Limitar una clave de AWS KMS a espacios de trabajo específicos

La política de clave de la configuración permite que todos los espacios de trabajo de tu organización usen la clave. Con esta condición opcional, un espacio de trabajo que no esté en la lista no puede usarla.

Agrega el ID de compartimento de un espacio de trabajo a la política antes de adjuntar la clave a ese espacio de trabajo. Para un espacio de trabajo nuevo, eso significa crearlo sin la clave.

Copiar el ID de compartimento del espacio de trabajo

En la Claude Console, abre la página Data retention y selecciona el espacio de trabajo en el menú desplegable de la parte superior. Copia el Compartment ID en Encryption key. El endpoint Get Workspace lo devuelve como compartment_id.

Una organización de Claude Enterprise tiene un solo ID de compartimento. Cópialo desde tu clave en Encryption keys en claude.ai > Organization settings > Data and privacy.

Agregar la condición a la política de clave

Reemplaza la declaración de política AllowAnthropicCMEKCrypto con esta. Completa tu ID de organización de Anthropic y el ID de compartimento de cada espacio de trabajo que use la clave. Una clave que ya protege datos necesita una declaración de política más.

{
  "Sid": "AllowAnthropicCMEKCrypto",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
  },
  "Action": ["kms:Encrypt", "kms:Decrypt"],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:anthropic:org_uuid": ["<ORGANIZATION_UUID>"]
    },
    "StringEqualsIfExists": {
      "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
    }
  }
}

Reemplazar la política de clave en una clave existente

1. En la consola de AWS KMS, abre la clave y haz clic en la pestaña Key policy.
2. Si ves Switch to policy view, haz clic en esa opción.
3. Haz clic en Edit.
4. Reemplaza el JSON con tu política de clave.
5. Haz clic en Save changes.