Security posture 결과 참조

이 엔드포인트는 요청 시점에 평가된 조직의 보안 통제 대부분에 대해 각각 하나의 항목을 반환하며, 각 통제에 대해 응답에 나타나는 Security posture 진술이 함께 포함됩니다. 해당 조직을 포함하고 read:compliance_org_data 또는 read:org_audit 범위를 가진 Compliance Access Key가 필요합니다. 읽을 수 있는 조직은 Security posture 사용 가능 여부에서 확인하세요.

요청

/v1/compliance/organizations/{organization_id}/security_posture로 GET 요청을 보내세요. 각 호출은 하나의 조직을 읽으며, 응답은 페이지로 나뉘지 않습니다.

curl --fail-with-body -sS \
  "https://api.anthropic.com/v1/compliance/organizations/91012d09-e48b-438e-a489-1bebfd8fa6f9/security_posture" \
  -H "x-api-key: $ANTHROPIC_COMPLIANCE_ACCESS_KEY" \
  -H "anthropic-version: 2026-10-21"

응답

다음 축약 예시는 응답에 포함될 수 있는 통제 중 네 가지를 보여 줍니다. read:compliance_org_data와 read:compliance_user_data를 보유한 키에 대한 응답입니다.

{
  "type": "security_posture",
  "organization_id": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
  "evaluated_at": "2027-02-09T09:00:02.417305Z",
  "comments_status": "not_enabled",
  "controls": [
    {
      "id": "sso_enabled",
      "display_name": "Single sign-on (SSO)",
      "section": "identity_access",
      "setting_name": "sso_enabled",
      "status": "passed",
      "rating": "passed",
      "current_value": "On",
      "desired_state": "On",
      "attestation": null
    },
    {
      "id": "directory_sync_enabled",
      "display_name": "Directory sync (SCIM)",
      "section": "identity_access",
      "setting_name": "directory_sync_enabled",
      "status": "failed_check_accepted_risk",
      "rating": "passed",
      "current_value": "Off",
      "desired_state": "On",
      "attestation": {
        "state": "in_force",
        "attested_at": "2026-10-20T15:04:00.220114Z",
        "comment": null,
        "attested_by": {
          "type": "user_actor",
          "user_id": "user_01WxYzAbCdEfGhJkMnPqRsTu"
        }
      }
    },
    {
      "id": "allowed_invite_domains",
      "display_name": "Allowed email domains",
      "section": "identity_access",
      "setting_name": "allowed_invite_domains",
      "status": "descriptive",
      "rating": "descriptive",
      "current_value": "example.com",
      "desired_state": null,
      "attestation": null
    },
    {
      "id": "oauth_conditional_access",
      "display_name": "OAuth conditional access on connected SaaS",
      "section": "connectors_integrations",
      "setting_name": null,
      "status": "not_attested",
      "rating": "not_attested",
      "current_value": null,
      "desired_state": "Completed",
      "attestation": {
        "state": "review_due",
        "attested_at": "2026-11-02T09:30:00.008771Z",
        "comment": null,
        "attested_by": {
          "type": "user_actor",
          "user_id": "user_01AbCdEfGhJkLmNpQrStUvWx"
        }
      }
    }
  ]
}

모든 필드는 항상 존재하며, 값이 없는 필드는 절대 생략되지 않고 null이 됩니다. 시간 값은 소수 자릿수가 없거나 여섯 자리이므로, 시간은 문자열이 아닌 시간으로 비교하세요.

최상위 필드

controls[] 필드

section은 identity_access, data_privacy, capabilities, connectors_integrations, chats_desktop_mdm, cowork_admin_console, cowork_desktop_mdm, claude_code_admin_console, claude_code_managed_settings, healthy_adoption 중 하나입니다.

코드에서 값을 비교하려면 같은 조직의 유효 설정에서 setting_name을 조회하세요. 조회 결과가 없을 수도 있으며, 두 통제가 하나의 setting_name을 공유할 수도 있습니다.

attestation 필드

attested_by 필드

결과 사유 값

status는 통제 결과의 사유를 나타내며, 각 결과 사유에는 하나의 rating이 대응합니다.

통제 종류를 나타내는 필드는 없습니다. failed의 경우 current_value가 null이면 수동 통제입니다. 값이 추가될 수 있으므로, 알 수 없는 status를 가진 통제는 rating에 따라 집계하고, 알 수 없는 rating은 통과로 간주하지 마세요. 결과 사유 review와 진술 상태 review_due는 서로 관련이 없습니다.

