが1つのsetting_nameを共有する可能性もあります。

attestationのフィールド

attested_byのフィールド

ステータス値

statusはコントロールの結果の理由を示し、各ステータスには1つのratingが対応します。

コントロールの種類を示すフィールドはありません。failedの場合、current_valueがnullであれば手動コントロールです。値が追加される可能性があるため、不明なstatusを持つコントロールはそのratingで集計し、不明なratingは合格として扱わないでください。ステータスreviewと表明の状態review_dueは関係ありません。

表明の状態

stateは、レスポンスに表示される表明が有効かどうかを示します。

複数の理由が当てはまる場合、レスポンスはcheck_passing、setting_changed、review_dueのうち最初に該当するものを返します。表明は終了日の00:00 UTCから有効ではなくなります。レスポンスには終了日が含まれないため、stateによって判断します。保存された終了日は、表明のアクティビティのreview_dateです。不明なstateは有効でないものとして扱ってください。

表明がレスポンスにどのように表示されるか

レスポンスは一部の表明を表示し、それ以外を省略するため、attestationがnullであっても誰も表明していないことの証明にはなりません。

最後の2行を除く各行は、表明が有効である間に当てはまります。自動コントロールでは、チェックが読み取る値が表明の保存時の値と異なっている間、表明は有効ではありません。自動コントロールでレスポンスに表示される表明は、すべてリスク受容です。アクティビティフィードには、レスポンスで省略される種類の表明も記録されます。

結果を集計する

ratingでコントロールを集計する際は、4つの点を確認してください。

表明者とコメント

attested_byは、read:compliance_user_dataをread:compliance_org_dataとあわせて保持するキー、またはread:org_auditを保持するキーの場合にのみ値が入ります。read:compliance_user_dataのみを持つキーでは403が返されます。attested_byのuser_idは、表明のアクティビティにおけるactorのuser_idと同じです。attested_byにはユーザーIDのみが含まれます。現在の各メンバーの名前とメールアドレスは、組織のユーザーを一覧表示するで取得できます。これらのスコープを追加する前に、誰が表明したかを確認できる人を参照してください。

このエンドポイントはSecurity postureページにコメントが表示されている場合でもコメントを返しません。すべてのcommentはnullで、comments_statusはnot_enabledまたはnot_permittedです。そのため、comments_statusがnot_enabledであることやcommentがnullであることは、表明にコメントがないことを意味するものではありません。comments_statusは、nullのコメントをどのように解釈するかを示し、スキーマではこれらの値が定義されています。

値が追加される可能性があります。不明な値はunavailableとして扱ってください。

エラー

エラーはCompliance APIの他の部分と同じ本文を使用します。この表には、このエンドポイントが固有の方法で返すエラーを示します。

404の原因：

• organization_idがUUIDではない、どの組織も指していない、または削除済みの組織を指している。
• organization_id が、親組織、別の親の下にある組織、または単一組織のキーが対象としない組織を指している。
• 組織がClaude Enterpriseではない、またはClaude Consoleの組織のように、その組織でSecurity postureを利用できない。
• 組織に対してSecurity postureページがオフにされている（Security postureの利用可能性を参照）。
• 組織でSecurity postureを利用できるが、エンドポイントがその組織に対応していない。
• 利用可能性を確認できなかった。後のリクエストは成功する可能性がある。

すべての404は同じ本文を持ち、存在しないパスの場合も同様です。

鮮度と副作用

エンドポイントは呼び出し時にすべてのコントロールを評価し、evaluated_atはその時刻です。

• 直近数分間の変更は反映されない可能性があります。
• 設定が変更されていなくても、結果が変わる可能性があります。たとえば、終了日が到来した場合や、Anthropicが推奨値を変更した場合です。
• Anthropicが現在の値の文言を変更した場合、その値に対するリスク受容は有効ではなくなります。
• 呼び出しによって結果が保存されることはなく、表明が終了することもありません。
• キー、スコープ、バージョンのチェックを通過し、クエリパラメータを含まない各リクエストは、成功・失敗にかかわらずcompliance_api_accessedアクティビティを1件記録します。そのurlは読み取られた組織を示し、親組織のキーの場合organization_uuidはnullです。