社員のPCで動くClaude CodeやCoworkは、何をどこまで実行したか。従来の監査ログエクスポートはCSVダウンロードと限られたルックバック期間しかカバーせず、ローカルで完結するエージェントの操作内容までは追えなかった。Anthropicが提供する Compliance API のセッションエンドポイントは、この空白を塞ぐために設計されている。
本記事はAIエージェントガバナンスのピラーコンテンツと連動しています。
Compliance APIのローカルセッションとは何か
Compliance APIのローカルセッションエンドポイントは、Cowork・Claude Code等の端末上での操作を、Claude API呼び出しの単位でサーバー側に記録する仕組みです。
Claude Enterprise組織限定の機能で、GET /v1/compliance/apps/sessions/local がセッション一覧、/{session_id} がメタデータ、/{session_id}/messages がトランスクリプト取得を担う3エンドポイント構成になっている。端末に何かをインストールするわけではなく、クライアントがすでにClaude APIへ送っているリクエストをAnthropic側で記録する方式のため、APIに到達しないローカルのファイル操作やネットワーク通信は記録対象に含まれない。
何が記録され、何が対象外なのか
トランスクリプトは
text・tool_use・tool_resultの3ブロック型で構成され、system promptやthinkingブロックは記録されない。
tool_useにはbashコマンドやMCP呼び出しの入力が、tool_resultには実行結果のテキストが収まる（既定でブロックあたり10,000バイトに切り詰め、-1指定で約1MiBまで拡張可）。一方で対象外の範囲も明確に切られている。Claude Console APIキーで認証したセッション、Bedrock・Vertex AI・Foundry経由のセッション、HIPAA readiness有効組織、そしてゼロデータ保持（ZDR）が適用されたセッションは、いずれもエンドポイントから除外される。エンタープライズのセキュリティ担当者は、この除外範囲を可視化計画の前提として最初に確認する必要がある。
OpenTelemetryロギングとどう使い分けるか
Compliance APIはpull型で6年保持、OpenTelemetryはpush型で自社インフラに送るため、証跡保全と即時アラートで役割が分かれます。
Compliance APIは要求時にHTTPS経由で取得する「Pull」方式で、既存のCompliance Access Keyだけで動きAnthropic側に6年間（または組織のカスタム保持期間）保持される。対してCoworkのOpenTelemetryロギングやClaude Code monitoringは「Push」方式で、自社のOTLPコレクターへリアルタイムにストリーミングし、ホスト名やトークンコストなどCompliance APIには含まれないメタデータも取得できる。eDiscoveryやDLPの事後調査にはCompliance API、異常検知の即時アラートにはOpenTelemetryという役割分担が現実的だ。エージェントの実行状況そのものの可観測性設計はエージェント可観測性の記事も参照してほしい。
実装時に設計しておくべき点は何か
provenanceフィールドのnot_capturedはデータ欠損の証明にならず、CMEK鍵が使えない場合は503が返る点を運用設計に組み込む必要があります。
取得したトランスクリプトをそのままSIEMや証跡ストアに転送する前に、3点を設計しておく。第一に、provenance.reasonがretention_elapsedやnot_capturedのメッセージは「記録が存在しない」ことの証明にはならない——Anthropicのデータ取り扱いポリシーにより非開示となったケースも同じ理由コードで返るため、法務への報告では「取得不能」と正確に表現する。第二に、顧客管理鍵（CMEK）を使う組織では、鍵が無効化・到達不能になるとmessagesエンドポイントが503を返し、not_capturedとは区別される。第三に、リスト取得はcreated_atとupdated_at.gteでウィンドウを区切ってポーリングする設計とし、カーソルの24時間失効と再評価の挙動を踏まえて再実行ロジックを組む。Managed Agentsを含むエージェント基盤全体の予算・地域制御はManaged Agentsのガバナンス記事で扱っている。エンタープライズの統制基盤設計はRDEで相談できる。
参考
- Compliance API - Claude Platform Docs
- Retrieve session transcripts - Claude Platform Docs
- Set up the Compliance API - Claude Platform Docs
まとめ
Compliance APIのローカルセッションエンドポイントは、端末上で動くClaude CodeやCoworkの操作内容を法務・セキュリティ部門が事後追跡できるようにする一次情報源だが、Console APIキー経由や他クラウド経由のセッションは対象外という境界を理解しないまま統制の証拠にすると、監査で穴を突かれる。対象範囲・保持期間・provenanceの意味を設計段階で正しく織り込むことが、AIエージェントの利用実態を証拠として使える形にする第一歩になる。KuuはAIエージェントガバナンスの技術設計を支援している。ローカルエージェントの可視化設計に迷ったら、RDEへ相談してほしい。