--- title: Security postureの結果リファレンス url: https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/results-reference description: 組織の現在のSecurity postureの結果を返すCompliance APIのエンドポイントについて、リクエスト、レスポンスのフィールド、各ステータスの意味、エラーを確認できます。 --- Compliance APIを有効にするには、[Compliance APIのセットアップ](https://platform.claude.com/docs/ja/manage-claude/compliance-api-access)を参照してください。 このエンドポイントは、組織のセキュリティコントロールの大部分について、それぞれ1つのエントリを返します。各エントリはリクエスト時点で評価され、そのコントロールについてレスポンスに表示される[Security postureの表明](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/overview#attestations)を含みます。その組織を対象とし、`read:compliance_org_data`または`read:org_audit`スコープを持つCompliance Access Keyが必要です。どの組織を読み取れるかについては、[Security postureの利用可能性](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/overview#availability)を参照してください。 ## リクエスト `/v1/compliance/organizations/{organization_id}/security_posture`に`GET`リクエストを送信します。各呼び出しは1つの組織を読み取り、レスポンスはページネーションされません。 ```bash cURL curl --fail-with-body -sS \ "https://api.anthropic.com/v1/compliance/organizations/91012d09-e48b-438e-a489-1bebfd8fa6f9/security_posture" \ -H "x-api-key: $ANTHROPIC_COMPLIANCE_ACCESS_KEY" \ -H "anthropic-version: 2026-10-21" ``` | 項目 | ルール | | ------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `organization_id` | [組織を一覧表示する](https://platform.claude.com/docs/ja/manage-claude/compliance-org-data#list-organizations)で取得した[リンクされた組織](https://platform.claude.com/docs/ja/manage-claude/compliance-api#how-the-compliance-api-works)の`uuid`です。それ以外の値では404が返されます。 | | キー | [親組織のキー](https://platform.claude.com/docs/ja/manage-claude/compliance-api-access#set-up-the-compliance-api)はリンクされたどの組織でも指定でき、単一組織のキーはその組織のみを指定できます。 | | `anthropic-version` | 必須です。これがないリクエストでは400が返されます。 | | クエリパラメータ | ありません。いずれかのクエリパラメータを含むリクエストでは400が返されます。 | ## レスポンス 以下の抜粋例は、レスポンスに含まれうるコントロールのうち4つを示しています。これは`read:compliance_org_data`と`read:compliance_user_data`を保持するキーに対するレスポンスです。 ```json Response { "type": "security_posture", "organization_id": "91012d09-e48b-438e-a489-1bebfd8fa6f9", "evaluated_at": "2027-02-09T09:00:02.417305Z", "comments_status": "not_enabled", "controls": [ { "id": "sso_enabled", "display_name": "Single sign-on (SSO)", "section": "identity_access", "setting_name": "sso_enabled", "status": "passed", "rating": "passed", "current_value": "On", "desired_state": "On", "attestation": null }, { "id": "directory_sync_enabled", "display_name": "Directory sync (SCIM)", "section": "identity_access", "setting_name": "directory_sync_enabled", "status": "failed_check_accepted_risk", "rating": "passed", "current_value": "Off", "desired_state": "On", "attestation": { "state": "in_force", "attested_at": "2026-10-20T15:04:00.220114Z", "comment": null, "attested_by": { "type": "user_actor", "user_id": "user_01WxYzAbCdEfGhJkMnPqRsTu" } } }, { "id": "allowed_invite_domains", "display_name": "Allowed email domains", "section": "identity_access", "setting_name": "allowed_invite_domains", "status": "descriptive", "rating": "descriptive", "current_value": "example.com", "desired_state": null, "attestation": null }, { "id": "oauth_conditional_access", "display_name": "OAuth conditional access on connected SaaS", "section": "connectors_integrations", "setting_name": null, "status": "not_attested", "rating": "not_attested", "current_value": null, "desired_state": "Completed", "attestation": { "state": "review_due", "attested_at": "2026-11-02T09:30:00.008771Z", "comment": null, "attested_by": { "type": "user_actor", "user_id": "user_01AbCdEfGhJkLmNpQrStUvWx" } } } ] } ``` すべてのフィールドは常に存在し、値のないフィールドは省略されず`null`になります。時刻の小数部は0桁または6桁のいずれかであるため、時刻は文字列としてではなく時刻として比較してください。 ### トップレベルのフィールド | フィールド | 型 | 説明 | | ----------------- | ----------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `type` | 文字列 | 常に`security_posture`です。 | | `organization_id` | 文字列 | 組織のUUIDです。 | | `evaluated_at` | 文字列（RFC 3339、UTC） | すべてのコントロールが評価された時刻です。 | | `comments_status` | 文字列 | 表明のコメントが読み取られたかどうかです。[表明者とコメント](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/results-reference#who-attested-and-comments)を参照してください。 | | `controls` | オブジェクトの配列 | 組織のコントロールです。空になることはありません。 | ### `controls[]`のフィールド | フィールド | 型 | 説明 | | --------------- | ------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | `id` | 文字列 | コントロールの識別子です。すべての組織で同じで、変更されることはありません。 | | `display_name` | 文字列 | コントロールの表示名です。英語の表示テキストであり、文言は変更される可能性があります。 | | `section` | 文字列 | コントロールが属するセクションで、この表の後に挙げる10のセクションのいずれかです。値が追加される可能性があるため、不明な値はそれ自体で独立したセクションとして扱ってください。 | | `setting_name` | 文字列またはnull | このコントロールが読み取る、組織の有効な設定内のエントリの`name`です。そのようなエントリを読み取らない場合は`null`です。 | | `status` | 文字列 | コントロールの結果の理由です。[ステータス値](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/results-reference#status-values)を参照してください。 | | `rating` | 文字列 | `status`から決まるコントロールの結果です。[ステータス値](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/results-reference#status-values)を参照してください。 | | `current_value` | 文字列またはnull | 現在の値です。英語の表示テキストであり、文言は変更される可能性があります。手動コントロールの場合、または値が読み取られなかった場合は`null`です。 | | `desired_state` | 文字列またはnull | 推奨値です。英語の表示テキストであり、文言は変更される可能性があります。この組織に推奨値がない場合は`null`です。 | | `attestation` | オブジェクトまたはnull | レスポンスに表示される表明で、表明が有効でない間も表示されます。`status`が`descriptive`、`not_applicable`、`not_evaluated`である間、および[これらのケース](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/results-reference#how-an-attestation-shows-in-the-response)では`null`です。 | `section`は、`identity_access`、`data_privacy`、`capabilities`、`connectors_integrations`、`chats_desktop_mdm`、`cowork_admin_console`、`cowork_desktop_mdm`、`claude_code_admin_console`、`claude_code_managed_settings`、`healthy_adoption`のいずれかです。 コードで値を比較するには、同じ組織の[有効な設定](https://platform.claude.com/docs/ja/manage-claude/compliance-org-data#get-effective-organization-settings)で`setting_name`を検索してください。検索で何も見つからない可能性があり、また2つのコントロールが1つの`setting_name`を共有する可能性もあります。 ### `attestation`のフィールド | フィールド | 型 | 説明 | | ------------- | ----------------- | ------------------------------------------------------------------------------------------------------------------------------------------------- | | `state` | 文字列 | 表明が有効かどうかです。