--- title: Configurar CMEK con AWS KMS url: https://platform.claude.com/docs/es/manage-claude/cmek-aws-kms description: Crea una clave de AWS KMS, dale a Anthropic acceso a ella y ponla en uso en Claude Platform o Claude Enterprise. --- Deja que Claude Code configure esta función por ti ```text /claude-api ayúdame a configurar una clave de cifrado administrada por el cliente con AWS KMS ``` Si la barra lateral de tu Claude Console muestra **Account managed by AWS**, sigue en su lugar [Configurar CMEK en Claude Platform on AWS](https://platform.claude.com/docs/es/manage-claude/cmek-claude-platform-on-aws). ## Antes de empezar En Claude: * Las claves de cifrado administradas por el cliente (CMEK) están [activadas para tu organización](https://platform.claude.com/docs/es/manage-claude/cmek#availability). * Tienes el ID de tu organización de Anthropic, el UUID sin el prefijo `org_`. Cópialo desde [Organization](https://platform.claude.com/settings/organization) en la Claude Console, o desde **Organization settings > Organization and access** en claude.ai. Quien cree la clave lo necesita. * Eres Organization Admin en Claude Platform, u Owner o Primary Owner en Claude Enterprise. * En Claude Platform, tienes un espacio de trabajo que [retiene datos](https://platform.claude.com/docs/es/manage-claude/cmek-data-retention#data-retention), idealmente uno nuevo, porque [los datos existentes permanecen bajo la clave de Anthropic](https://platform.claude.com/docs/es/manage-claude/cmek-how-it-works#when-your-key-takes-effect). * En Claude Enterprise, sabes [qué funciones se desactivan o cambian](https://platform.claude.com/docs/es/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed). En AWS: * Puedes crear claves de AWS KMS y establecer sus políticas de clave (`kms:CreateKey` y `kms:PutKeyPolicy`). * Cualquier restricción de IP en el acceso a AWS KMS permite las [direcciones IP salientes de Anthropic](https://platform.claude.com/docs/es/api/ip-addresses#outbound-ip-addresses). ## En AWS: crea la clave Después de un **Verify** o **Add** fallido, consulta las [soluciones para AWS KMS](https://platform.claude.com/docs/es/manage-claude/cmek-troubleshooting#aws-kms). ### Escribe la política de clave Esta política le da al rol de IAM de Anthropic acceso a tu clave. Usa solo el ARN de rol publicado en esta página, nunca uno enviado por correo electrónico o chat. Copia la política en un editor de texto: ```json key-policy.json { "Version": "2012-10-17", "Statement": [ { "Sid": "AccountRootAdmin", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam:::root" }, "Action": "kms:*", "Resource": "*" }, { "Sid": "AllowAnthropicCMEKCrypto", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": ["kms:Encrypt", "kms:Decrypt"], "Resource": "*", "Condition": { "StringEquals": { "kms:EncryptionContext:anthropic:org_uuid": [""] } } }, { "Sid": "AllowAnthropicCMEKDescribe", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": "kms:DescribeKey", "Resource": "*" } ] } ``` Reemplaza `` con tu [ID de cuenta de AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/console-account-id.html) y `` con tu [ID de organización de Anthropic](https://platform.claude.com/docs/es/manage-claude/cmek-aws-kms#prerequisites). Conserva la condición `kms:EncryptionContext:anthropic:org_uuid`; de lo contrario, la verificación falla. También puedes [limitar tu clave a espacios de trabajo específicos](https://platform.claude.com/docs/es/manage-claude/cmek-aws-kms-workspaces) enumerando sus ID de compartimento. Si vas a reemplazar la política de una clave que ya protege datos de Claude, [agrega una declaración de política más](https://platform.claude.com/docs/es/manage-claude/cmek-troubleshooting#existing-data). ### Crea la clave Crea la clave en una región de EE. UU. Para obtener la latencia más baja, usa `us-east-2`. Para usar una clave que ya tienes en AWS KMS, [reemplaza su política de clave](https://platform.claude.com/docs/es/manage-claude/cmek-aws-kms-workspaces#replace-the-key-policy). Abre la [consola de AWS KMS](https://console.aws.amazon.com/kms) y cambia a la región de la clave. Ve a **Customer managed keys** y haz clic en **Create key**. Asegúrate de que estén seleccionadas estas opciones: * **Key type:** Symmetric * **Key usage:** Encrypt and decrypt * **Advanced options > Key material origin:** KMS * **Advanced options > Regionality:** Single-Region key Haz clic en **Next**. ![Paso Configure key de AWS KMS con el tipo de clave Symmetric, el uso de clave Encrypt and decrypt y Single-Region key seleccionados.](https://platform.claude.com/docs/images/cmek/aws-configure-key.png) Ingresa un **Alias** para la clave, como `anthropic-cmek`. Haz clic en **Next**. ![Paso Add labels de AWS KMS con el alias anthropic-cmek y la descripción Anthropic CMEK.](https://platform.claude.com/docs/images/cmek/aws-add-labels.png) No selecciones ningún administrador de clave. Tu política de clave ya le otorga a tu cuenta de AWS control administrativo total. Haz clic en **Next**. ![Paso Define key administrative