--- title: Compliance API 中的 Security posture url: https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/overview description: 了解 Compliance API 針對 claude.ai 中 Security posture 頁面（Security Center）提供哪些資訊，以及從何處開始。 --- 若要啟用 Compliance API，請參閱[設定 Compliance API](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-api-access)。 claude.ai **組織設定**中的 **Security posture** 頁面會將您組織的 Claude 設定與 Anthropic 建議的安全控制措施進行比較。透過 Compliance API，您的安全工具可以讀取該頁面所記錄的變更。它們也可以讀取目前的結果。Security posture 會針對您的設定提出報告，不會變更這些設定。側邊欄項目名稱為 **Security posture**，而它開啟的頁面標題為 **Security Center**。 ## 選擇您的路徑 若要將頁面上的變更傳入您的安全資訊與事件管理 (SIEM) 系統，請從[將 Security posture 事件傳送至您的 SIEM](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/send-events) 開始。如果您已經擷取整個 Activity Feed，您就已經取得這些事件；請[檢查兩件事](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/send-events#if-you-already-ingest-the-full-feed)。 * 若要針對有風險的變更發出警示，請參閱[偵測 Security posture 的變更](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/detect-changes)。 * 若要正規化為開放網路安全結構描述框架 (OCSF)，請參閱[將 Security posture 事件對應至 OCSF](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/ocsf-mapping)。 * 若要查出誰接受了哪項風險、在何時接受、效力持續到何時，請參閱[Security posture 事件參考資料](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/events-reference)；若要查看生效中的風險，請參閱[目前結果](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/overview#current-results)。 若要使用來自端點的目前結果，請參閱下列頁面： * 若用於儀表板，請參閱[Security posture 結果參考資料](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/results-reference)。 * 若要驗證已儲存的事件，請參閱[將已儲存的 Security posture 事件與目前結果核對](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/check-events-against-results)。 * 如果端點與頁面的內容不一致，請參閱[聲明如何顯示於回應中](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/results-reference#how-an-attestation-shows-in-the-response)。 若要了解這些資料，請繼續閱讀。 ## Security posture 評估哪些項目 Security posture 會評估一份控制措施清單，並為每一項給出一個結果。 ### 控制措施 控制措施是一項建議的設定或做法，例如單一登入。每項控制措施都有一個顯示名稱和一個識別碼。識別碼對所有組織皆相同。控制措施也可以有目前值（`current_value`）與建議值（`desired_state`）。控制措施分為三種： | 種類 | 決定其結果的因素 | 範例 | | --------- | -------------------------------------------- | -------------------------- | | 自動控制措施 | 將目前值與建議值進行比較的自動檢查，除非有生效中的聲明。 | `sso_enabled` | | 手動控制措施 | 由人員決定，因為 Anthropic 無法讀取該設定，例如該設定位於其他廠商的主控台中。 | `oauth_conditional_access` | | 僅供參考的控制措施 | 無：沒有建議值，因此該控制措施只會被報告，不予評定。 | `allowed_invite_domains` | ### 聲明 聲明是某人針對組織在某項控制措施上的狀況所記錄的陳述；它並非檢查的結果。大多數控制措施都可以附帶聲明，包括自動控制措施，無論其檢查結果為何。聲明具有以下三個值之一： * 「已完成」（`completed`）：該控制措施已落實。 * 「已接受風險」（`accepted_risk`）：該控制措施未落實，且組織接受此風險。 * 「未通過」（`control_failed`）：該控制措施未落實。 具備聲明權限的人員會在頁面上進行聲明。API 會讀取聲明，但無法建立聲明。有人進行聲明時，頁面可能會提出問題，有時會要求必須回答，並將答案作為聲明的[備註](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/overview#what-anthropic-stores-when-someone-attests)與聲明一同儲存，最多 2,000 個字元。Activity Feed 活動絕不會包含該備註，也不會顯示有備註存在。端點也不會傳回任何備註。 ### 結果 每項控制措施都有以下四種結果之一。 | 結果 | 意義 | | ------------------- | ---------------------------------------- | | 通過（`passed`） | 符合建議值，或有生效中的「已完成」或「已接受風險」聲明。 | | 未通過（`failed`） | 不符合建議值，或被聲明為「未通過」（`control_failed`）。 | | 未聲明（`not_attested`） | 沒有生效中聲明的手動控制措施。 | | 描述性（`descriptive`） | 即使已聲明，也不予評定；涵蓋僅供參考的控制措施，以及不適用或無法讀取的控制措施。 | 在自動或手動控制措施上，生效中的已接受風險會被計為「通過」，即使該控制措施並未落實。 在回應中，[在自動檢查不符合要求期間被聲明為「已完成」](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/results-reference#how-an-attestation-shows-in-the-response)的自動控制措施會是 `failed`。 ### 什麼情況會終止聲明 聲明會保持生效中，直到發生以下三種情況之一： * 有人清除或變更該聲明。 * 其結束日期（`review_date`）到來。進行聲明的人員可選擇 90 天或不設定。 * 在自動或僅供參考的控制措施上，目前值發生變更；或者，對於部分自動控制措施上的已接受風險，自動檢查符合要求。 