Claude Platform Docs
AdminCMEK einrichten

CMEK mit AWS KMS einrichten

Erstelle einen AWS-KMS-Schlüssel, gewähre Anthropic Zugriff darauf und verwende ihn in Claude Platform oder Claude Enterprise.

Claude Code

Lass Claude Code diese Funktion für dich einrichten

/claude-api hilf mir, einen kundenverwalteten Verschlüsselungsschlüssel mit AWS KMS zu konfigurieren

Wenn die Seitenleiste deiner Claude Console Account managed by AWS anzeigt, folge stattdessen CMEK auf Claude Platform on AWS einrichten.

Bevor du beginnst

In Claude:

In AWS:

  • Du kannst AWS-KMS-Schlüssel erstellen und ihre Schlüsselrichtlinien festlegen (kms:CreateKey und kms:PutKeyPolicy).
  • Jede IP-Beschränkung für den Zugriff auf AWS KMS lässt die ausgehenden IP-Adressen von Anthropic zu.

In AWS: den Schlüssel erstellen

Nach einem fehlgeschlagenen Verify oder Add findest du die Lösungen für AWS KMS.

Die Schlüsselrichtlinie schreiben

Diese Richtlinie gewährt der IAM-Rolle von Anthropic Zugriff auf deinen Schlüssel. Verwende nur die auf dieser Seite veröffentlichte Rollen-ARN, niemals eine, die per E-Mail oder Chat gesendet wurde. Kopiere die Richtlinie in einen Texteditor:

key-policy.json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AccountRootAdmin",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<AWS_ACCOUNT_ID>:root"
      },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "AllowAnthropicCMEKCrypto",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
      },
      "Action": ["kms:Encrypt", "kms:Decrypt"],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:anthropic:org_uuid": ["<ORGANIZATION_UUID>"]
        }
      }
    },
    {
      "Sid": "AllowAnthropicCMEKDescribe",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    }
  ]
}

Ersetze <AWS_ACCOUNT_ID> durch deine AWS-Konto-ID und <ORGANIZATION_UUID> durch deine Anthropic-Organisations-ID. Behalte die Bedingung kms:EncryptionContext:anthropic:org_uuid bei, sonst schlägt die Verifizierung fehl.

Du kannst den Schlüssel auch auf bestimmte Workspaces beschränken, indem du ihre Compartment-IDs auflistest. Wenn du die Richtlinie für einen Schlüssel ersetzt, der bereits Claude-Daten schützt, füge eine weitere Richtlinienanweisung hinzu.

Den Schlüssel erstellen

Du kannst den Schlüssel in jeder kommerziellen AWS-Region erstellen. Für die geringste Latenz verwende us-east-2.

Um einen Schlüssel zu verwenden, den du bereits in AWS KMS hast, ersetze seine Schlüsselrichtlinie.

  1. Create key-Assistenten öffnen

    Öffne die AWS KMS-Konsole und wechsle zur Region für den Schlüssel. Gehe zu Customer managed keys und klicke auf Create key.

  2. Configure key

    Stelle sicher, dass diese Optionen ausgewählt sind:

    • Key type: Symmetric
    • Key usage: Encrypt and decrypt
    • Advanced options > Key material origin: KMS
    • Advanced options > Regionality: Single-Region key

    Klicke auf Next.

    AWS KMS-Schritt Configure key mit ausgewähltem Schlüsseltyp Symmetric, Schlüsselverwendung Encrypt and decrypt und Single-Region key.

    Symmetrischer Single-Region-Schlüssel zum Verschlüsseln und Entschlüsseln.

  3. Add labels

    Gib einen Alias für den Schlüssel ein, etwa anthropic-cmek. Klicke auf Next.

    AWS KMS-Schritt Add labels mit dem Alias anthropic-cmek und der Beschreibung Anthropic CMEK.

    Ein Alias für den Schlüssel.

  4. Define key administrative permissions

    Wähle keine Schlüsseladministratoren aus. Deine Schlüsselrichtlinie gibt deinem AWS-Konto bereits die volle Administratorkontrolle. Klicke auf Next.

    AWS KMS-Schritt Define key administrative permissions mit einer Liste der IAM-Rollen, die den Schlüssel verwalten können.

    Lass die Schlüsseladministratoren leer.

  5. Define key usage permissions

    Wähle keine Schlüsselbenutzer aus und füge unter Other AWS accounts nichts hinzu. Deine Schlüsselrichtlinie gewährt bereits den erforderlichen Zugriff. Klicke auf Next.

  6. Edit key policy

    Klicke auf Edit. Ersetze die gesamte Richtlinie durch deine Schlüsselrichtlinie und klicke dann auf Next.

  7. Review

    Klicke auf Finish.

  8. Schlüssel-ARN kopieren

    Öffne unter Customer managed keys den neuen Schlüssel und kopiere seinen ARN. Wer den Schlüssel in Claude hinzufügt, benötigt ihn.

Jede Prüfung des Schlüssels in Claude fügt CloudTrail vier erwartete Access-denied-Fehler hinzu. Du kannst sie herausfiltern.

In Claude: den Schlüssel hinzufügen und anhängen

Um diesen Teil auf Claude Platform per Skript zu erledigen, verwende stattdessen die Admin API.

  1. Die Einstellungen für Verschlüsselungsschlüssel öffnen

    Öffne in der Claude Console auf der Seite Data retention den Abschnitt Encryption keys. Wenn der Abschnitt nicht angezeigt wird, wähle oben im Dropdown-Menü Organization aus.

  2. Den Schlüssel hinzufügen

    Klicke unter Encryption keys auf Add key. Gib einen Display name ein, wähle AWS KMS aus und klicke auf Continue.

  3. Die Schlüssel-ARN eingeben

    Prüfe, ob deine Schlüsselrichtlinie die im Dialogfeld angezeigte Organization ID for the key policy enthält. Füge die Schlüssel-ARN in KMS key ARN ein und klicke auf Add.

  4. Schlüssel verifizieren

    Klicke in der Liste Encryption keys neben dem Schlüssel auf Verify. Connected wird angezeigt, wenn die Prüfung erfolgreich ist. Wenn stattdessen Connection failed angezeigt wird, siehe Fehlerbehebung bei CMEK.

  5. Den Schlüssel an einen Workspace anhängen

    1. Wähle oben auf der Seite Data retention den Workspace aus dem Dropdown-Menü aus.
    2. Wähle unter Encryption key den Schlüssel aus und klicke auf Save.
    3. Aktiviere das Kontrollkästchen, um zu bestätigen, dass du die CMEK-Dokumentation gelesen hast, und klicke dann auf Confirm.

    Du siehst Workspace settings updated. Sobald der Schlüssel wirksam wird, zeigt das Audit-Log deines Cloud-Anbieters die Aufrufe, die Anthropic an den Schlüssel richtet.

    Wähle in einer ZDR-Organisation, nachdem du den Workspace ausgewählt hast, Standard data retention aus, damit Encryption key erscheint. Nachdem du auf Save geklickt hast, klicke bei den Bedingungen zur Datenaufbewahrung auf Accept.

Was this page helpful?