Security posture 结果参考

此端点为组织的大部分安全控制项各返回一个条目（在请求时进行评估），并附带响应中包含的每个控制项的 Security posture 声明。您需要一个覆盖该组织、具有 read:compliance_org_data 或 read:org_audit 作用域的 Compliance Access Key；Security posture 可用性说明了可以读取哪些组织。

请求

向 /v1/compliance/organizations/{organization_id}/security_posture 发送 GET 请求。每次调用读取一个组织，且响应不分页。

curl --fail-with-body -sS \
  "https://api.anthropic.com/v1/compliance/organizations/91012d09-e48b-438e-a489-1bebfd8fa6f9/security_posture" \
  -H "x-api-key: $ANTHROPIC_COMPLIANCE_ACCESS_KEY" \
  -H "anthropic-version: 2026-10-21"

响应

以下节选示例展示了响应中可能包含的四个控制项。它是对一个持有 read:compliance_org_data 和 read:compliance_user_data 的密钥的响应。

{
  "type": "security_posture",
  "organization_id": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
  "evaluated_at": "2027-02-09T09:00:02.417305Z",
  "comments_status": "not_enabled",
  "controls": [
    {
      "id": "sso_enabled",
      "display_name": "Single sign-on (SSO)",
      "section": "identity_access",
      "setting_name": "sso_enabled",
      "status": "passed",
      "rating": "passed",
      "current_value": "On",
      "desired_state": "On",
      "attestation": null
    },
    {
      "id": "directory_sync_enabled",
      "display_name": "Directory sync (SCIM)",
      "section": "identity_access",
      "setting_name": "directory_sync_enabled",
      "status": "failed_check_accepted_risk",
      "rating": "passed",
      "current_value": "Off",
      "desired_state": "On",
      "attestation": {
        "state": "in_force",
        "attested_at": "2026-10-20T15:04:00.220114Z",
        "comment": null,
        "attested_by": {
          "type": "user_actor",
          "user_id": "user_01WxYzAbCdEfGhJkMnPqRsTu"
        }
      }
    },
    {
      "id": "allowed_invite_domains",
      "display_name": "Allowed email domains",
      "section": "identity_access",
      "setting_name": "allowed_invite_domains",
      "status": "descriptive",
      "rating": "descriptive",
      "current_value": "example.com",
      "desired_state": null,
      "attestation": null
    },
    {
      "id": "oauth_conditional_access",
      "display_name": "OAuth conditional access on connected SaaS",
      "section": "connectors_integrations",
      "setting_name": null,
      "status": "not_attested",
      "rating": "not_attested",
      "current_value": null,
      "desired_state": "Completed",
      "attestation": {
        "state": "review_due",
        "attested_at": "2026-11-02T09:30:00.008771Z",
        "comment": null,
        "attested_by": {
          "type": "user_actor",
          "user_id": "user_01AbCdEfGhJkLmNpQrStUvWx"
        }
      }
    }
  ]
}

每个字段始终存在，没有值的字段为 null，绝不会被省略。时间要么没有小数位，要么有六位小数，因此请将时间作为时间进行比较，而不是作为字符串比较。

顶层字段

controls[] 字段

section 为以下值之一：identity_access、data_privacy、capabilities、connectors_integrations、chats_desktop_mdm、cowork_admin_console、cowork_desktop_mdm、claude_code_admin_console、claude_code_managed_settings 和 healthy_adoption。

要在代码中比较值，请在同一组织的有效设置中查找 setting_name。查找可能找不到任何结果，且两个控制项可能共享同一个 setting_name。

attestation 字段

attested_by 字段

状态值

status 给出控制项结果的原因，每个状态对应一个 rating。

没有字段标明控制项的类型；对于 failed，current_value 为 null 表示这是手动控制项。可能会添加更多值，因此请按 rating 统计具有未知 status 的控制项，并将未知的 rating 视为未获“通过”。状态 review 与生效状态 review_due 无关。

声明的生效状态

state 说明响应中包含的声明是否生效。

当适用的原因超过一个时，响应按 check_passing、setting_changed、review_due 的顺序给出第一个适用的原因。从结束日期当天 00:00 UTC 起，声明不再生效。响应中没有结束日期，因此由 state 决定；已保存的结束日期即声明活动的 review_date。请将未知的 state 视为未生效。

声明在响应中的显示方式

响应会包含某些声明而省略其他声明，因此 attestation 为 null 并不能证明没有人作出声明。

除最后两行外，每一行都适用于声明生效期间。在自动控制项上，只要检查读取的值与保存声明时的值不同，该声明就不生效。响应在自动控制项上包含的每个声明都是已接受风险。活动源也会记录响应所省略的那些类型的声明。

统计结果

按 rating 统计控制项时需要检查以下四点。

声明者与备注

只有当密钥同时持有 read:compliance_user_data 和 read:compliance_org_data，或持有 read:org_audit 时，才会填充 attested_by。仅持有 read:compliance_user_data 的密钥会收到 403。attested_by 中的 user_id 与声明活动上 actor 的 user_id 相同。attested_by 仅包含用户 ID：列出组织用户会提供每位当前成员的姓名和电子邮件地址。在添加这些作用域之前，请参阅谁可以看到声明者。

此端点不返回备注，即使 Security posture 页面上显示了备注：每个 comment 都为 null，且 comments_status 为 not_enabled 或 not_permitted。因此，not_enabled 和为 null 的备注并不表示该声明没有备注。comments_status 说明如何解读为 null 的备注，schema 定义了以下值。

可能会添加更多值；请将未知值视为 unavailable。

错误

错误使用与 Compliance API 其余部分相同的正文；下表列出此端点以其特有方式返回的错误。

404 的原因：

• organization_id 不是 UUID、未指向任何组织，或指向已删除的组织。
• organization_id 指向父组织、另一个父组织下的组织，或单组织密钥未覆盖的组织。
• 该组织未使用 Claude Enterprise，或 Security posture 对其不可用，例如 Claude Console 组织。
• 该组织的 Security posture 页面已被关闭（请参阅 Security posture 可用性）。
• Security posture 对该组织可用，但此端点不为其提供服务。
• 无法检查可用性；稍后的请求可能会成功。

每个 404 都具有相同的正文，不存在的路径也是如此。

时效性和副作用

此端点在您调用时评估每个控制项，evaluated_at 即为该时间。

• 最近几分钟内的变更可能不会显示。
• 即使没有任何设置发生变更，结果也可能改变，例如到达结束日期时，或 Anthropic 更改推荐值时。
• 如果 Anthropic 改写了某个当前值的措辞，则基于该值的已接受风险不处于生效状态。
• 调用不会存储任何结果，也不会终止任何声明。
• 每个通过密钥、作用域和版本检查且不带查询参数的请求都会记录一个 compliance_api_accessed 活动，无论请求成功还是失败；其 url 指明所读取的组织，对于父组织的密钥，organization_uuid 为 null。