Claude Platform Docs
AdminCMEK einrichten

CMEK mit Azure Key Vault einrichten

Erstelle einen Schlüssel in Azure Key Vault, gewähre Anthropic Zugriff auf deinen Schlüssel und verwende ihn in Claude Platform oder Claude Enterprise.

Claude Code

Lass Claude Code diese Funktion für dich einrichten

/claude-api hilf mir, einen kundenverwalteten Verschlüsselungsschlüssel mit Azure Key Vault zu konfigurieren

Bevor du beginnst

In Claude:

In Azure:

  • Du kannst Schlüssel in deinem Key Vault erstellen und RBAC-Rollen darauf zuweisen.
  • Du kannst Service Principals in deinem Entra-Tenant erstellen (Application Administrator, Cloud Application Administrator oder eine gleichwertige benutzerdefinierte Rolle).
  • Der Vault hat eine Diagnoseeinstellung für die Log-Kategorie AuditEvent. Ohne eine solche Einstellung hinterlassen die Schlüsseloperationen, die Anthropic mit deinem Schlüssel durchführt, keinen Eintrag im Audit-Log.

In Azure: Schlüssel erstellen

Nach einem fehlgeschlagenen Verify oder Add findest du die Lösungen für Azure Key Vault.

Mit diesen Schritten gewährst du der mandantenfähigen Anwendung von Anthropic Zugriff auf deinen Schlüssel:

  • Name: anthropic-cmek-client-us
  • Client ID: 8635ae1a-3e5d-44e8-a4ed-e0f614466f87

Verwende nur diese Client-ID und diesen Namen, niemals solche, die dir per E-Mail oder Chat zugesendet werden. Die Anwendung fordert keine Microsoft-Graph-Berechtigungen an.

Vault prüfen

Für die geringste Latenz verwende einen Vault in northcentralus oder eastus2. Führe zuerst Folgendes in der Azure CLI oder in Cloud Shell aus:

az keyvault show --name <your-vault-name> \
  --query "{rbac:properties.enableRbacAuthorization, purge:properties.enablePurgeProtection, pub:properties.publicNetworkAccess, net:properties.networkAcls.defaultAction, ipRules:properties.networkAcls.ipRules, uri:properties.vaultUri, tenantId:properties.tenantId}"
FeldMuss sein
rbactrue
purgetrue. Wenn der Wert false oder null ist, aktiviere zuerst den Löschschutz (Purge Protection). Du kannst ihn danach nicht wieder deaktivieren.
pub"Enabled". Private Endpoints werden nicht unterstützt.
net"Allow", oder "Deny" mit den ausgehenden IP-Adressen von Anthropic in ipRules

Kopiere uri (die Vault-URI) und tenantId.

Schlüssel erstellen und Zugriff gewähren

Auf dieser Seite steht <ORGANIZATION_UUID> für deine Anthropic-Organisations-ID in Kleinbuchstaben. Um einen Schlüssel zu verwenden, den du bereits hast, füge zuerst das Organisations-Tag hinzu.

  1. Service Principal von Anthropic erstellen

    Öffne Cloud Shell über die obere Navigationsleiste des Portals. Führe diesen Befehl aus:

    az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87

    Wenn der Service Principal bereits existiert, fahre mit dem nächsten Schritt fort.

  2. Prüfen, ob der Service Principal existiert

    Gehe zu Microsoft Entra ID > Enterprise applications und entferne den Standardfilter für den Anwendungstyp. Suche nach anthropic-cmek-client-us.

    Übersicht der Microsoft-Entra-Unternehmensanwendung anthropic-cmek-client-us mit ihrer Application ID und Object ID.

    Der Service Principal anthropic-cmek-client-us in den Entra-Unternehmensanwendungen.

  3. Die Seite Create a key öffnen

    Öffne deinen Key Vault und wähle Keys aus. Klicke auf Generate/Import.

  4. Einen RSA-Schlüssel in deinem Vault erstellen

    Lege diese Werte fest:

    • Name: ein Name für den Schlüssel
    • Key type: RSA
    • RSA key size: 3072 oder größer

    Klicke auf den Link neben Tags.

  5. Das Organisations-Tag hinzufügen

    Gib diese Werte ein:

    • Tag Name: anthropic-org-<ORGANIZATION_UUID>
    • Tag Value: true

    Klicke auf OK und dann auf Create.

    Die Seite Create a key in Azure Key Vault mit RSA, Schlüsselgröße 3072 und dem auf true gesetzten Tag anthropic-org.

