Claude Platform Docs
AdministraciónConfigurar CMEK

Configurar CMEK con AWS KMS

Crea una clave de AWS KMS, dale a Anthropic acceso a ella y ponla en uso en Claude Platform o Claude Enterprise.

Claude Code

Deja que Claude Code configure esta función por ti

/claude-api ayúdame a configurar una clave de cifrado administrada por el cliente con AWS KMS

Si la barra lateral de tu Claude Console muestra Account managed by AWS, sigue en su lugar Configurar CMEK en Claude Platform on AWS.

Antes de empezar

En Claude:

En AWS:

  • Puedes crear claves de AWS KMS y establecer sus políticas de clave (kms:CreateKey y kms:PutKeyPolicy).
  • Cualquier restricción de IP en el acceso a AWS KMS permite las direcciones IP salientes de Anthropic.

En AWS: crea la clave

Después de un Verify o Add fallido, consulta las soluciones para AWS KMS.

Escribe la política de clave

Esta política le da al rol de IAM de Anthropic acceso a tu clave. Usa solo el ARN de rol publicado en esta página, nunca uno enviado por correo electrónico o chat. Copia la política en un editor de texto:

key-policy.json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AccountRootAdmin",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<AWS_ACCOUNT_ID>:root"
      },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "AllowAnthropicCMEKCrypto",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
      },
      "Action": ["kms:Encrypt", "kms:Decrypt"],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:anthropic:org_uuid": ["<ORGANIZATION_UUID>"]
        }
      }
    },
    {
      "Sid": "AllowAnthropicCMEKDescribe",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    }
  ]
}

Reemplaza <AWS_ACCOUNT_ID> con tu ID de cuenta de AWS y <ORGANIZATION_UUID> con tu ID de organización de Anthropic. Conserva la condición kms:EncryptionContext:anthropic:org_uuid; de lo contrario, la verificación falla.

También puedes limitar tu clave a espacios de trabajo específicos enumerando sus ID de compartimento. Si vas a reemplazar la política de una clave que ya protege datos de Claude, agrega una declaración de política más.

Crea la clave

Crea la clave en una región de EE. UU. Para obtener la latencia más baja, usa us-east-2.

Para usar una clave que ya tienes en AWS KMS, reemplaza su política de clave.

  1. Abre el asistente Create key

    Abre la consola de AWS KMS y cambia a la región de la clave. Ve a Customer managed keys y haz clic en Create key.

  2. Configure key

    Asegúrate de que estén seleccionadas estas opciones:

    • Key type: Symmetric
    • Key usage: Encrypt and decrypt
    • Advanced options > Key material origin: KMS
    • Advanced options > Regionality: Single-Region key

    Haz clic en Next.

    Paso Configure key de AWS KMS con el tipo de clave Symmetric, el uso de clave Encrypt and decrypt y Single-Region key seleccionados.

    Clave simétrica, de cifrado y descifrado y de una sola región.

  3. Add labels

    Ingresa un Alias para la clave, como anthropic-cmek. Haz clic en Next.

    Paso Add labels de AWS KMS con el alias anthropic-cmek y la descripción Anthropic CMEK.

    Un alias para la clave.

  4. Define key administrative permissions

    No selecciones ningún administrador de clave. Tu política de clave ya le otorga a tu cuenta de AWS control administrativo total. Haz clic en Next.

    Paso Define key administrative permissions de AWS KMS que enumera los roles de IAM que pueden administrar la clave.

    Deja vacíos los administradores de clave.

  5. Define key usage permissions

    No selecciones ningún usuario de clave y no agregues nada en Other AWS accounts. Tu política de clave ya otorga el acceso necesario. Haz clic en Next.

  6. Edit key policy

    Haz clic en Edit. Sustituye toda la política por tu política de clave y luego haz clic en Next.

  7. Review

    Haz clic en Finish.

  8. Copia el ARN de la clave

    En Customer managed keys, abre la nueva clave y copia su ARN. Quien agregue la clave en Claude lo necesita.

Cada comprobación de la clave en Claude agrega a CloudTrail cuatro errores de acceso denegado esperados. Puedes filtrarlos.

En Claude: agrega y adjunta la clave

Para automatizar esta parte mediante scripts en Claude Platform, usa la Admin API en su lugar.

  1. Abre la configuración de claves de cifrado

    En la Claude Console, abre Encryption keys en la página Data retention. Si la sección no aparece, selecciona Organization en el menú desplegable de la parte superior.

  2. Agrega la clave

    En Encryption keys, haz clic en Add key. Ingresa un Display name, selecciona AWS KMS y haz clic en Continue.

  3. Ingresa el ARN de la clave

    Comprueba que tu política de clave contenga el Organization ID for the key policy que se muestra en el cuadro de diálogo. Pega el ARN de la clave en KMS key ARN y haz clic en Add.

  4. Verifica la clave

    En la lista Encryption keys, haz clic en Verify junto a la clave. Connected aparece cuando la comprobación se supera. Si en su lugar aparece Connection failed, consulta Solucionar problemas de CMEK.

  5. Adjunta la clave a un espacio de trabajo

    1. En la parte superior de la página Data retention, selecciona el espacio de trabajo en el menú desplegable.
    2. En Encryption key, selecciona la clave y haz clic en Save.
    3. Marca la casilla para confirmar que has leído la documentación de CMEK y luego haz clic en Confirm.

    Verás Workspace settings updated. Una vez que tu clave entre en vigor, el registro de auditoría de tu proveedor de nube mostrará las llamadas de Anthropic a tu clave.

    En una organización con ZDR, después de seleccionar el espacio de trabajo, selecciona Standard data retention para que aparezca Encryption key. Después de hacer clic en Save, haz clic en Accept en los términos de retención de datos.

Was this page helpful?