---
title: CMEK auf Claude Platform on AWS einrichten
url: https://platform.claude.com/docs/de/manage-claude/cmek-claude-platform-on-aws
description: Verwende einen AWS-KMS-Schlüssel als kundenverwalteten Verschlüsselungsschlüssel auf Claude Platform on AWS.
---
Diese Anleitung zeigt, wie du einen [AWS KMS](https://aws.amazon.com/kms/)-Schlüssel als [kundenverwalteten Verschlüsselungsschlüssel (customer-managed encryption key, CMEK)](https://platform.claude.com/docs/de/manage-claude/cmek) auf [Claude Platform on AWS](https://platform.claude.com/docs/de/build-with-claude/claude-platform-on-aws) verwendest. Für Claude Platform oder Claude Enterprise folge stattdessen [AWS KMS für CMEK konfigurieren](https://platform.claude.com/docs/de/manage-claude/cmek-aws-kms).
Die Aktivierung von CMEK ist dauerhaft. Wenn dein KMS-Schlüssel gelöscht oder deaktiviert wird, kann Anthropic die damit verschlüsselten Daten nicht wiederherstellen. Lies die [Warnungen und Einschränkungen](https://platform.claude.com/docs/de/manage-claude/cmek), bevor du beginnst.
## Voraussetzungen
* Das AWS-Konto, das deine Claude Platform on AWS-Organisation hostet, mit Berechtigungen zum Erstellen von KMS-Schlüsseln und Festlegen von Schlüsselrichtlinien (`kms:CreateKey` und `kms:PutKeyPolicy`).
* Um den Schlüssel über die Befehlszeile zu erstellen: die [AWS CLI](https://aws.amazon.com/cli/) installiert und authentifiziert.
* Die **Admin**-Rolle in der Claude Console für Claude Platform on AWS. Siehe [Die Claude Console verwenden](https://platform.claude.com/docs/de/build-with-claude/claude-platform-on-aws#using-the-claude-console).
* Diese Berechtigungen für den IAM-Principal, mit dem du dich bei der Claude Console anmeldest:
* **Anmelden:** `aws-external-anthropic:AssumeConsole`
* **Einen Schlüssel registrieren:** `aws-external-anthropic:RegisterKey`
* **Registrierte Schlüssel anzeigen:** `aws-external-anthropic:ListKeys` und `aws-external-anthropic:GetKey`
* **Einen Schlüssel anhängen:** `aws-external-anthropic:UpdateWorkspace` oder `aws-external-anthropic:CreateWorkspace`, plus `kms:DescribeKey`, `kms:Encrypt` und `kms:Decrypt` für den Schlüssel
* **Den Schlüssel aus einer Liste auswählen (optional):** `kms:ListKeys` und `kms:DescribeKey`
`aws-external-anthropic:RegisterKey`, `aws-external-anthropic:ListKeys`, `aws-external-anthropic:GetKey` und `aws-external-anthropic:CreateWorkspace` sind kontobezogen. Gewähre sie auf `Resource: "*"`. Siehe [IAM-Aktionen](https://platform.claude.com/docs/de/api/claude-platform-on-aws-iam-actions#encryption-keys).
## AWS-Service-Principal für Anthropic
Die Schlüsselrichtlinie in dieser Anleitung gewährt dem folgenden AWS-Service-Principal Zugriff auf deinen Schlüssel:
```text wrap
aws-external-anthropic.amazonaws.com
```
Verwende nur diesen veröffentlichten Service-Principal-Namen. Vertraue niemals einer Kennung, die per E-Mail, Chat oder über einen Onboarding-Kanal bereitgestellt wird.
## Einrichtung des Verschlüsselungsschlüssels
### Die Schlüsselrichtlinie vorbereiten
Kopiere diese Richtlinie in einen Texteditor:
```json key-policy.json
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AccountRootAdmin",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam:::root"
},
"Action": "kms:*",
"Resource": "*"
},
{
"Sid": "AllowClaudePlatformOnAWSCrypto",
"Effect": "Allow",
"Principal": {
"Service": "aws-external-anthropic.amazonaws.com"
},
"Action": ["kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKey"],
"Resource": "*",
"Condition": {
"StringEquals": {
"kms:EncryptionContext:anthropic:compartment_uuid": [""]
}
}
},
{
"Sid": "AllowClaudePlatformOnAWSDescribe",
"Effect": "Allow",
"Principal": {
"Service": "aws-external-anthropic.amazonaws.com"
},
"Action": "kms:DescribeKey",
"Resource": "*"
}
]
}
```
Die `EncryptionContext`-Bedingung ist optional. Sie beschränkt den Schlüssel auf die Workspaces, die du auflistest. Um sie zu entfernen, lösche den `Condition`-Block aus der Anweisung `AllowClaudePlatformOnAWSCrypto`.