    Erstelle einen RSA-Schlüssel mit 3072 Bit oder mehr, bei dem das Tag anthropic-org-<ORGANIZATION_UUID> auf true gesetzt ist.

  6. Die zulässigen Operationen einschränken

    Öffne den neuen Schlüssel und dann seine aktuelle Version. Deaktiviere unter Permitted operations alle Kontrollkästchen außer Wrap Key und Unwrap Key. Klicke auf Save.

    Schlüsselversion in Azure Key Vault mit 1 Tag und auf Wrap Key und Unwrap Key beschränkten Permitted operations.

    Beschränke die zulässigen Operationen auf Wrap Key und Unwrap Key. Die Schlüsselversion zeigt das Organisations-Tag.

  7. Die Zugriffssteuerung des Schlüssels öffnen

    Öffne den Schlüssel selbst, nicht den Vault. Wähle seinen Tab Access control (IAM) aus und klicke auf Add > Add role assignment.

  8. Die Rolle auswählen

    Wähle auf dem Tab Role die Rolle Key Vault Crypto User aus. Klicke auf Next.

  9. Service Principal von Anthropic hinzufügen

    Klicke auf dem Tab Members auf Select members. Suche nach anthropic-cmek-client-us und wähle ihn aus. Klicke auf Select und dann auf Next.

  10. Überprüfen und zuweisen

    Klicke auf dem Tab Review + assign auf Review + assign.

Wer den Schlüssel in Claude hinzufügt, benötigt die Vault-URI, den Schlüsselnamen und die Tenant-ID.

Das Organisations-Tag zu einem Schlüssel hinzufügen, den du bereits hast

Ohne das Organisations-Tag schlägt die Verifizierung fehl. Der Schlüssel muss ein RSA-Schlüssel mit 3072 Bit oder mehr sein.

Anstatt einen Schlüssel zu erstellen, führe diesen Befehl in der Azure CLI oder in Cloud Shell aus. Er beschränkt den Schlüssel auf wrapKey und unwrapKey. Außerdem überschreibt er die Tags der aktuellen Version. Gib daher alle Tags, die du behalten möchtest, in --tags als name=value an.

az keyvault key set-attributes \
  --vault-name <your-vault-name> \
  --name <your-key-name> \
  --ops wrapKey unwrapKey \
  --tags anthropic-org-<ORGANIZATION_UUID>=true

Die Schritte für den Service Principal und die Rollenzuweisung sind trotzdem erforderlich.

In Claude: Schlüssel hinzufügen und anhängen

Um diesen Teil auf Claude Platform per Skript auszuführen, verwende stattdessen die Admin API.

  1. Die Einstellungen für Verschlüsselungsschlüssel öffnen

    Öffne in der Claude Console auf der Seite Data retention den Abschnitt Encryption keys. Wenn der Abschnitt nicht angezeigt wird, wähle oben im Dropdown-Menü Organization aus.

  2. Den Schlüssel hinzufügen

    Klicke unter Encryption keys auf Add key. Gib einen Display name ein, wähle Azure Key Vault aus und klicke auf Continue.

  3. Die Schlüsseldetails eingeben

    Prüfe, ob dein Schlüssel das im Dialogfeld angezeigte Organization tag hat. Gib Vault URI, Key name und Tenant ID ein, lass Client ID leer und klicke auf Add.

  4. Schlüssel verifizieren

    Klicke in der Liste Encryption keys neben dem Schlüssel auf Verify. Connected wird angezeigt, wenn die Prüfung erfolgreich ist. Wenn stattdessen Connection failed angezeigt wird, siehe Fehlerbehebung bei CMEK.

  5. Den Schlüssel an einen Workspace anhängen

    1. Wähle oben auf der Seite Data retention den Workspace aus dem Dropdown-Menü aus.
    2. Wähle unter Encryption key den Schlüssel aus und klicke auf Save.
    3. Aktiviere das Kontrollkästchen, um zu bestätigen, dass du die CMEK-Dokumentation gelesen hast, und klicke dann auf Confirm.

    Du siehst Workspace settings updated. Sobald der Schlüssel wirksam wird, zeigt das Audit-Log deines Cloud-Anbieters die Aufrufe, die Anthropic an den Schlüssel richtet.

    Wähle in einer ZDR-Organisation, nachdem du den Workspace ausgewählt hast, Standard data retention aus, damit Encryption key erscheint. Nachdem du auf Save geklickt hast, klicke bei den Bedingungen zur Datenaufbewahrung auf Accept.

Was this page helpful?