진술 상태

state는 응답에 나타나는 진술이 유효한지 여부를 나타냅니다.

여러 사유가 해당하는 경우, 응답은 check_passing, setting_changed, review_due 중 가장 앞의 것을 제공합니다. 만료일 00:00 UTC부터 진술은 유효하지 않습니다. 응답에는 만료일이 없으므로 state로 판단하며, 저장된 만료일은 진술 활동의 review_date입니다. 알 수 없는 state는 유효하지 않은 것으로 간주하세요.

응답에 진술이 나타나는 방식

응답에는 일부 진술만 나타나고 나머지는 제외되므로, attestation이 null이라고 해서 아무도 진술하지 않았다는 것이 증명되지는 않습니다.

마지막 두 행을 제외한 각 행은 진술이 유효한 동안 적용됩니다. 자동 통제에서는 검사가 읽는 값이 진술이 저장될 때의 값과 다른 동안에는 진술이 유효하지 않습니다. 자동 통제에서 응답에 나타나는 진술은 모두 위험 수용입니다. Activity Feed에는 응답에서 제외되는 종류의 진술도 기록됩니다.

결과 집계

rating별로 통제를 집계할 때 네 가지 사항을 확인하세요.

진술자 및 코멘트

attested_by는 read:compliance_org_data와 함께 read:compliance_user_data를 보유하거나 read:org_audit를 보유한 키에 대해서만 채워집니다. read:compliance_user_data만 보유한 키는 403을 받습니다. attested_by의 user_id는 진술 활동에 있는 actor의 user_id와 같습니다. attested_by에는 사용자 ID만 들어 있으며, 각 현재 구성원의 이름과 이메일 주소는 조직 사용자 나열에서 제공됩니다. 이러한 범위를 추가하기 전에 진술한 사람을 볼 수 있는 사람을 참조하세요.

이 엔드포인트는 Security posture 페이지에 코멘트가 표시되는 경우에도 코멘트를 반환하지 않습니다. 모든 comment는 null이며, comments_status는 not_enabled 또는 not_permitted입니다. 따라서 not_enabled와 null 코멘트는 진술에 코멘트가 없다는 뜻이 아닙니다. comments_status는 null 코멘트를 어떻게 해석해야 하는지 알려 주며, 스키마에는 이 값들이 정의되어 있습니다.

값이 추가될 수 있습니다. 알 수 없는 값은 unavailable로 간주하세요.

오류

오류는 나머지 Compliance API와 동일한 본문을 사용합니다. 이 표는 이 엔드포인트가 고유한 방식으로 반환하는 오류를 나열합니다.

404의 원인:

• organization_id가 UUID가 아니거나, 어떤 조직도 가리키지 않거나, 삭제된 조직을 가리킵니다.
• organization_id가 상위 조직, 다른 상위 조직 아래의 조직, 또는 단일 조직용 키가 포함하지 않는 조직을 가리킵니다.
• 조직이 Claude Enterprise를 사용하지 않거나, Claude Console 조직처럼 Security posture를 사용할 수 없습니다.
• 해당 조직에 대해 Security posture 페이지가 꺼짐으로 설정되었습니다(Security posture 사용 가능 여부 참조).
• 조직에서 Security posture를 사용할 수 있지만, 엔드포인트가 해당 조직을 지원하지 않습니다.
• 사용 가능 여부를 확인할 수 없었습니다. 이후 요청은 성공할 수 있습니다.

모든 404는 존재하지 않는 경로와 마찬가지로 동일한 본문을 가집니다.

최신성 및 부수 효과

엔드포인트는 호출 시점에 모든 통제를 평가하며, evaluated_at이 그 시점입니다.

• 최근 몇 분 이내의 변경 사항은 반영되지 않을 수 있습니다.
• 설정이 변경되지 않아도 결과가 바뀔 수 있습니다. 예를 들어 만료일이 되거나 Anthropic이 권장 값을 변경하는 경우입니다.
• Anthropic이 현재 값의 표현을 변경하면, 해당 값에 대한 위험 수용은 유효하지 않습니다.
• 호출은 결과를 저장하지 않으며 진술을 종료시키지 않습니다.
• 키, 범위, 버전 검사를 통과하고 쿼리 매개변수가 없는 각 요청은 성공 여부와 관계없이 compliance_api_accessed 활동을 하나 기록합니다. 이 활동의 url은 읽은 조직을 나타내며, 상위 조직용 키의 경우 organization_uuid는 null입니다.