Use a API de Compliance em fluxos de trabalho de segurança, jurídicos, de governança e de investigação que exijam registros auditáveis. Para medir a adoção e identificar tendências, use dados analíticos em vez de registros de conformidade.
A referência da API de administração é a fonte oficial de informações atualizadas sobre requisitos de acesso, cobertura de eventos, rotas, schemas, filtros, retenção e funcionamento das requisições.
Para conhecer os recursos de conformidade disponíveis e os padrões de integração mais comuns, consulte o guia da plataforma de conformidade.
Quando usar a API de Compliance
Use a API de Compliance quando precisar:
- Exportar registros compatíveis para um sistema de auditoria ou investigação.
- Aplicar os procedimentos da organização para retenção e preservação de dados por obrigação legal.
- Correlacionar a atividade do Codex com outros dados de segurança ou de identidade.
- Dar suporte a investigações autorizadas de segurança, jurídicas ou de governança.
A API não é um painel de produtividade. Não a use para tirar conclusões sobre a qualidade do código ou o desempenho individual. Para gerar relatórios de adoção, use os dados analíticos do espaço de trabalho ou a API de análise de dados.
Primeiros passos
- Abra a referência da API de administração e confirme se sua função de administrador permite acessar os recursos de conformidade necessários.
- Para a coleta contínua, use o fluxo de logs de conformidade que permite apenas acrescentar registros. Consulte a referência da API para verificar quais recursos e métodos de recuperação têm suporte atualmente.
- Baixe os arquivos de log e, em um ambiente fora de produção, teste a ingestão em um sistema de gerenciamento de informações e eventos de segurança (SIEM) ou em um data lake.
- Programe a coleta contínua e aplique aos registros exportados os controles da organização para acesso, retenção e preservação por obrigação legal. Não presuma que o prazo de retenção na origem substitui a política de retenção da organização.
Por exemplo, uma equipe de segurança pode enviar continuamente eventos imutáveis de conformidade ao seu SIEM para uso em investigações ou encaminhá-los a um fluxo autorizado de descoberta eletrônica de provas. Consulte a referência da API para obter as rotas e os schemas atuais em vez de copiar deste guia o contrato de um endpoint.
Baixar logs
Baixe o script Bash ou o script PowerShell. Ambos percorrem todas as páginas de resultados, listam e baixam todos os arquivos de log disponíveis posteriores à data e hora informadas e gravam os dados em JSONL na saída padrão. As mensagens de erro vão para a saída de erro padrão.
Defina COMPLIANCE_API_KEY com sua chave da API de Compliance para Enterprise. Substitua <workspace_or_org_id> pelo ID do seu espaço de trabalho do ChatGPT ou pelo ID da organização na Plataforma de API e <after> por uma data e hora no formato ISO 8601 que inclua o fuso horário. Este exemplo recupera arquivos AUTH_LOG em lotes de 100.
No macOS ou no Linux, instale o Bash, o curl e o jq. Em seguida, execute o comando abaixo.
bash ./download_compliance_files.sh "<workspace_or_org_id>" AUTH_LOG 100 "<after>" > output.jsonlO script para Windows é compatível com o PowerShell 5.1 ou posterior. Revise o arquivo baixado. Se o Windows o bloquear e a política de execução da sua organização permitir o desbloqueio, execute Unblock-File -Path .\download_compliance_files.ps1. Este exemplo usa o PowerShell 7 para salvar o arquivo em UTF-8 sem a marca de ordem de bytes.
.\download_compliance_files.ps1 "<workspace_or_org_id>" AUTH_LOG 100 "<after>" |
Set-Content -Encoding utf8NoBOM output.jsonlRegistros de auditoria do acesso ao computador local com o modo Work na nuvem
A API de Compliance oferece o mesmo suporte ao acesso ao computador local com o modo Work na nuvem que ao próprio modo Work na nuvem. Os registros aparecem nos tipos de evento conversation_message e codex_log. A execução local também gera eventos do OpenTelemetry (OTel). Para coletá-los, configure o endpoint de um coletor OTel. Colete esses eventos locais separadamente dos registros da API de Compliance. Essas fontes não fornecem um registro completo de cada comando local, operação em arquivo, captura de tela, aprovação ou ação externa.
Ao configurar a coleta:
-
Use
conversation_messageecodex_logpara os registros do modo Work compatíveis com a API. Consulte a referência da API para verificar os schemas, os identificadores de ação e as marcas de data e hora desses eventos. -
Confirme como funcionam a retenção e a exclusão nesse fluxo de trabalho.
-
Execute uma tarefa representativa e compare os registros exportados com as ações realizadas.
Automação de políticas. Use a API de políticas para gerenciar as configurações globais. Gerencie as configurações de Local e do Codex Cloud na interface de segurança de agentes. Os fluxos de trabalho existentes que usam a API para configurações globais continuam disponíveis após a migração. Teste os scripts e as integrações com o Terraform e confirme que as atribuições e a ordem das políticas continuam as mesmas. Revise a automação de políticas separadamente da recuperação dos registros de auditoria. O suporte oferecido pela API de políticas não altera a cobertura de eventos da API de Compliance.
Auditoria com hooks. Se esse recurso estiver habilitado no seu espaço de trabalho, use os hooks MCP definidos pelo administrador que são executados no coordenador da nuvem (orquestrador) para os eventos compatíveis de ciclo de vida e de ferramentas. Antes de substituir um fluxo de auditoria existente, teste a conexão de callback, a cobertura de eventos e o comportamento em caso de falha. Verifique esses registros separadamente da cobertura da API de Compliance.
Confirme os limites administrativos
A cobertura de conformidade abrange o espaço de trabalho do ChatGPT e os produtos descritos na referência atual da API. Os dados da organização na Plataforma de API estão sujeitos aos controles de dados e de administração próprios da plataforma.
A referência da API define as rotas, a cobertura de eventos, os schemas, os filtros, as regras de retenção, as permissões necessárias e o funcionamento das requisições em vigor. Esta página não reproduz esse contrato.