AWS KMS-Schlüssel auf bestimmte Workspaces beschränken

Die Schlüsselrichtlinie aus der Einrichtung erlaubt jedem Workspace in deiner Organisation, den Schlüssel zu verwenden. Mit dieser optionalen Bedingung kann ein Workspace, der nicht aufgeführt ist, ihn nicht verwenden.

Füge die Compartment-ID eines Workspace der Richtlinie hinzu, bevor du den Schlüssel an diesen Workspace anhängst. Bei einem neuen Workspace bedeutet das, ihn ohne den Schlüssel zu erstellen.

Compartment-ID des Workspace kopieren

Öffne in der Claude Console die Seite Data retention und wähle den Workspace aus dem Dropdown-Menü oben aus. Kopiere die Compartment ID unter Encryption key. Der Endpunkt Get Workspace gibt sie als compartment_id zurück.

Eine Claude Enterprise-Organisation hat genau eine Compartment-ID. Kopiere sie bei deinem Schlüssel unter Encryption keys in claude.ai > Organization settings > Data and privacy.

Bedingung zur Schlüsselrichtlinie hinzufügen

Ersetze die Anweisung AllowAnthropicCMEKCrypto durch diese. Trage deine Anthropic-Organisations-ID und die Compartment-ID jedes Workspace ein, der den Schlüssel verwendet. Ein Schlüssel, der bereits Daten schützt, benötigt eine weitere Anweisung.

{
  "Sid": "AllowAnthropicCMEKCrypto",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
  },
  "Action": ["kms:Encrypt", "kms:Decrypt"],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:anthropic:org_uuid": ["<ORGANIZATION_UUID>"]
    },
    "StringEqualsIfExists": {
      "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
    }
  }
}

Schlüsselrichtlinie eines vorhandenen Schlüssels ersetzen

1. Öffne in der AWS KMS-Konsole den Schlüssel und klicke auf den Tab Key policy.
2. Wenn du Switch to policy view siehst, klicke darauf.
3. Klicke auf Edit.
4. Ersetze das JSON durch deine Schlüsselrichtlinie.
5. Klicke auf Save changes.