Compliance API と監査イベント
Compliance API の目的と管理境界について説明します
監査可能な記録を必要とするセキュリティ、法務、ガバナンス、調査のワークフローには Compliance API を使用してください。導入状況や傾向の測定には、コンプライアンス記録ではなく分析機能を使用してください。
Admin API リファレンスが、 現在のアクセス要件、イベントの対象範囲、ルート、スキーマ、フィルター、保持期間、 リクエストの動作に関する信頼できる情報源です。
利用可能なコンプライアンス機能と一般的な連携パターンの概要については、Compliance Platform ガイドを参照してください。
Compliance API を使用する場面
Compliance API は、次のような場合に適しています。
- サポート対象の記録を監査または調査システムへエクスポートする。
- 組織の保持およびリーガルホールドのプロセスを適用する。
- Codex のアクティビティを他のセキュリティデータまたは ID データと関連付ける。
- 承認済みのセキュリティ、法務、ガバナンス調査を支援する。
これは生産性ダッシュボードではありません。コード品質や個人のパフォーマンスを推測するために使用しないでください。導入状況のレポートには、ワークスペース分析 または Analytics APIを使用してください。
はじめに
- Admin API リファレンスを開き、 必要なコンプライアンスリソースに管理者ロールでアクセスできることを確認します。
- 継続的な収集には、追記専用のコンプライアンスログストリームを使用します。現在サポートされているリソースと取得パターンについては、API リファレンスを確認してください。
- ログファイルをダウンロードし、非本番環境のセキュリティ情報およびイベント管理（SIEM）システムまたはデータレイクへの取り込みをテストします。
- 継続的な収集をスケジュールし、組織のアクセス、 保持、リーガルホールドの管理をエクスポートした記録に適用します。提供元の保持期間が組織の保持ポリシーの代わりになるとは考えないでください。
たとえば、セキュリティチームは変更不能なコンプライアンスイベントを調査用の SIEM にストリーミングしたり、それらのイベントを承認済みの電子的証拠開示ワークフローに送信したりできます。このガイドからエンドポイント契約をコピーするのではなく、現在のルートとスキーマについて API リファレンスを参照してください。
ログをダウンロードする
Bash スクリプト または PowerShell スクリプトをダウンロードします。 どちらも、指定したタイムスタンプ以降に利用可能なすべてのログファイルを一覧表示してダウンロードし、 ページネーションを処理して、JSONL を標準出力へ書き込みます。エラーは標準エラー出力へ送られます。
COMPLIANCE_API_KEY に Enterprise Compliance API key を設定します。
<workspace_or_org_id> を ChatGPT workspace ID または API Platform
organization ID に、<after> をタイムゾーンを含む ISO 8601 タイムスタンプに置き換えます。
この例では、AUTH_LOG ファイルを一度に 100 件取得します。
macOS または Linux では、Bash、curl、jq をインストールしてから実行します。
bash ./download_compliance_files.sh "<workspace_or_org_id>" AUTH_LOG 100 "<after>" > output.jsonlWindows スクリプトは PowerShell 5.1 以降をサポートしています。ダウンロードしたファイルを確認してください。
Windows によってブロックされ、組織の実行ポリシーで許可されている場合は、
Unblock-File -Path .\download_compliance_files.ps1 を実行します。この例では、
PowerShell 7 を使用し、バイトオーダーマークなしの UTF-8 で保存します。
.\download_compliance_files.ps1 "<workspace_or_org_id>" AUTH_LOG 100 "<after>" |
Set-Content -Encoding utf8NoBOM output.jsonlWork Cloud によるローカルコンピューターアクセスの監査記録
Work Cloud によるローカルコンピューターアクセスでは、Work Cloud と同じ Compliance API サポートを利用できます。記録は conversation_message および codex_log イベントタイプに含まれます。ローカル実行では OpenTelemetry（OTel）イベントも生成され、OTel コレクターのエンドポイントを設定すると収集できます。これらのローカルイベントは、Compliance API の記録とは別に収集してください。これらの情報源だけでは、すべてのローカルコマンド、ファイル操作、スクリーンショット、承認、外部アクションを網羅した記録にはなりません。
収集を設定する際は、次の手順に従ってください。
サポート対象の Work の記録には、
conversation_messageとcodex_logを使用してください。スキーマ、アクション識別子、タイムスタンプについては、API リファレンスを参照してください。ワークフローにおける保持と削除の動作を確認してください。
代表的なタスクを実行し、エクスポートした記録と実際に行われたアクションを比較してください。
ポリシーの自動化。Global 設定の管理にはポリシー API を使用してください。Local と Codex Cloud の設定は Agent Security UI で管理します。既存の Global API ワークフローは、移行後も引き続き利用できます。スクリプトと Terraform 連携をテストし、割り当てとポリシーの順序が変わっていないことを確認してください。ポリシーの自動化は、監査記録の取得とは別に確認してください。ポリシー API のサポートによって、Compliance API が対象とするイベントの範囲が変わることはありません。
フックによる監査。ワークスペースで有効になっている場合は、サポート対象のライフサイクルイベントとツールイベントに対して、クラウドコーディネーター（オーケストレーター）上で実行される管理者定義の MCP フックを使用してください。既存の監査ワークフローを置き換える前に、コールバック接続、対象となるイベントの範囲、障害時の動作をテストしてください。これらの記録は、Compliance API の対象範囲とは別に確認してください。
管理境界を確認する
コンプライアンスの対象範囲は、ChatGPT ワークスペースと現在の API リファレンスに記載されている製品に従います。Platform API の組織データには、 独自の API データおよび管理制御が適用されます。
現在のルート、イベントの対象範囲、スキーマ、 フィルター、保持の動作、権限要件、リクエストの仕組みは API リファレンスで定義されています。 このページでは、その契約を重複して掲載しません。