Wenn du die Bedingung beibehältst, füge die Compartment-ID jedes Workspaces hinzu, bevor du den Schlüssel daran anhängst. Für einen neuen Workspace:
1. Erstelle den Workspace ohne den Schlüssel.
2. Füge seine Compartment-ID zur Richtlinie hinzu.
3. Hänge den Schlüssel an.
Wenn du die Bedingung später hinzufügst, liste die Compartment-ID jedes Workspaces auf, an den der Schlüssel bereits angehängt ist.
Um die Schlüsselrichtlinie weiter einzuschränken, siehe die [optionale `aws:SourceArn`-Bedingung](https://platform.claude.com/docs/de/manage-claude/cmek-claude-platform-on-aws#source-arn-condition).
Ersetze die Platzhalter:
* **``:** deine [AWS-Konto-ID](https://docs.aws.amazon.com/IAM/latest/UserGuide/console-account-id.html). Um sie mit der AWS CLI auszugeben, führe `aws sts get-caller-identity --query Account --output text` aus.
* **``:** die Compartment-ID des Workspaces, an den du den Schlüssel anhängst
**Deine Compartment-ID finden:** Gehe in der Claude Console zur Seite [Data retention](https://platform.claude.com/settings/privacy) (`platform.claude.com/settings/privacy`). Wähle den Workspace aus dem Dropdown-Menü oben auf der Seite aus. Die ID befindet sich unter **Encryption key** im Feld **Compartment ID**. Du kannst auch das Feld `compartment_id` lesen, das vom Endpunkt [Get Workspace](https://platform.claude.com/docs/de/api/organization/workspaces/retrieve) zurückgegeben wird.
### Den Schlüssel erstellen
Erstelle den Schlüssel in dem AWS-Konto, das deine Claude Platform on AWS-Organisation hostet, in derselben Region wie der Workspace.
Öffne die [AWS-KMS-Konsole](https://console.aws.amazon.com/kms) und wechsle zur Region für den Schlüssel. Gehe zu **Customer managed keys** und klicke auf **Create key**.
Stelle sicher, dass diese Optionen ausgewählt sind:
* **Key type:** Symmetric
* **Key usage:** Encrypt and decrypt
* **Advanced options > Key material origin:** KMS
* **Advanced options > Regionality:** Single-Region key
Klicke auf **Next**.
Gib einen **Alias** für den Schlüssel ein, zum Beispiel `anthropic-cmek`. Klicke auf **Next**.
Wähle keine „key administrators“ (Schlüsseladministratoren) aus. Deine Schlüsselrichtlinie gewährt deinem AWS-Konto bereits die volle Admin-Kontrolle. Klicke auf **Next**.
Wähle keine „key users“ (Schlüsselbenutzer) aus und füge unter **Other AWS accounts** nichts hinzu. Deine Schlüsselrichtlinie gewährt bereits den erforderlichen Zugriff. Klicke auf **Next**.
Klicke auf **Edit**. Ersetze die gesamte Richtlinie durch deine Schlüsselrichtlinie und klicke dann auf **Next**.
Klicke auf **Finish**.
Öffne unter **Customer managed keys** den neuen Schlüssel und kopiere seinen ARN. Du benötigst den ARN, um den Schlüssel zu registrieren.
So ersetzt du die Schlüsselrichtlinie eines bereits vorhandenen Schlüssels:
1. Öffne den Schlüssel und klicke auf den Tab **Key policy**.
2. Wenn du **Switch to policy view** siehst, klicke darauf.
3. Klicke auf **Edit**.
4. Ersetze das JSON durch deine Schlüsselrichtlinie.
5. Klicke auf **Save changes**.
Speichere deine Schlüsselrichtlinie als `key-policy.json` und erstelle dann den Schlüssel. Ersetze `` durch die Region des Schlüssels.
```bash
aws kms create-key \
--region \
--description "Anthropic CMEK" \
--key-usage ENCRYPT_DECRYPT \
--policy file://key-policy.json
```
Kopiere `KeyMetadata.Arn` aus der Ausgabe. Du benötigst ihn, um den Schlüssel zu registrieren.
**Optional:** Um beide Service-Principal-Anweisungen weiter einzuschränken, füge jeder eine `aws:SourceArn`-Bedingung hinzu. Der Source-ARN bei jedem Aufruf ist der [ARN des Workspaces](https://platform.claude.com/docs/de/api/claude-platform-on-aws-iam-actions#service-details) in der Form `arn:aws:aws-external-anthropic:::workspace/`.
