CMEK mit Google Cloud KMS einrichten
Erstelle einen Google Cloud KMS-Schlüssel, gib Anthropic Zugriff darauf und setze ihn in Claude Platform oder Claude Enterprise ein.
Claude Code
Lass Claude Code diese Funktion für dich einrichten
/claude-api hilf mir, einen kundenverwalteten Verschlüsselungsschlüssel mit Google Cloud KMS zu konfigurierenBevor du beginnst
In Claude:
- Kundenverwaltete Verschlüsselungsschlüssel (CMEK) sind für deine Organisation aktiviert.
- Du hast deine Anthropic-Organisations-ID, die UUID ohne das Präfix
org_. Kopiere sie unter Organization in der Claude Console oder unter Organization settings > Organization and access auf claude.ai. Wer den Schlüssel erstellt, benötigt sie. - Du bist Organization Admin auf der Claude Platform oder Owner bzw. Primary Owner bei Claude Enterprise.
- Auf der Claude Platform hast du einen Workspace, der Daten aufbewahrt, idealerweise einen neuen, da bestehende Daten unter dem Schlüssel von Anthropic bleiben.
- Bei Claude Enterprise weißt du, welche Funktionen deaktiviert werden oder sich ändern.
In Google Cloud:
- Die Cloud KMS API ist aktiviert.
- Du kannst Schlüsselbunde und Schlüssel erstellen und IAM-Richtlinien dafür festlegen (
roles/cloudkms.adminoder gleichwertig). - Cloud KMS-Data Access-Audit-Logs (Data Read und Data Write) sind aktiviert, sodass Cloud Logging die Nutzung deines Schlüssels durch Anthropic aufzeichnet. Standardmäßig sind sie deaktiviert.
- Wenn deine Google Cloud-Organisation die domänenbeschränkte Freigabe (
constraints/iam.allowedPolicyMemberDomains) erzwingt, blockiert diese die Zugriffsgewährung an das Dienstkonto von Anthropic. Füge eine Ausnahme auf Projektebene hinzu oder erlaube die Cloud Identity-Kunden-ID von Anthropic. Wende dich an Anthropic, um die ID zu erhalten.
In Google Cloud: den Schlüssel erstellen
Wenn Verify oder Add fehlschlägt, findest du die Lösungen für Google Cloud KMS.
Diese Schritte versehen den Schlüssel mit einem Label mit deiner Anthropic-Organisations-ID in Kleinbuchstaben (<ORGANIZATION_UUID>) und gewähren dem Dienstkonto von Anthropic Zugriff:
anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.comVerwende nur diese Adresse, niemals eine, die per E-Mail oder Chat gesendet wurde.
Du kannst jeden Cloud KMS-Standort verwenden. Für die niedrigste Latenz verwende us-east5 oder us-central1. Anthropic empfiehlt dringend HSM-Schutz.
Um einen bereits vorhandenen Schlüssel zu verwenden, füge zuerst das Organisationslabel hinzu.
Schlüsselbund erstellen oder auswählen
Rufe in der Google Cloud Console die Seite Key management auf. Öffne einen Schlüsselbund oder erstelle einen an einem Standort wie
us-east5.Schlüssel konfigurieren
Klicke auf Create key und gib einen Namen ein. Wähle diese Optionen aus:
- Protection level: HSM
- Key material: Generated key
- Purpose: Symmetric encrypt/decrypt
- Algorithm: Google symmetric key
Organisationslabel hinzufügen
Klicke auf Additional settings und dann auf Add label. Gib das Organisationslabel ein:
- Key 1:
anthropic-org-<ORGANIZATION_UUID> - Value 1:
true
Klicke auf Create.
Ein HSM-geschützter symmetrischer Schlüssel zum Verschlüsseln/Entschlüsseln mit dem Organisationslabel. - Key 1:
Berechtigungen des Schlüssels öffnen
Aktiviere auf der Detailseite des Schlüsselbunds das Kontrollkästchen neben dem Schlüssel. Öffne das Panel Permissions und klicke auf Grant access.
Dem Dienstkonto von Anthropic Zugriff auf den Schlüssel gewähren
Prüfe, dass Resource den Schlüssel anzeigt, nicht den Schlüsselbund oder das Projekt. Gib diese Werte ein:
- New principals:
anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com - Role: Cloud KMS CryptoKey Encrypter/Decrypter
Klicke auf Add another role und wähle Cloud KMS Viewer aus. Klicke auf Save.
Gewähre dem Anthropic-Dienstkonto beide Rollen, beschränkt auf den Schlüssel. - New principals:
Vollständigen Ressourcennamen des Schlüssels kopieren
Öffne auf der Detailseite des Schlüsselbunds das Menü Actions des Schlüssels und klicke auf Copy resource name.
Kopiere den vollständigen Ressourcennamen des Schlüssels aus dem Aktionsmenü.