若沒有生效中的聲明，自動控制措施的結果取決於其檢查；手動控制措施則為「未聲明」。 ## 隨時間發生的變更：Activity Feed Activity Feed 可回答變更了什麼、何時變更，以及由誰變更。當有人對控制措施進行聲明、變更聲明或清除聲明時，它會記錄一筆活動；有時在聲明自動終止時也會記錄。 這些頁面的標題將這些活動稱為事件。讀取它們需要 `read:compliance_activities` 或 `read:org_audit` 範圍。[Security posture 事件參考資料](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/events-reference)列出了它們的欄位。若要收集這些事件，請參閱[將 Security posture 事件傳送至您的 SIEM](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/send-events)。 ## 目前結果：端點 端點可回答在請求當下某項控制措施的結果為何。您可以使用它針對[上層組織](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-api#how-the-compliance-api-works)底下的各個組織進行報告。每次呼叫只會讀取一個組織，且不會傳回歷史紀錄。對於回應中列出的每項控制措施，回應會提供其 `id`、`display_name`，並在 `rating` 中提供其結果，所用的是[結果表格](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/overview#results)中的識別碼。 呼叫它需要 `read:compliance_org_data` 或 `read:org_audit` 範圍。 頁面、端點與 Activity Feed 顯示的內容不一定相同，因為回應會省略部分控制措施與部分聲明。請參閱[聲明如何顯示於回應中](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/results-reference#how-an-attestation-shows-in-the-response)以及[將已儲存的 Security posture 事件與目前結果核對](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/check-events-against-results)。 ## 可用性 Security posture 目前為測試版。 **如果您的組織使用 Claude Enterprise、可使用 Security posture，且其上層組織已啟用 Compliance API，**Activity Feed 會為該組織記錄聲明活動，且端點會傳回您的組織的結果。 您還需要一個具備相應範圍的 Compliance Access Key。這些頁面假設您已閱讀[設定 Compliance API](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-api-access) 與[查詢 Activity Feed](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-activity-feed)。 **如果您的組織使用其他方案，或是 Claude Console 組織，**Activity Feed 不會記錄該組織的 Security posture 活動，且端點會傳回 404。 **如果針對您的組織，Security posture 頁面已被關閉，**端點會對您的組織傳回 404，直到該頁面被開啟為止。即使是上層組織的金鑰，也會收到該 404。 對於部分組織，即使三項條件皆成立且該頁面未被關閉，端點仍會傳回 404。 ## 誰可以看到進行聲明的人員 每一筆由人員所引發的聲明活動，都會記錄其使用者 ID、當時的電子郵件地址，以及請求的 IP 位址與使用者代理程式。任何一個涵蓋該組織且具備 `read:compliance_activities` 或 `read:org_audit` 的金鑰都可以讀取這些資料，即使該人員已離開組織或其帳戶已刪除亦然。刪除組織並不會將這些活動從 Activity Feed 中移除，Activity Feed 會保留活動 6 年。組織本身的金鑰會在組織刪除時失效。 任何一個同時具備 `read:compliance_org_data` 與 `read:compliance_user_data`，或具備 `read:org_audit` 的金鑰，都能在端點的 `attested_by` 中讀取進行聲明之人員的使用者 ID（在端點有傳回此資訊的情況下），即使是在您取得存取權之前所做的聲明亦然。 這些值屬於個人資料；即使該人員已不再是成員，您保存的副本仍會存在。在收集這些資料之前，請先告知進行聲明的人員。 ## 有人進行聲明時 Anthropic 會儲存哪些內容 Anthropic 會為每項控制措施儲存一則聲明，其中包括其值、進行聲明的時間、結束日期（如有），以及進行聲明的人員的帳戶。再次進行聲明會取代該聲明。 在聲明的結束日期到來或聲明[自動終止](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/overview#what-ends-an-attestation)之後，Anthropic 仍會繼續儲存該聲明，直到有人清除該聲明或 Anthropic 在刪除該組織時一併刪除該聲明為止。如果進行聲明之人員的帳戶遭到刪除，Anthropic 會繼續儲存該聲明，但該聲明不再載明由誰進行聲明。由該人員所引發的 Activity Feed 活動（如有）仍會載明該人員。清除或取代聲明不會從 Activity Feed 中移除任何內容（請參閱[誰可以看到進行聲明的人員](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/overview#who-can-see-who-attested)）。 [客戶管理的加密金鑰 (CMEK)](https://platform.claude.com/docs/zh-TW/manage-claude/cmek)、[Claude Code 的零資料保留 (ZDR)](https://code.claude.com/docs/zh-TW/zero-data-retention)，以及 [HIPAA 就緒的企業方案](https://support.claude.com/en/articles/13296973-hipaa-ready-enterprise-plans)，都不會改變 Anthropic 針對聲明的控制措施、值、日期與帳戶儲存哪些內容。這三者皆不會縮短 Anthropic 儲存這些內容的時間。CMEK 不會加密這些欄位。 Anthropic 會儲存聲明的備註，直到有人清除該聲明或 Anthropic 在刪除該組織時一併刪除該備註為止。再次進行聲明可能會取代或移除該備註。在某個組織無法使用 Security posture 的期間，Anthropic 會繼續儲存該組織的聲明與備註，且任何人都無法在 Security posture 頁面上查看或清除這些聲明與備註。自訂對話保留期限不會縮短 Anthropic 儲存該聲明或該備註的時間。Activity Feed 活動絕不會包含該備註（請參閱[Activity Feed 未記錄的內容](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-security-posture/events-reference#what-the-feed-does-not-record)）。