Security posture 結果參考資料

此端點會為組織的大多數安全控制措施各傳回一個項目，這些項目於請求當下進行評估，並附上回應中針對每項控制措施所包含的 Security posture 聲明。您需要一個涵蓋該組織、且具有 read:compliance_org_data 或 read:org_audit 範圍的 Compliance Access Key；Security posture 可用性說明了可讀取哪些組織。

請求

向 /v1/compliance/organizations/{organization_id}/security_posture 傳送 GET 請求。每次呼叫讀取一個組織，且回應不分頁。

curl --fail-with-body -sS \
  "https://api.anthropic.com/v1/compliance/organizations/91012d09-e48b-438e-a489-1bebfd8fa6f9/security_posture" \
  -H "x-api-key: $ANTHROPIC_COMPLIANCE_ACCESS_KEY" \
  -H "anthropic-version: 2026-10-21"

回應

以下節錄範例顯示回應可能包含的其中四項控制措施。這是對持有 read:compliance_org_data 與 read:compliance_user_data 之金鑰的回應。

{
  "type": "security_posture",
  "organization_id": "91012d09-e48b-438e-a489-1bebfd8fa6f9",
  "evaluated_at": "2027-02-09T09:00:02.417305Z",
  "comments_status": "not_enabled",
  "controls": [
    {
      "id": "sso_enabled",
      "display_name": "Single sign-on (SSO)",
      "section": "identity_access",
      "setting_name": "sso_enabled",
      "status": "passed",
      "rating": "passed",
      "current_value": "On",
      "desired_state": "On",
      "attestation": null
    },
    {
      "id": "directory_sync_enabled",
      "display_name": "Directory sync (SCIM)",
      "section": "identity_access",
      "setting_name": "directory_sync_enabled",
      "status": "failed_check_accepted_risk",
      "rating": "passed",
      "current_value": "Off",
      "desired_state": "On",
      "attestation": {
        "state": "in_force",
        "attested_at": "2026-10-20T15:04:00.220114Z",
        "comment": null,
        "attested_by": {
          "type": "user_actor",
          "user_id": "user_01WxYzAbCdEfGhJkMnPqRsTu"
        }
      }
    },
    {
      "id": "allowed_invite_domains",
      "display_name": "Allowed email domains",
      "section": "identity_access",
      "setting_name": "allowed_invite_domains",
      "status": "descriptive",
      "rating": "descriptive",
      "current_value": "example.com",
      "desired_state": null,
      "attestation": null
    },
    {
      "id": "oauth_conditional_access",
      "display_name": "OAuth conditional access on connected SaaS",
      "section": "connectors_integrations",
      "setting_name": null,
      "status": "not_attested",
      "rating": "not_attested",
      "current_value": null,
      "desired_state": "Completed",
      "attestation": {
        "state": "review_due",
        "attested_at": "2026-11-02T09:30:00.008771Z",
        "comment": null,
        "attested_by": {
          "type": "user_actor",
          "user_id": "user_01AbCdEfGhJkLmNpQrStUvWx"
        }
      }
    }
  ]
}

每個欄位一律存在，沒有值的欄位為 null，絕不會省略。時間的小數位數不是零位就是六位，因此請以時間而非字串的方式比較時間。

頂層欄位

controls[] 欄位

section 為下列其中之一：identity_access、data_privacy、capabilities、connectors_integrations、chats_desktop_mdm、cowork_admin_console、cowork_desktop_mdm、claude_code_admin_console、claude_code_managed_settings 與 healthy_adoption。

若要在程式碼中比較值，請在同一組織的有效設定中查詢 setting_name。查詢可能找不到任何結果，且兩個控制措施可能共用同一個 setting_name。

attestation 欄位

attested_by 欄位

狀態值

status 提供控制措施結果的原因，且每個狀態對應一個 rating。

沒有任何欄位標示控制措施的類型；對於 failed，current_value 為 null 即表示為手動控制措施。未來可能新增更多值，因此請依 rating 計算具有未知 status 的控制措施，且未知的 rating 不視為「通過」。狀態 review 與聲明生效情形 review_due 彼此無關。

聲明生效情形

state 說明回應中包含的聲明是否生效中。

當超過一個原因適用時，回應會依 check_passing、setting_changed、review_due 的順序提供第一個適用者。自結束日期當天 00:00 UTC 起，聲明即不再生效。回應中沒有結束日期，因此由 state 決定；已儲存的結束日期即為聲明活動的 review_date。請將未知的 state 視為未生效。

聲明如何顯示於回應中

回應中會包含部分聲明並省略其他聲明，因此 attestation 為 null 並不能證明沒有人做出聲明。

除最後兩列外，每一列都適用於聲明生效中的期間。在自動控制措施上，當檢查所讀取的值與聲明儲存時的值不同時，該聲明即不生效。回應中在自動控制措施上包含的每項聲明都是已接受風險。Activity Feed 也會記錄回應中省略的各類聲明。

計算結果

依 rating 計算控制措施時，請檢查四件事。

聲明者與備註

只有在金鑰同時持有 read:compliance_user_data 與 read:compliance_org_data，或持有 read:org_audit 時，才會填入 attested_by。僅持有 read:compliance_user_data 的金鑰會收到 403。attested_by 中的 user_id 與聲明活動上 actor 的 user_id 相同。attested_by 僅包含使用者 ID：列出組織使用者會提供每位目前成員的姓名與電子郵件地址。在新增這些範圍之前，請參閱誰可以看到進行聲明的人員。

此端點不會傳回任何備註，即使 Security posture 頁面上顯示了備註也一樣：每個 comment 都是 null，且 comments_status 為 not_enabled 或 not_permitted。因此，not_enabled 與為 null 的備註並不表示該聲明沒有備註。comments_status 說明如何解讀為 null 的備註，而結構描述定義了下列值。

未來可能新增更多值；請將未知值視為 unavailable。

錯誤

錯誤使用與 Compliance API 其他部分相同的主體；下表列出此端點以其特有方式傳回的錯誤。

404 的原因：

• organization_id 不是 UUID、未指向任何組織，或指向已刪除的組織。
• organization_id 指向上層組織、另一個上層組織之下的組織，或單一組織金鑰未涵蓋的組織。
• 該組織未使用 Claude Enterprise，或 Security posture 無法供其使用，例如 Claude Console 組織。
• 該組織的 Security posture 頁面已被關閉（請參閱 Security posture 可用性）。
• Security posture 可供該組織使用，但此端點不為該組織提供服務。
• 無法檢查可用性；稍後的請求可能會成功。

每個 404 的主體都相同，不存在的路徑亦然。

資料即時性與副作用

此端點會在您呼叫時評估所有控制措施，而 evaluated_at 即為該時間。

• 最近幾分鐘內的變更可能不會顯示。
• 即使沒有變更任何設定，結果也可能改變，例如當結束日期到來，或 Anthropic 變更某個建議值時。
• 若 Anthropic 改寫某個目前值的措辭，針對該值的已接受風險即不再生效。
• 呼叫不會儲存任何結果，也不會終止任何聲明。
• 每個通過金鑰、範圍與版本檢查且不含查詢參數的請求，無論成功或失敗，都會記錄一筆 compliance_api_accessed 活動；其 url 會指出所讀取的組織，而對於上層組織的金鑰，organization_uuid 為 null。