Ersetze in jedem Befehl diese Platzhalter:
<your-project-id>: deine Google Cloud-Projekt-ID<region>: der Standort des Schlüssels, z. B.us-east5<your-keyring-name>: der Name des Schlüsselbunds<your-key-name>: der Name des Schlüssels<ORGANIZATION_UUID>: deine Anthropic-Organisations-ID in Kleinbuchstaben
Schlüsselbund erstellen oder auswählen
Überspringe diesen Schritt, wenn du bereits einen Schlüsselbund hast, den du wiederverwenden möchtest.
gcloud kms keyrings create <your-keyring-name> \ --project=<your-project-id> \ --location=<region>Schlüssel erstellen
gcloud kms keys create <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --purpose=encryption \ --protection-level=hsm \ --labels=anthropic-org-<ORGANIZATION_UUID>=trueLass für Softwareschutz
--protection-level=hsmweg.Dem Dienstkonto von Anthropic Zugriff auf den Schlüssel gewähren
Führe beide Befehle aus:
gcloud kms keys add-iam-policy-binding <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \ --role=roles/cloudkms.cryptoKeyEncrypterDecryptergcloud kms keys add-iam-policy-binding <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \ --role=roles/cloudkms.viewerVollständigen Ressourcennamen des Schlüssels abrufen
gcloud kms keys describe <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --format="value(name)"
Wer den Schlüssel in Claude hinzufügt, benötigt seinen vollständigen Ressourcennamen in diesem Format:
projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>Organisationslabel zu einem bereits vorhandenen Schlüssel hinzufügen
Die Verifizierung schlägt fehl, sofern der Schlüssel nicht das auf true gesetzte Label anthropic-org-<ORGANIZATION_UUID> mit deiner Anthropic-Organisations-ID in Kleinbuchstaben hat. Um das Label hinzuzufügen, führe Folgendes aus:
gcloud kms keys update <your-key-name> \
--project=<your-project-id> \
--location=<region> \
--keyring=<your-keyring-name> \
--update-labels=anthropic-org-<ORGANIZATION_UUID>=trueDie anderen Werte findest du im vollständigen Ressourcennamen des Schlüssels, und der Befehl behält vorhandene Labels bei. Springe dann zu den Schritten, die Zugriff gewähren.
In Claude: den Schlüssel hinzufügen und anhängen
Um diesen Teil auf Claude Platform per Skript auszuführen, verwende stattdessen die Admin API.
Die Einstellungen für Verschlüsselungsschlüssel öffnen
Öffne in der Claude Console auf der Seite Data retention den Abschnitt Encryption keys. Wenn der Abschnitt nicht angezeigt wird, wähle oben im Dropdown-Menü Organization aus.
Schlüssel hinzufügen
Klicke unter Encryption keys auf Add key. Gib einen Display name ein, wähle Google Cloud KMS aus und klicke auf Continue.
Ressourcennamen des Schlüssels eingeben
Prüfe, dass dein Schlüssel das im Dialogfeld angezeigte Organization label hat. Füge den vollständigen Ressourcennamen des Schlüssels in Key resource name ein und klicke auf Add.
Schlüssel verifizieren
Klicke in der Liste Encryption keys neben dem Schlüssel auf Verify. Connected wird angezeigt, wenn die Prüfung erfolgreich ist. Wenn stattdessen Connection failed angezeigt wird, siehe Fehlerbehebung bei CMEK.
Schlüssel an einen Workspace anhängen
- Wähle oben auf der Seite Data retention den Workspace aus dem Dropdown-Menü aus.
- Wähle unter Encryption key den Schlüssel aus und klicke auf Save.
- Aktiviere das Kontrollkästchen, um zu bestätigen, dass du die CMEK-Dokumentation gelesen hast, und klicke dann auf Confirm.
Du siehst Workspace settings updated. Sobald der Schlüssel wirksam wird, zeigt das Audit-Log deines Cloud-Anbieters die Aufrufe, die Anthropic an den Schlüssel richtet.
Wähle in einer ZDR-Organisation, nachdem du den Workspace ausgewählt hast, Standard data retention aus, damit Encryption key erscheint. Nachdem du auf Save geklickt hast, klicke bei den Bedingungen zur Datenaufbewahrung auf Accept.
In Claude Enterprise gilt CMEK für die gesamte Organisation, und du kannst nur einen einzigen Schlüssel hinzufügen.
Das Hinzufügen des Schlüssels deaktiviert oder ändert einige Funktionen für alle Nutzer. Wenn du CMEK zuerst ausprobieren möchtest, verwende eine separate Organisation.
Die Einstellungen für Verschlüsselungsschlüssel öffnen
Gehe zu claude.ai > Organization settings > Data and privacy und suche Encryption keys.
Schlüssel hinzufügen
Klicke auf Add key. Gib einen Display name ein und wähle Google Cloud KMS aus. Aktiviere das Kontrollkästchen, um zu bestätigen, dass du die CMEK-Dokumentation gelesen hast, und klicke dann auf Continue.
Ressourcennamen des Schlüssels eingeben
Prüfe, dass dein Schlüssel das im Dialogfeld angezeigte Organization label hat. Füge den vollständigen Ressourcennamen des Schlüssels in Key resource name ein und klicke auf Add.
Bestätigen, dass der Schlüssel hinzugefügt wurde
Die Prüfung kann bis zu 30 Sekunden dauern. Wenn Encryption key configured. erscheint, klicke auf Done. Wenn stattdessen The encryption key couldn’t be added. erscheint, finde die Ursache und versuche es erneut.
Dein Schlüssel schützt ab diesem Zeitpunkt geschriebene Daten. Informiere deine Benutzer darüber, welche Funktionen sich geändert haben.
Was this page helpful?