Fehlerbehebung bei CMEK

Verify in der Claude Console, Add auf claude.ai und der Validate-Aufruf der Admin API führen alle dieselbe Prüfung aus. Wenn sie fehlschlägt (Connection failed in der Claude Console), sieh dir die Ursachen für AWS KMS, Google Cloud KMS oder Azure Key Vault an.

Wenn eine Funktion nicht mehr funktioniert, könnte es eine sein, die durch „customer-managed encryption keys“ (kundenverwaltete Verschlüsselungsschlüssel), oder CMEK, deaktiviert wird. Prüfe die Claude Platform-Liste oder die Claude Enterprise-Liste.

Wenn nichts davon passt, kontaktiere dein Anthropic-Account-Team.

Anfragen schlagen nach der Einrichtung fehl

cmek_key_disabled

Customer-managed encryption key is disabled or revoked. Re-enable the key to restore access.

Dieser 400-Fehler bedeutet, dass dein Schlüsselverwaltungsdienst den Aufruf von Anthropic abgelehnt hat. Prüfe diese Ursachen in dieser Reihenfolge:

1. Der Schlüssel ist deaktiviert.
2. Anthropics Zugriff auf den Schlüssel wurde entfernt. Deine Einrichtungsseite zeigt den Zugriff, den Anthropic benötigt.
3. Bei AWS KMS listet die Schlüsselrichtlinie Workspaces auf, aber nicht diesen.
4. Bei AWS KMS blockiert eine IP-Bedingung Anthropics ausgehende IP-Adressen.

Behebe die Ursache. Zwei Einschränkungen gelten, wenn der Zugriff wiederhergestellt ist.

cmek_key_network_blocked

The request to your key management service was blocked by its network access controls (for example, a KMS firewall or IP allowlist). Verify that your KMS network rules allow requests from Anthropic's published IP addresses, or contact Anthropic support if your configuration looks correct.

Dies ist ein 400-Fehler. Der Schlüssel selbst ist möglicherweise intakt. Erlaube Anthropics veröffentlichte IP-Adressen in den Netzwerkregeln deines Schlüsselverwaltungsdienstes.

cmek_key_unreachable

The workspace's customer-managed encryption key could not be reached. Try again shortly. If this continues, check that the key is available in your key management service, or contact Anthropic support.

Dieser 503-Fehler bedeutet, dass Anthropic deinen Schlüssel nicht erreichen konnte. Wiederhole die Anfrage.

Verifizierung schlägt fehl: AWS KMS

Um die Schlüsselrichtlinie auszugeben, führe Folgendes aus:

aws kms get-key-policy \
  --region <REGION> \
  --key-id <KEY_ARN> \
  --policy-name default

Ein Schlüssel, der bereits Daten schützt

Wenn du die Richtlinie eines Schlüssels ersetzt, der bereits Daten schützt, füge diese Richtlinienanweisung hinzu, damit Anthropic diese Daten weiterhin entschlüsseln kann. Liste in ihrer Bedingung die Compartment-ID jedes Workspace auf, an den der Schlüssel angehängt ist oder war.

{
  "Sid": "AllowAnthropicCMEKDecryptExistingData",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
  },
  "Action": "kms:Decrypt",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
    }
  }
}

Verifizierung schlägt fehl: Google Cloud KMS

Um die Berechtigung zu prüfen, führe Folgendes aus:

gcloud kms keys get-iam-policy <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name>

Verifizierung schlägt fehl: Azure Key Vault

Anhängen schlägt auf Claude Platform on AWS fehl

Claude Platform on AWS hat keinen Verify-Schritt, daher zeigt sich ein Problem mit dem Schlüssel, wenn du ihn anhängst.

Wenn das Anhängen weiterhin fehlschlägt, suche das abgelehnte kms:-Ereignis in CloudTrail im Konto des Schlüssels. Es zeigt den aufrufenden Principal und bei kryptografischen Aufrufen den Verschlüsselungskontext. Behebe die Ursache und klicke dann erneut auf Save.

Anhängen oder Hinzufügen eines Schlüssels wird abgelehnt

Der Workspace bewahrt keine Daten auf

CMEK keys can only be attached to workspaces in this organization that have inference data retention enabled.

Deine Organisation verwendet Null-Datenaufbewahrung (ZDR), und ein Schlüssel benötigt einen Workspace, der Daten aufbewahrt. Stelle den Workspace zuerst auf Standard data retention um.

Der Workspace hat keine Einstellung Encryption key

Nur ein Workspace, der Daten aufbewahrt, hat diese Einstellung, wähle also zuerst Standard data retention für den Workspace aus. Der Standard-Workspace einer ZDR-Organisation kann nicht umgestellt werden, verwende daher einen anderen.

Es gibt keinen Abschnitt Encryption keys

Wähle in der Claude Console im Dropdown-Menü oben auf der Seite Data retention die Option Organization aus. Wenn der Abschnitt weiterhin fehlt, umfasst deine Rolle ihn nicht oder CMEK ist für deine Organisation nicht aktiviert. Dein Anthropic-Account-Team aktiviert CMEK.

Der Workspace hat bereits einen Schlüssel

This workspace already has a different external key attached.

Der Schlüssel eines Workspace kann nicht ersetzt werden, also erstelle einen neuen Workspace für einen anderen Schlüssel.

Das Hinzufügen eines Schlüssels auf claude.ai schlägt fehl

The encryption key couldn’t be added.

Die Prüfung deines Schlüssels ist fehlgeschlagen. Finde die Ursache für AWS KMS, Google Cloud KMS oder Azure Key Vault. Um es erneut zu versuchen, klicke noch einmal auf Add key. Das Dialogfeld öffnet sich mit deinen vorherigen Angaben. Aktiviere das Kontrollkästchen, klicke auf Continue und dann auf Add.

Erwartete Fehler in CloudTrail

Auf Claude Platform und Claude Enterprise prüft Anthropic den Schlüssel, wann immer du ihn verifizierst, ihn an einen Workspace anhängst oder ihn auf claude.ai ansiehst. Jede Prüfung fügt CloudTrail vier erwartete Access-Denied-Fehler hinzu.

Um sie herauszufiltern, gleiche alle drei Werte ab:

• requestParameters.encryptionContext.associatedData: Y21lay12YWxpZGF0aW9u
• userIdentity.accountId: 915198916910
• resources.ARN: arn:aws:kms:<REGION>:<AWS_ACCOUNT_ID>:key/<KEY_ID>

Der erste Wert allein reicht nicht aus, da jeder Aufrufer ihn setzen kann.