CMEK auf Claude Platform on AWS einrichten

Diese Anleitung zeigt, wie du einen AWS KMS-Schlüssel als kundenverwalteten Verschlüsselungsschlüssel (customer-managed encryption key, CMEK) auf Claude Platform on AWS verwendest. Für Claude Platform oder Claude Enterprise folge stattdessen AWS KMS für CMEK konfigurieren.

Voraussetzungen

• Das AWS-Konto, das deine Claude Platform on AWS-Organisation hostet, mit Berechtigungen zum Erstellen von KMS-Schlüsseln und Festlegen von Schlüsselrichtlinien (kms:CreateKey und kms:PutKeyPolicy).

• Um den Schlüssel über die Befehlszeile zu erstellen: die AWS CLI installiert und authentifiziert.

• Die Admin-Rolle in der Claude Console für Claude Platform on AWS. Siehe Die Claude Console verwenden.

• Diese Berechtigungen für den IAM-Principal, mit dem du dich bei der Claude Console anmeldest:

  • Anmelden: aws-external-anthropic:AssumeConsole
  • Einen Schlüssel registrieren: aws-external-anthropic:RegisterKey
  • Registrierte Schlüssel anzeigen: aws-external-anthropic:ListKeys und aws-external-anthropic:GetKey
  • Einen Schlüssel anhängen: aws-external-anthropic:UpdateWorkspace oder aws-external-anthropic:CreateWorkspace, plus kms:DescribeKey, kms:Encrypt und kms:Decrypt für den Schlüssel
  • Den Schlüssel aus einer Liste auswählen (optional): kms:ListKeys und kms:DescribeKey

  aws-external-anthropic:RegisterKey, aws-external-anthropic:ListKeys, aws-external-anthropic:GetKey und aws-external-anthropic:CreateWorkspace sind kontobezogen. Gewähre sie auf Resource: "*". Siehe IAM-Aktionen.

AWS-Service-Principal für Anthropic

Die Schlüsselrichtlinie in dieser Anleitung gewährt dem folgenden AWS-Service-Principal Zugriff auf deinen Schlüssel:

aws-external-anthropic.amazonaws.com

Einrichtung des Verschlüsselungsschlüssels

Die Schlüsselrichtlinie vorbereiten

Kopiere diese Richtlinie in einen Texteditor:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AccountRootAdmin",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<AWS_ACCOUNT_ID>:root"
      },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "AllowClaudePlatformOnAWSCrypto",
      "Effect": "Allow",
      "Principal": {
        "Service": "aws-external-anthropic.amazonaws.com"
      },
      "Action": ["kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKey"],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
        }
      }
    },
    {
      "Sid": "AllowClaudePlatformOnAWSDescribe",
      "Effect": "Allow",
      "Principal": {
        "Service": "aws-external-anthropic.amazonaws.com"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    }
  ]
}

Die EncryptionContext-Bedingung ist optional. Sie beschränkt den Schlüssel auf die Workspaces, die du auflistest. Um sie zu entfernen, lösche den Condition-Block aus der Anweisung AllowClaudePlatformOnAWSCrypto.

Wenn du die Bedingung beibehältst, füge die Compartment-ID jedes Workspaces hinzu, bevor du den Schlüssel daran anhängst. Für einen neuen Workspace:

1. Erstelle den Workspace ohne den Schlüssel.
2. Füge seine Compartment-ID zur Richtlinie hinzu.
3. Hänge den Schlüssel an.

Wenn du die Bedingung später hinzufügst, liste die Compartment-ID jedes Workspaces auf, an den der Schlüssel bereits angehängt ist.

Um die Schlüsselrichtlinie weiter einzuschränken, siehe die optionale aws:SourceArn-Bedingung.

Ersetze die Platzhalter:

• <AWS_ACCOUNT_ID>: deine AWS-Konto-ID. Um sie mit der AWS CLI auszugeben, führe aws sts get-caller-identity --query Account --output text aus.
• <COMPARTMENT_UUID>: die Compartment-ID des Workspaces, an den du den Schlüssel anhängst

Den Schlüssel erstellen

Erstelle den Schlüssel in dem AWS-Konto, das deine Claude Platform on AWS-Organisation hostet, in derselben Region wie der Workspace.

aws kms create-key \
  --region <REGION> \
  --description "Anthropic CMEK" \
  --key-usage ENCRYPT_DECRYPT \
  --policy file://key-policy.json

Den Schlüssel bei Anthropic registrieren

Melde dich über AWS mit der Admin-Rolle bei der Claude Console an.

