Compliance API y eventos de auditoría
Conozca la finalidad y los límites administrativos de la Compliance API
Utilice la Compliance API para flujos de trabajo de seguridad, legales, de gobernanza y de investigación que requieran registros auditables. Utilice análisis, no registros de cumplimiento, para medir la adopción y las tendencias.
La referencia de Admin API es la fuente oficial de los requisitos de acceso, la cobertura de eventos, las rutas, los esquemas, los filtros, la retención y el comportamiento de las solicitudes vigentes.
Para obtener una descripción general de las opciones de cumplimiento disponibles y los patrones habituales de integración, consulte la guía de Compliance Platform.
Cuándo utilizar la Compliance API
La Compliance API es adecuada cuando necesita:
- Exportar registros compatibles a un sistema de auditoría o investigación.
- Aplicar procesos organizativos de retención y conservación por orden legal.
- Correlacionar la actividad de Codex con otros datos de seguridad o identidad.
- Respaldar investigaciones aprobadas de seguridad, legales o de gobernanza.
No es un panel de productividad. No la utilice para deducir la calidad del código ni el rendimiento individual. Utilice Análisis del espacio de trabajo o la Analytics API para generar informes de adopción.
Primeros pasos
- Abra la referencia de Admin API y confirme que su rol de administrador puede acceder a los recursos de cumplimiento que necesita.
- Use el flujo de registros de cumplimiento de solo adición para la recopilación continua. Consulte la referencia de API para conocer los recursos y patrones de recuperación compatibles actualmente.
- Descargue los archivos de registro y pruebe su ingesta en un sistema de gestión de eventos e información de seguridad (SIEM) o lago de datos que no sea de producción.
- Programe la recopilación continua y aplique los controles de acceso, retención y conservación legal de su organización a los registros exportados. No dé por hecho que el periodo de retención de origen sustituye la política de retención de su organización.
Por ejemplo, un equipo de seguridad puede transmitir eventos de cumplimiento inmutables a su SIEM para realizar investigaciones, o dirigir esos eventos a un flujo de trabajo aprobado de descubrimiento electrónico. Consulte la referencia de API para conocer las rutas y los esquemas vigentes, en lugar de copiar un contrato de endpoint de esta guía.
Descargar registros
Descargue el script de Bash o el script de PowerShell. Ambos enumeran y descargan todos los archivos de registro disponibles posteriores a una marca de tiempo determinada, siguen la paginación y escriben JSONL en la salida estándar. Los errores se envían al error estándar.
Establezca COMPLIANCE_API_KEY como su API key de Enterprise Compliance API. Sustituya
<workspace_or_org_id> por el ID de su espacio de trabajo de ChatGPT o el ID de la organización de
API Platform, y <after> por una marca de tiempo ISO 8601 que incluya una zona
horaria. Este ejemplo recupera archivos AUTH_LOG, 100 a la vez.
En macOS o Linux, instale Bash, curl y jq y, a continuación, ejecute:
bash ./download_compliance_files.sh "<workspace_or_org_id>" AUTH_LOG 100 "<after>" > output.jsonlEl script de Windows es compatible con PowerShell 5.1 o posterior. Revise el archivo descargado.
Si Windows lo bloquea y la política de ejecución de su organización lo permite, ejecute
Unblock-File -Path .\download_compliance_files.ps1. Este ejemplo utiliza
PowerShell 7 para guardar UTF-8 sin marca de orden de bytes:
.\download_compliance_files.ps1 "<workspace_or_org_id>" AUTH_LOG 100 "<after>" |
Set-Content -Encoding utf8NoBOM output.jsonlRegistros de auditoría del acceso al equipo local con Work Cloud
El acceso al equipo local con Work Cloud ofrece la misma compatibilidad con la Compliance API que Work Cloud. Los registros aparecen bajo los tipos de evento conversation_message y codex_log. La ejecución local también genera eventos de OpenTelemetry (OTel), que puedes recopilar configurando un endpoint de un recopilador de OTel. Recopila estos eventos locales por separado de los registros de la Compliance API. Estas fuentes no proporcionan un registro completo de cada comando local, operación de archivos, captura de pantalla, aprobación o acción externa.
Al configurar la recopilación:
Usa
conversation_messageycodex_logpara los registros de Work compatibles. Consulta la referencia de la API para conocer sus esquemas, identificadores de acciones y marcas de tiempo.Confirma el comportamiento de retención y eliminación del flujo de trabajo.
Ejecuta una tarea representativa y compara los registros exportados con las acciones realizadas.
Automatización de políticas. Usa la API de políticas para administrar la configuración de Global. Administra la configuración de Local y Codex Cloud en la interfaz de Agent Security. Los flujos de trabajo existentes de la API de Global siguen disponibles después de la migración. Prueba los scripts y las integraciones de Terraform, y confirma que las asignaciones y el orden de las políticas no hayan cambiado. Revisa la automatización de políticas por separado de la obtención de registros de auditoría. La compatibilidad con la API de políticas no cambia la cobertura de eventos de la Compliance API.
Auditoría basada en hooks. Si están habilitados para tu espacio de trabajo, usa los hooks de MCP definidos por el administrador que se ejecutan en el coordinador de la nube (orquestador) para los eventos de ciclo de vida y de herramientas compatibles. Antes de sustituir un flujo de trabajo de auditoría existente, prueba la conexión de callback, la cobertura de eventos y el comportamiento ante fallos. Comprueba estos registros por separado de la cobertura de la Compliance API.
Confirmar los límites administrativos
La cobertura de cumplimiento se ajusta al espacio de trabajo de ChatGPT y a los productos representados en la referencia de API vigente. Los datos de la organización de Platform API se rigen por sus propios controles de administración y datos de API.
La referencia de API define las rutas, la cobertura de eventos, los esquemas, los filtros, el comportamiento de retención, los requisitos de permisos y los mecanismos de solicitud vigentes. Esta página no duplica ese contrato.