[表明の状態](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/results-reference#attestation-states)を参照してください。 | | `attested_at` | 文字列（RFC 3339、UTC） | 表明が行われた日時です。 | | `comment` | 文字列またはnull | 表明とともに保存されたコメントで、2,000文字以下です。コメントがない場合、または`comments_status`が`available`でない場合は`null`です。 | | `attested_by` | オブジェクトまたはnull | 表明した人物です。キーが`read:compliance_user_data`と`read:org_audit`のいずれも保持していない場合、その人物のアカウントが削除済みか削除中の場合、またはエンドポイントが表明した人物を組織について返さない場合は`null`です。 | ### `attested_by`のフィールド | フィールド | 型 | 説明 | | --------- | --- | ----------------------- | | `type` | 文字列 | 常に`user_actor`です。 | | `user_id` | 文字列 | ユーザーのIDで、`user_`で始まります。 | ## ステータス値 `status`はコントロールの結果の理由を示し、各ステータスには1つの`rating`が対応します。 | `status` | コントロールの種類 | 意味 | `rating` | ページ上の表示 | | ---------------------------- | --------- | ----------------------------------------------- | -------------- | --------------------- | | `passed` | 自動 | 現在の値が推奨値を満たしています。 | `passed` | 合格 | | `matches_profile` | 自動 | 現在の値が推奨値と等しくなっています。 | `passed` | 合格 | | `exceeds_baseline` | 自動 | 現在の値が推奨値より厳格です。 | `passed` | 合格 | | `failed_check_accepted_risk` | 自動 | 自動チェックが失敗しており、リスク受容が有効です。 | `passed` | 合格 | | `failed` | 自動または手動 | 現在の値が推奨値を満たしていないか、レスポンスで省略される表明によってこの結果になっています。 | `failed` | 不合格、または完了の表明が有効な場合は合格 | | `review` | 自動 | 現在の値が推奨値より緩くなっています。 | `failed` | 不合格 | | `attested_completed` | 手動 | 値が完了（`completed`）の表明が有効です。 | `passed` | 合格 | | `attested_accepted_risk` | 手動 | 値がリスク受容（`accepted_risk`）の表明が有効です。 | `passed` | 合格 | | `not_attested` | 手動 | 有効な表明がありません。 | `not_attested` | 未表明 | | `attestation_not_enabled` | 手動 | 誰もこのコントロールについて表明できません。 | `not_attested` | 参考情報 | | `descriptive` | 参考情報 | コントロールは報告されますが、合否は判定されません。 | `descriptive` | 参考情報 | | `not_applicable` | いずれか | コントロールは組織に適用されません。 | `descriptive` | 参考情報 | | `not_evaluated` | いずれか | 設定、またはコントロールが適用されるかどうかを決める別の設定を読み取れませんでした。 | `descriptive` | 参考情報 | コントロールの種類を示すフィールドはありません。`failed`の場合、`current_value`が`null`であれば手動コントロールです。値が追加される可能性があるため、不明な`status`を持つコントロールはその`rating`で集計し、不明な`rating`は合格として扱わないでください。ステータス`review`と表明の状態`review_due`は関係ありません。 ## 表明の状態 `state`は、レスポンスに表示される表明が有効かどうかを示します。 | `state` | 意味 | | ----------------- | ------------------------------------------------------- | | `in_force` | 表明が有効です。 | | `review_due` | 終了日が到来しました。 | | `setting_changed` | リスクを受容した値とは別の値でチェックが失敗しているか、リスク受容がすでに終了したものとして記録されています。 | | `check_passing` | チェックが成功しているため、受容すべきリスクはありません。 | 複数の理由が当てはまる場合、レスポンスは`check_passing`、`setting_changed`、`review_due`のうち最初に該当するものを返します。表明は終了日の00:00 UTCから有効ではなくなります。レスポンスには終了日が含まれないため、`state`によって判断します。保存された終了日は、表明のアクティビティの[`review_date`](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/events-reference#attestation-activity)です。不明な`state`は有効でないものとして扱ってください。 ## 表明がレスポンスにどのように表示されるか レスポンスは一部の表明を表示し、それ以外を省略するため、`attestation`が`null`であっても誰も表明していないことの証明にはなりません。 | コントロールの種類 | 表明の値 | `status` | `rating` | `attestation` | | --------------- | --------------------- | ------------------------------------------------------ | -------------- | --------------------------- | | 手動 | 表明なし | `not_attested`、または誰も表明できない場合は`attestation_not_enabled` | `not_attested` | `null` | | 手動 | 完了 | `attested_completed` | `passed` | 表示される | | 手動 | リスク受容 | `attested_accepted_risk` | `passed` | 表示される | | 手動 | 不合格（`control_failed`） | `failed` | `failed` | `null`：表示されることはない | | 自動、チェック失敗 | 表明なし | `failed`または`review` | `failed` | `null` | | 自動、チェック失敗 | リスク受容 | `failed_check_accepted_risk` | `passed` | 表示される | | 自動、チェック失敗 | 完了 | `failed`（自動チェックが`review`を返す場合でも） | `failed` | `null`：表示されることはない | | 自動、チェック失敗 | 不合格 | 自動チェックが返す`status` | `failed` | `null`：表示されることはない | | 自動、チェック成功 | 表明なし | `passed`、`matches_profile`、または`exceeds_baseline` | `passed` | `null` | | 自動、チェック成功 | 完了 | 自動チェックが返す`status` | `passed` | `null`：表示されることはない | | 自動、チェック成功 | リスク受容 | 自動チェックが返す`status` | `passed` | 受容した値でチェックが成功している間は`null` | | 自動、チェック成功 | 不合格 | `failed` | `failed` | `null`：表示されることはない | | 参考情報 | いずれかの値 | `descriptive` | `descriptive` | `null`：表示されることはない | | いずれか（表明が有効でない間） | 前の行で表示される値 | 表明なしの場合と同じ | 表明なしの場合と同じ | 表示される（`state`は`in_force`以外） | | いずれか（表明が有効でない間） | 前の行で省略される値 | 表明なしの場合と同じ | 表明なしの場合と同じ | `null` | 最後の2行を除く各行は、表明が有効である間に当てはまります。自動コントロールでは、チェックが読み取る値が表明の保存時の値と異なっている間、表明は有効ではありません。自動コントロールでレスポンスに表示される表明は、すべてリスク受容です。[アクティビティフィード](https://platform.claude.com/docs/ja/manage-claude/compliance-activity-feed)には、レスポンスで省略される種類の表明も記録されます。 ## 結果を集計する `rating`でコントロールを集計する際は、4つの点を確認してください。 | 集計対象 | あわせて確認する点 | | ------------------- | --------------------------------------------------------------------------------------------------------- | | 合格（`passed`） | リスク受容が有効なすべてのコントロールが含まれるため、`failed_check_accepted_risk`と`attested_accepted_risk`を確認してください。 | | 不合格（`failed`） | 不合格（`control_failed`）として表明されたコントロールと、完了の表明が有効な状態で失敗している自動チェックが含まれます。後者はSecurity postureのページでは合格として表示されます。 | | 参考情報（`descriptive`） | 読み取れなかったコントロールが紛れている可能性があるため、`not_evaluated`を確認してください。 | | すべてのコントロール | レスポンスに含まれないコントロールは合格として扱われず、名前も示されないため、`id`の値をその組織についてこれまでに確認した値と比較してください。 | ## 表明者とコメント `attested_by`は、`read:compliance_user_data`を`read:compliance_org_data`とあわせて保持するキー、または`read:org_audit`を保持するキーの場合にのみ値が入ります。`read:compliance_user_data`のみを持つキーでは403が返されます。`attested_by`の`user_id`は、表明のアクティビティにおける`actor`の`user_id`と同じです。`attested_by`にはユーザーIDのみが含まれます。現在の各メンバーの名前とメールアドレスは、[組織のユーザーを一覧表示する](https://platform.claude.com/docs/ja/manage-claude/compliance-org-data#list-organization-users)で取得できます。これらのスコープを追加する前に、[誰が表明したかを確認できる人](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/overview#who-can-see-who-attested)を参照してください。 このエンドポイントはSecurity postureページにコメントが表示されている場合でもコメントを返しません。すべての`comment`は`null`で、`comments_status`は`not_enabled`または`not_permitted`です。そのため、`comments_status`が`not_enabled`であることや`comment`が`null`であることは、表明にコメントがないことを意味するものではありません。`comments_status`は、`null`のコメントをどのように解釈するかを示し、スキーマではこれらの値が定義されています。 | `comments_status` | 意味 | | --------------------------- | ---------------------------------------------------------------------------------------------------------- | | `not_permitted` | APIキーが`read:compliance_user_data`と`read:org_audit`のいずれも保持していないため、すべての`comment`とすべての`attested_by`が`null`です。 | | `requires_organization_key` | APIキーが、親組織のキーなど、この組織で作成されていないキーであるため、すべての`comment`が`null`です。再試行しても解決しません。 | | `available` | コメントが読み取られたため、`null`のコメントは、コメントがないか、直前に保存されたことを意味します。 | | `not_enabled` | このエンドポイントはこの組織のコメントを返さないため、すべての`comment`が`null`です。 | | `unavailable` | このレスポンスではコメントを読み取れませんでした。後のリクエストは成功する可能性がありますが、原因によっては顧客が対処するまで続くものもあります。 | 値が追加される可能性があります。不明な値は`unavailable`として扱ってください。 ## エラー エラーは[Compliance API](https://platform.claude.com/docs/ja/manage-claude/compliance-errors)の他の部分と同じ本文を使用します。この表には、このエンドポイントが固有の方法で返すエラーを示します。 | ステータスと`error.type` | 発生する状況 | 対処方法 | | ------------------------------------------------------------------------------ | --------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------- | | 400 `invalid_request_error` | `anthropic-version`がないか無効である、親組織でCompliance APIが有効になっていない、またはクエリパラメータがある場合。 | `error.message`が示す問題を修正してください。 | | 401 `authentication_error` | キーがない、認識されない、またはCompliance Access KeyでもAdmin APIキーでもない場合。 | `x-api-key`で有効なCompliance Access Keyを送信してください。 | | 403 `permission_error` | キーがこのエンドポイントを呼び出すことを許可されていない場合。通常は`read:compliance_org_data`と`read:org_audit`のいずれも持っていないためです。 | いずれかのスコープを持つキーを使用してください。 | | 404 `not_found_error` | この表の後に記載されている原因を参照してください。 | すぐに再試行せず、不合格のコントロールがないという意味には決して解釈しないでください。 | | 429 `rate_limit_error` | 共有のCompliance APIのレート制限、またはこのエンドポイントのより低い制限を使い切った場合。どちらであるかは`error.message`に示されます。 | `retry-after`の間待機してください。[429 Too Many Requests](https://platform.claude.com/docs/ja/manage-claude/compliance-errors#429-too-many-requests)を参照してください。 | | 503 `overloaded_error`（`error.details.error_code`が`posture_evaluation_failed`） | 結果を生成できなかった場合。 | `retry-after`の間待機してから再試行してください。以降の実行でも1つの組織で繰り返し発生する場合は、Anthropicサポートに一度連絡してください。 | | 503（`error_code`なし）、または504 `timeout_error` | 一時的な障害です。 | 指数バックオフで再試行してください。 | 404の原因： * `organization_id`がUUIDではない、どの組織も指していない、または削除済みの組織を指している。 * `organization_id` が、親組織、別の親の下にある組織、または単一組織のキーが対象としない組織を指している。 * 組織がClaude Enterpriseではない、またはClaude Consoleの組織のように、その組織でSecurity postureを利用できない。 * 組織に対してSecurity postureページがオフにされている（[Security postureの利用可能性](https://platform.claude.com/docs/ja/manage-claude/compliance-security-posture/overview#availability)を参照）。 * 組織でSecurity postureを利用できるが、エンドポイントがその組織に対応していない。 * 利用可能性を確認できなかった。後のリクエストは成功する可能性がある。 すべての404は同じ本文を持ち、存在しないパスの場合も同様です。 ## 鮮度と副作用 エンドポイントは呼び出し時にすべてのコントロールを評価し、`evaluated_at`はその時刻です。 * 直近数分間の変更は反映されない可能性があります。 * 設定が変更されていなくても、結果が変わる可能性があります。たとえば、終了日が到来した場合や、Anthropicが推奨値を変更した場合です。 * Anthropicが現在の値の文言を変更した場合、その値に対するリスク受容は有効ではなくなります。 * 呼び出しによって結果が保存されることはなく、表明が終了することもありません。 * キー、スコープ、バージョンのチェックを通過し、クエリパラメータを含まない各リクエストは、成功・失敗にかかわらず`compliance_api_accessed`アクティビティを1件記録します。その`url`は読み取られた組織を示し、親組織のキーの場合`organization_uuid`は`null`です。