permissions de AWS KMS que enumera los roles de IAM que pueden administrar la clave.](https://platform.claude.com/docs/images/cmek/aws-admin-permissions.png) No selecciones ningún usuario de clave y no agregues nada en **Other AWS accounts**. Tu política de clave ya otorga el acceso necesario. Haz clic en **Next**. Haz clic en **Edit**. Sustituye toda la política por tu política de clave y luego haz clic en **Next**. Haz clic en **Finish**. En **Customer managed keys**, abre la nueva clave y copia su ARN. Quien agregue la clave en Claude lo necesita. Guarda tu política de clave como `key-policy.json` y luego crea la clave. Sustituye `` por la región de la clave. ```bash aws kms create-key \ --region \ --description "Anthropic CMEK" \ --key-usage ENCRYPT_DECRYPT \ --policy file://key-policy.json ``` Copia `KeyMetadata.Arn` de la salida. Quien agregue la clave en Claude necesita el ARN. Cada comprobación de la clave en Claude agrega a CloudTrail cuatro errores de acceso denegado esperados. Puedes [filtrarlos](https://platform.claude.com/docs/es/manage-claude/cmek-troubleshooting#cloudtrail). ## En Claude: agrega y adjunta la clave Para automatizar esta parte mediante scripts en Claude Platform, [usa la Admin API](https://platform.claude.com/docs/es/manage-claude/cmek-admin-api) en su lugar. En la Claude Console, abre [Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys) en la página Data retention. Si la sección no aparece, selecciona **Organization** en el menú desplegable de la parte superior. En **Encryption keys**, haz clic en **Add key**. Ingresa un **Display name**, selecciona **AWS KMS** y haz clic en **Continue**. Comprueba que tu [política de clave](https://platform.claude.com/docs/es/manage-claude/cmek-aws-kms#key-policy) contenga el **Organization ID for the key policy** que se muestra en el cuadro de diálogo. Pega el ARN de la clave en **KMS key ARN** y haz clic en **Add**. En la lista **Encryption keys**, haz clic en **Verify** junto a la clave. **Connected** aparece cuando la comprobación se supera. Si en su lugar aparece **Connection failed**, consulta [Solucionar problemas de CMEK](https://platform.claude.com/docs/es/manage-claude/cmek-troubleshooting). Adjuntar una clave [no se puede deshacer](https://platform.claude.com/docs/es/manage-claude/cmek-key-lifecycle#what-each-action-does). No puedes quitarla del espacio de trabajo ni reemplazarla. Si la clave se elimina, Anthropic no puede recuperar los datos que protege. 1. En la parte superior de la página Data retention, selecciona el espacio de trabajo en el menú desplegable. 2. En **Encryption key**, selecciona la clave y haz clic en **Save**. 3. Marca la casilla para confirmar que has leído la documentación de CMEK y luego haz clic en **Confirm**. Verás **Workspace settings updated.** Una vez que tu clave [entre en vigor](https://platform.claude.com/docs/es/manage-claude/cmek-how-it-works#when-your-key-takes-effect), el registro de auditoría de tu proveedor de nube mostrará las llamadas de Anthropic a tu clave. En una [organización con ZDR](https://platform.claude.com/docs/es/manage-claude/cmek-data-retention#zdr-organizations), después de seleccionar el espacio de trabajo, selecciona **Standard data retention** para que aparezca **Encryption key**. Después de hacer clic en **Save**, haz clic en **Accept** en los términos de retención de datos. En Claude Enterprise, CMEK se aplica a toda la organización y puedes agregar una sola clave. Agregar una clave [no se puede deshacer](https://platform.claude.com/docs/es/manage-claude/cmek-key-lifecycle#what-each-action-does). No puedes quitarla de la organización ni reemplazarla. Si la clave se elimina, Anthropic no puede recuperar los datos que protege. Agregar la clave [desactiva o modifica algunas funciones](https://platform.claude.com/docs/es/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) para todos los usuarios. Para probar CMEK primero, usa una organización independiente. Ve a [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls) y busca **Encryption keys**. Haz clic en **Add key**. Ingresa un **Display name** y selecciona **AWS KMS**. Selecciona la casilla para confirmar que has leído la documentación de CMEK y luego haz clic en **Continue**. Comprueba que tu [política de clave](https://platform.claude.com/docs/es/manage-claude/cmek-aws-kms#key-policy) contenga el **Organization ID for the key policy** que se muestra en el cuadro de diálogo. Pega el ARN de la clave en **KMS key ARN** y haz clic en **Add**. La comprobación puede tardar hasta 30 segundos. Cuando aparezca **Encryption key configured.**, haz clic en **Done**. Si en su lugar aparece **The encryption key couldn’t be added.**, [encuentra la causa y vuelve a intentarlo](https://platform.claude.com/docs/es/manage-claude/cmek-troubleshooting#claude-ai-add-fails). Tu clave protege los datos que se escriban a partir de ese momento. Informa a tus usuarios [qué funciones cambiaron](https://platform.claude.com/docs/es/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).