1. 1

   Die Einstellungen für Verschlüsselungsschlüssel öffnen

   Gehe in der Claude Console zur Seite Data retention (platform.claude.com/settings/privacy). Wenn du Encryption keys nicht siehst, wähle Organization aus dem Dropdown-Menü oben auf der Seite aus.

2. 2

   Den Schlüssel hinzufügen

   Klicke unter Encryption keys auf Add key. Gib einen Display name ein.

3. 3

   Den Schlüssel-ARN eingeben

   Anthropic lehnt Alias-ARNs und Multi-Region-Schlüssel ab.

   Füge den Schlüssel-ARN in KMS key ARN ein. Wenn stattdessen eine Liste von Schlüsseln erscheint, wähle deinen Schlüssel aus oder klicke auf Enter ARN manually und füge den ARN ein. Klicke auf Add.

4. 4

   Den Schlüssel an einen Workspace anhängen

   Das Anhängen eines Schlüssels kann nicht rückgängig gemacht werden. Hänge ihn nach Möglichkeit an einen neuen Workspace an, bevor dieser Workspace Anfragen erhält. In einem Workspace, der bereits Anfragen erhält, kann es bis zu einem Tag dauern, bis der Schlüssel wirksam wird.

   Wähle auf der Seite „Data retention“ den Workspace aus dem Dropdown-Menü oben auf der Seite aus. Wähle unter Encryption key den Schlüssel aus und klicke auf Save.

5. 5

   Die Änderung bestätigen

   Aktiviere das Kontrollkästchen, um zu bestätigen, dass du die CMEK-Dokumentation gelesen hast, und klicke dann auf Confirm.

Beim Anhängen wird der Schlüssel validiert. Wenn dies mit einem KMS-Zugriffsfehler fehlschlägt, siehe Fehlerbehebung bei der Validierung.

Du kannst auch beim Erstellen eines Workspaces in der Claude Console einen Schlüssel auswählen, sofern deine Schlüsselrichtlinie keine EncryptionContext-Bedingung enthält.

Um Schlüssel stattdessen mit der API zu registrieren und anzuhängen, siehe IAM-Aktionen. Die API identifiziert einen Schlüssel anhand seines KMS-Schlüssel-ARN.

Fehlerbehebung bei der Validierung

Wenn die Validierung fehlschlägt, sind häufige Ursachen:

• Abweichende Schlüsselrichtlinie: Stelle sicher, dass die Schlüsselrichtlinie mit der in Die Schlüsselrichtlinie vorbereiten übereinstimmt. Um die Schlüsselrichtlinie zu prüfen, führe aws kms get-key-policy --region <REGION> --key-id <KEY_ARN> --policy-name default aus.
• Abweichende Bedingung: Stelle sicher, dass jede EncryptionContext- oder aws:SourceArn-Bedingung diesen Workspace einschließt.
• Schlüsselstatus oder -standort: Bestätige, dass der Schlüssel aktiviert ist, ein Single-Region-Schlüssel ist und sich im selben AWS-Konto und in derselben Region wie der Workspace befindet.
• Fehlende Berechtigungen: Der Principal, als der du angemeldet bist, benötigt kms:DescribeKey, kms:Encrypt und kms:Decrypt für den Schlüssel.
• Organisationsrichtlinien: Stelle sicher, dass keine Service Control Policy oder Resource Control Policy in deiner AWS-Organisation den Service-Principal oder deinen Principal blockiert.

Wenn das Anhängen weiterhin fehlschlägt, suche das abgelehnte kms:-Ereignis in CloudTrail im Konto des Schlüssels. Es zeigt den aufrufenden Principal und bei kryptografischen Aufrufen den Encryption Context. Nachdem du die Ursache behoben hast, klicke erneut auf Save.

Terraform

Um den Schlüssel mit Terraform zu erstellen, verwende die Ressourcen aws_kms_key und aws_kms_alias aus dem Provider aws.