So funktioniert CMEK
Wie dein Schlüssel gespeicherte Daten schützt, was ein einzelner Schlüssel abdeckt, wann er wirksam wird und was du sehen kannst.
Dein Schlüssel wrappt die Schlüssel, die deine Daten verschlüsseln
Anthropic verschlüsselt deine gespeicherten Daten mit Datenschlüsseln. Mit „customer-managed encryption keys“ (kundenverwaltete Verschlüsselungsschlüssel), oder CMEK, verschlüsselt – oder wrappt – dein Schlüssel diese Datenschlüssel. Das ist Envelope-Verschlüsselung. Um Daten zu schreiben oder zu lesen, bittet Anthropic deinen „key management service“ (Schlüsselverwaltungsdienst), oder KMS, einen Datenschlüssel zu wrappen oder zu unwrappen.
Datenschlüssel werden zwischen Anthropic und deiner Cloud ausgetauscht. Dein Schlüssel verlässt nie deinen KMS. Deine Daten gelangen nie dorthin.
Anthropic hat keine Kopie deines Schlüssels, daher kann Claude ohne ihn die Daten, die er schützt, nicht lesen.
Was ein einzelner Schlüssel schützt
Auf Claude Platform und Claude Platform on AWS schützt ein Schlüssel einen Workspace, und ein Schlüssel kann mehrere Workspaces bedienen. Auf Claude Enterprise schützt ein Schlüssel die gesamte Organisation, die nur einen einzigen Schlüssel haben kann. Welche Daten dein Schlüssel schützt, hängt von deinem Produkt ab.
Auf Claude Platform und Claude Enterprise trägt dein Schlüssel die ID deiner Anthropic-Organisation, wodurch der Schlüssel an deine Organisation gebunden wird. Je nach deinem KMS steht die ID in einer Bedingung der Schlüsselrichtlinie, in einem Label oder in einem Tag. Ein Schlüssel ohne die ID besteht die Verifizierung nicht. Ein Schlüssel, den mehrere Organisationen gemeinsam nutzen, trägt die ID jeder dieser Organisationen.
Eine AWS KMS-Schlüsselrichtlinie kann Workspaces benennen, und zwar über ihre Compartment-IDs. Eine Compartment-ID ist die UUID, die Anthropic jedem Workspace für die Verschlüsselung zuteilt, nicht die Workspace-ID, die mit wrkspc_ beginnt.
Wo dein Schlüssel liegt
Dein Schlüssel liegt in AWS KMS, Google Cloud KMS oder Azure Key Vault. Dein Anbieter berechnet dafür möglicherweise Gebühren.
Auf Claude Platform und Claude Enterprise ist CMEK in US-Regionen verfügbar, und Anthropic führt alle Verschlüsselungsoperationen dort aus. Jede Einrichtungsseite nennt die Regionen mit der niedrigsten Latenz.
Wann dein Schlüssel wirksam wird
Dein Schlüssel schützt nur Daten, die geschrieben werden, nachdem er wirksam geworden ist. Vorhandene Daten (frühere Chats, Dateien und Sessions) bleiben unter dem Schlüssel von Anthropic und werden nicht neu verschlüsselt.
Auf Claude Platform und Claude Platform on AWS wird ein Schlüssel, der vor der ersten Anfrage eines Workspace an diesen angehängt wird, mit dieser Anfrage wirksam. In einem bereits genutzten Workspace kann es bis zu einem Tag dauern, bis dein Schlüssel wirksam wird, und in der Zwischenzeit geschriebene Daten bleiben unter dem Schlüssel von Anthropic. Deshalb empfiehlt Anthropic einen neuen Workspace.
Was du sehen kannst
Das Audit-Log deiner Cloud kann jede Operation aufzeichnen, die Anthropic mit deinem Schlüssel ausführt. Wo du diese Protokollierung aktivieren musst, führt deine Einrichtungsseite dies als Voraussetzung auf. In AWS CloudTrail sind einige Einträge erwartete Fehler.
Änderungen an deiner CMEK-Konfiguration erscheinen im Compliance API Activity Feed. Operationen mit deinem Schlüssel erscheinen dort nicht.
Latenz und Standards
Jedes Wrappen oder Unwrappen ist ein Roundtrip zu deinem KMS, was beim Lesen und Schreiben gespeicherter Daten etwas Latenz hinzufügen kann. Informationen zu kryptografischen Standards wie FIPS findest du im CMEK-Whitepaper im Trust Center.
Lies als Nächstes, was jede Schlüsselaktion bewirkt.
Was this page helpful?