* **Alle Workspaces in deinem AWS-Konto:** `"ArnLike": {"aws:SourceArn": "arn:aws:aws-external-anthropic:*::workspace/*"}`
* **Bestimmte Workspaces:** dieselbe Bedingung, mit einer Liste vollständiger Workspace-ARNs anstelle der Wildcard
## Den Schlüssel bei Anthropic registrieren
Melde dich über AWS mit der Admin-Rolle bei der Claude Console an.
Gehe in der Claude Console zur Seite [Data retention](https://platform.claude.com/settings/privacy#encryption-keys) (`platform.claude.com/settings/privacy`). Wenn du **Encryption keys** nicht siehst, wähle **Organization** aus dem Dropdown-Menü oben auf der Seite aus.
Klicke unter **Encryption keys** auf **Add key**. Gib einen **Display name** ein.
Anthropic lehnt Alias-ARNs und Multi-Region-Schlüssel ab.
Füge den Schlüssel-ARN in **KMS key ARN** ein. Wenn stattdessen eine Liste von Schlüsseln erscheint, wähle deinen Schlüssel aus oder klicke auf **Enter ARN manually** und füge den ARN ein. Klicke auf **Add**.
Das Anhängen eines Schlüssels kann nicht rückgängig gemacht werden. Hänge ihn nach Möglichkeit an einen neuen Workspace an, bevor dieser Workspace Anfragen erhält. In einem Workspace, der bereits Anfragen erhält, kann es [bis zu einem Tag dauern, bis der Schlüssel wirksam wird](https://platform.claude.com/docs/de/manage-claude/cmek#how-it-works).
Wähle auf der Seite „Data retention“ den Workspace aus dem Dropdown-Menü oben auf der Seite aus. Wähle unter **Encryption key** den Schlüssel aus und klicke auf **Save**.
Aktiviere das Kontrollkästchen, um zu bestätigen, dass du die CMEK-Dokumentation gelesen hast, und klicke dann auf **Confirm**.
Beim Anhängen wird der Schlüssel validiert. Wenn dies mit einem KMS-Zugriffsfehler fehlschlägt, siehe [Fehlerbehebung bei der Validierung](https://platform.claude.com/docs/de/manage-claude/cmek-claude-platform-on-aws#troubleshoot-validation).
Du kannst auch beim Erstellen eines Workspaces in der Claude Console einen Schlüssel auswählen, sofern deine Schlüsselrichtlinie keine `EncryptionContext`-Bedingung enthält.
Um Schlüssel stattdessen mit der API zu registrieren und anzuhängen, siehe [IAM-Aktionen](https://platform.claude.com/docs/de/api/claude-platform-on-aws-iam-actions#encryption-keys). Die API identifiziert einen Schlüssel anhand seines KMS-Schlüssel-ARN.
## Fehlerbehebung bei der Validierung
Wenn die Validierung fehlschlägt, sind häufige Ursachen:
* **Abweichende Schlüsselrichtlinie:** Stelle sicher, dass die Schlüsselrichtlinie mit der in [Die Schlüsselrichtlinie vorbereiten](https://platform.claude.com/docs/de/manage-claude/cmek-claude-platform-on-aws#prepare-the-key-policy) übereinstimmt. Um die Schlüsselrichtlinie zu prüfen, führe `aws kms get-key-policy --region --key-id --policy-name default` aus.
* **Abweichende Bedingung:** Stelle sicher, dass jede `EncryptionContext`- oder `aws:SourceArn`-Bedingung diesen Workspace einschließt.
* **Schlüsselstatus oder -standort:** Bestätige, dass der Schlüssel aktiviert ist, ein Single-Region-Schlüssel ist und sich im selben AWS-Konto und in derselben Region wie der Workspace befindet.
* **Fehlende Berechtigungen:** Der Principal, als der du angemeldet bist, benötigt `kms:DescribeKey`, `kms:Encrypt` und `kms:Decrypt` für den Schlüssel.
* **Organisationsrichtlinien:** Stelle sicher, dass keine Service Control Policy oder Resource Control Policy in deiner AWS-Organisation den Service-Principal oder deinen Principal blockiert.
Wenn das Anhängen weiterhin fehlschlägt, suche das abgelehnte `kms:`-Ereignis in CloudTrail im Konto des Schlüssels. Es zeigt den aufrufenden Principal und bei kryptografischen Aufrufen den Encryption Context. Nachdem du die Ursache behoben hast, klicke erneut auf **Save**.
## Terraform
Um den Schlüssel mit Terraform zu erstellen, verwende die Ressourcen `aws_kms_key` und `aws_kms_alias` aus dem Provider `aws`.