Справочник по результатам Security posture

Эта конечная точка возвращает записи для большинства мер безопасности организации, оценённых в момент запроса, вместе с подтверждением Security posture, которое ответ содержит для каждой из них. Вам нужен Compliance Access Key, охватывающий организацию, с областью действия read:compliance_org_data или read:org_audit; в разделе Доступность Security posture указано, какие организации можно прочитать.

Запрос

Отправьте запрос GET на /v1/compliance/organizations/{organization_id}/security_posture. Каждый вызов читает одну организацию, и ответ не разбивается на страницы.

curl --fail-with-body -sS \
  "https://api.anthropic.com/v1/compliance/organizations/91012d09-e48b-438e-a489-1bebfd8fa6f9/security_posture" \
  -H "x-api-key: $ANTHROPIC_COMPLIANCE_ACCESS_KEY" \
  -H "anthropic-version: 2026-10-21"

Ответ

Следующий сокращённый пример показывает четыре из мер, которые может содержать ответ. Это ответ на запрос с ключом, у которого есть read:compliance_org_data и read:compliance_user_data.

{
  "type": "security_posture",
  "organization_id": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
  "evaluated_at": "2027-02-09T09:00:02.417305Z",
  "comments_status": "not_enabled",
  "controls": [
    {
      "id": "sso_enabled",
      "display_name": "Single sign-on (SSO)",
      "section": "identity_access",
      "setting_name": "sso_enabled",
      "status": "passed",
      "rating": "passed",
      "current_value": "On",
      "desired_state": "On",
      "attestation": null
    },
    {
      "id": "directory_sync_enabled",
      "display_name": "Directory sync (SCIM)",
      "section": "identity_access",
      "setting_name": "directory_sync_enabled",
      "status": "failed_check_accepted_risk",
      "rating": "passed",
      "current_value": "Off",
      "desired_state": "On",
      "attestation": {
        "state": "in_force",
        "attested_at": "2026-10-20T15:04:00.220114Z",
        "comment": null,
        "attested_by": {
          "type": "user_actor",
          "user_id": "user_01WxYzAbCdEfGhJkMnPqRsTu"
        }
      }
    },
    {
      "id": "allowed_invite_domains",
      "display_name": "Allowed email domains",
      "section": "identity_access",
      "setting_name": "allowed_invite_domains",
      "status": "descriptive",
      "rating": "descriptive",
      "current_value": "example.com",
      "desired_state": null,
      "attestation": null
    },
    {
      "id": "oauth_conditional_access",
      "display_name": "OAuth conditional access on connected SaaS",
      "section": "connectors_integrations",
      "setting_name": null,
      "status": "not_attested",
      "rating": "not_attested",
      "current_value": null,
      "desired_state": "Completed",
      "attestation": {
        "state": "review_due",
        "attested_at": "2026-11-02T09:30:00.008771Z",
        "comment": null,
        "attested_by": {
          "type": "user_actor",
          "user_id": "user_01AbCdEfGhJkLmNpQrStUvWx"
        }
      }
    }
  ]
}

Каждое поле присутствует всегда, а поле без значения равно null и никогда не опускается. Время содержит либо ноль, либо шесть знаков дробной части, поэтому сравнивайте время как время, а не как строки.

Поля верхнего уровня

Поля controls[]

section принимает одно из значений: identity_access, data_privacy, capabilities, connectors_integrations, chats_desktop_mdm, cowork_admin_console, cowork_desktop_mdm, claude_code_admin_console, claude_code_managed_settings и healthy_adoption.

Чтобы сравнивать значения в коде, найдите setting_name в действующих настройках той же организации. Поиск может ничего не найти, а две меры могут использовать один и тот же setting_name.

Поля attestation

Поля attested_by

Значения статуса

status указывает причину результата меры, и каждому статусу соответствует один rating.

Ни одно поле не указывает вид меры; для failed значение null в current_value означает вручную подтверждаемую меру. Могут добавляться новые значения, поэтому учитывайте меру с неизвестным status по её rating, а меру с неизвестным rating не считайте пройденной. Статус review и состояние подтверждения review_due между собой не связаны.

Состояния подтверждения

state указывает, действует ли подтверждение, которое содержит ответ.

Когда применимо более одной причины, ответ содержит первую из check_passing, setting_changed и review_due. Начиная с 00:00 UTC в дату своего окончания подтверждение не действует. В ответе нет даты окончания, поэтому всё определяет state; сохранённая дата окончания — это поле review_date активности подтверждения. Подтверждение с неизвестным state считайте недействующим.

Как подтверждение отображается в ответе

Ответ содержит одни подтверждения и опускает другие, поэтому null в attestation не доказывает, что никто не сделал подтверждение.

Каждая строка, кроме двух последних, справедлива, пока подтверждение действует. Для автоматически проверяемой меры подтверждение не действует, пока значение, которое считывает проверка, отличается от того, при котором подтверждение было сохранено. Каждое подтверждение, которое ответ содержит для автоматически проверяемой меры, является принятым риском. Лента активности также записывает подтверждения тех видов, которые ответ опускает.

Подсчёт результатов

Проверьте четыре момента при подсчёте мер по rating.

Кто подтвердил, и комментарии

attested_by заполняется только для ключа, у которого есть read:compliance_user_data вместе с read:compliance_org_data или есть read:org_audit. Ключ только с read:compliance_user_data получает 403. user_id в attested_by совпадает с user_id в actor активности подтверждения. attested_by содержит только идентификатор пользователя: Список пользователей организации предоставляет имя и адрес электронной почты каждого текущего участника. Прежде чем добавлять эти области действия, ознакомьтесь с разделом Кто может видеть, кто выполнил подтверждение.

Конечная точка не возвращает комментарии, даже если на странице Security posture комментарий отображается: каждый comment равен null, а comments_status равен not_enabled или not_permitted. Поэтому not_enabled и комментарий, равный null, не означают, что у подтверждения нет комментария. comments_status указывает, как интерпретировать комментарий, равный null, и схема определяет эти значения.

Могут добавляться новые значения; неизвестное значение считайте равным unavailable.

Ошибки

Ошибки используют то же тело, что и остальной Compliance API; в этой таблице перечислены те, которые эта конечная точка возвращает по-своему.

Причины ошибки 404:

• organization_id не является UUID, не указывает ни на одну организацию или указывает на удалённую.
• organization_id указывает на родительскую организацию, на организацию под другой родительской организацией или на организацию, которую не охватывает ключ для отдельной организации.
• Организация не использует Claude Enterprise, или функция Security posture ей недоступна, как в случае организации Claude Console.
• Для организации страницу Security posture отключили (см. Доступность Security posture).
• Функция Security posture доступна организации, но конечная точка её не обслуживает.
• Не удалось проверить доступность; последующий запрос может завершиться успешно.

У каждой ошибки 404 одинаковое тело — такое же, как у ответа на несуществующий путь.

Актуальность и побочные эффекты

Конечная точка оценивает каждую меру в момент вызова, и evaluated_at — это время вызова.

• Изменение, сделанное в последние несколько минут, может не отобразиться.
• Результат может измениться без изменения настроек, например когда наступает дата окончания или Anthropic меняет рекомендуемое значение.
• Если Anthropic изменит формулировку текущего значения, принятый риск для него не действует.
• Вызов не сохраняет результат и не прекращает действие подтверждений.
• Каждый запрос, который проходит проверки ключа, области действия и версии и не содержит параметра запроса, записывает одну активность compliance_api_accessed независимо от того, успешен он или нет; её url указывает на прочитанную организацию, а organization_uuid равен null для ключа для родительской организации.