Configura CMEK con Azure Key Vault
Crea una clave de Azure Key Vault, da a Anthropic acceso a ella y empieza a usarla en Claude Platform o Claude Enterprise.
Claude Code
Deja que Claude Code configure esta función por ti
/claude-api ayúdame a configurar una clave de cifrado administrada por el cliente con Azure Key VaultAntes de empezar
En Claude:
- Las claves de cifrado administradas por el cliente (CMEK) están activadas para tu organización.
- Tienes el ID de tu organización de Anthropic, el UUID sin el prefijo
org_. Cópialo desde Organization en la Claude Console, o desde Organization settings > Organization and access en claude.ai. Quien cree la clave lo necesita. - Eres Organization Admin en Claude Platform, u Owner o Primary Owner en Claude Enterprise.
- En Claude Platform, tienes un espacio de trabajo que retiene datos, idealmente uno nuevo, porque los datos existentes permanecen bajo la clave de Anthropic.
- En Claude Enterprise, sabes qué funciones se desactivan o cambian.
En Azure:
- Puedes crear claves en tu almacén de claves y asignar roles de RBAC en él.
- Puedes crear entidades de servicio en tu inquilino de Entra (Application Administrator, Cloud Application Administrator o un rol personalizado equivalente).
- El almacén tiene una configuración de diagnóstico para la categoría de registro
AuditEvent. Sin ella, las operaciones que Anthropic realiza con tu clave no dejan rastro de auditoría.
En Azure: crea la clave
Después de un Verify o Add fallido, consulta las soluciones para Azure Key Vault.
Estos pasos dan a la aplicación multiinquilino de Anthropic acceso a tu clave:
- Nombre:
anthropic-cmek-client-us - ID de cliente:
8635ae1a-3e5d-44e8-a4ed-e0f614466f87
Usa solo este ID de cliente y este nombre, nunca los que recibas por correo electrónico o chat. La aplicación no solicita permisos de Microsoft Graph.
Comprueba el almacén
Para obtener la menor latencia, usa un almacén en northcentralus o eastus2. Ejecuta esto primero, en la Azure CLI o en Cloud Shell:
az keyvault show --name <your-vault-name> \
--query "{rbac:properties.enableRbacAuthorization, purge:properties.enablePurgeProtection, pub:properties.publicNetworkAccess, net:properties.networkAcls.defaultAction, ipRules:properties.networkAcls.ipRules, uri:properties.vaultUri, tenantId:properties.tenantId}"| Campo | Debe ser |
|---|---|
rbac | true |
purge | true. Si es false o null, activa primero la protección de purga. No puedes volver a desactivarla. |
pub | "Enabled". Los puntos de conexión privados no son compatibles. |
net | "Allow", o "Deny" con las direcciones IP de salida de Anthropic en ipRules |
Copia uri (el URI del almacén) y tenantId.
Crea la clave y concede acceso
En esta página, <ORGANIZATION_UUID> es tu ID de organización de Anthropic en minúsculas. Para usar una clave que ya tienes, primero agrega la etiqueta de organización.
Crea la entidad de servicio de Anthropic
Abre Cloud Shell desde la barra de navegación superior del portal. Ejecuta este comando:
az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87Si la entidad de servicio ya existe, continúa con el siguiente paso.
Confirma que la entidad de servicio existe
Ve a Microsoft Entra ID > Enterprise applications y quita el filtro predeterminado de tipo de aplicación. Busca
anthropic-cmek-client-us.
La entidad de servicio anthropic-cmek-client-us en Entra enterprise applications. Abre la página Create a key
Abre tu almacén de claves y selecciona Keys. Haz clic en Generate/Import.
Crea una clave RSA en tu almacén
Establece estos valores:
- Name: un nombre para la clave
- Key type: RSA
- RSA key size: 3072 o más
Haz clic en el enlace junto a Tags.
Agrega la etiqueta de organización
Introduce estos valores:
- Tag Name:
anthropic-org-<ORGANIZATION_UUID> - Tag Value:
true
Haz clic en OK y luego en Create.
Crea una clave RSA de 3072 o más, con la etiqueta anthropic-org-<ORGANIZATION_UUID> establecida en true. - Tag Name:
Limita las operaciones permitidas
Abre la nueva clave y luego abre su versión actual. En Permitted operations, desmarca todas las casillas excepto Wrap Key y Unwrap Key. Haz clic en Save.
Restringe las operaciones permitidas a Wrap Key y Unwrap Key. La versión de la clave muestra la etiqueta de organización. Abre el control de acceso de la clave
Abre la clave en sí, no el almacén. Selecciona su pestaña Access control (IAM) y haz clic en Add > Add role assignment.
Selecciona el rol
En la pestaña Role, selecciona Key Vault Crypto User. Haz clic en Next.
Agrega la entidad de servicio de Anthropic
En la pestaña Members, haz clic en Select members. Busca
anthropic-cmek-client-usy selecciónala. Haz clic en Select y luego en Next.Revisa y asigna
En la pestaña Review + assign, haz clic en Review + assign.
Crea la entidad de servicio de Anthropic
az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87Copia el campo
idde la salida.Si el comando termina con un error "already exists", obtén el
idcon este comando en su lugar:az ad sp show --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87 --query id -o tsvCrea una clave RSA en tu almacén
az keyvault key create \ --vault-name <your-vault-name> \ --name <your-key-name> \ --kty RSA --size 3072 \ --ops wrapKey unwrapKey \ --tags anthropic-org-<ORGANIZATION_UUID>=trueSustituye los marcadores de posición:
<your-vault-name>: el nombre de tu almacén de claves<your-key-name>: un nombre para la clave<ORGANIZATION_UUID>: tu ID de organización de Anthropic en minúsculas
Para una clave respaldada por HSM, usa
--kty RSA-HSM.Concede a la entidad de servicio de Anthropic acceso a tu clave
VAULT_ID=$(az keyvault show --name <your-vault-name> --query id -o tsv) az role assignment create \ --role "Key Vault Crypto User" \ --assignee-object-id <sp-object-id> \ --assignee-principal-type ServicePrincipal \ --scope "${VAULT_ID}/keys/<your-key-name>"Sustituye los marcadores de posición:
<your-vault-name>: el nombre de tu almacén de claves<sp-object-id>: el valoriddel primer paso<your-key-name>: el nombre de la clave
Quien agregue la clave en Claude necesita el URI del almacén, el nombre de la clave y el ID de inquilino.
Agrega la etiqueta de organización a una clave que ya tienes
La verificación falla sin la etiqueta de organización. La clave debe ser RSA, de 3072 bits o más.
En lugar de crear una clave, ejecuta este comando en la Azure CLI o en Cloud Shell. Limita la clave a wrapKey y unwrapKey. También sobrescribe las etiquetas de la versión actual, así que enumera en --tags las que quieras conservar, como name=value.
az keyvault key set-attributes \
--vault-name <your-vault-name> \
--name <your-key-name> \
--ops wrapKey unwrapKey \
--tags anthropic-org-<ORGANIZATION_UUID>=trueAún necesitas los pasos de la entidad de servicio y de la asignación de roles.
En Claude: agrega y adjunta la clave
Para automatizar esta parte mediante scripts en Claude Platform, usa la Admin API en su lugar.
Abre la configuración de claves de cifrado
En la Claude Console, abre Encryption keys en la página Data retention. Si la sección no aparece, selecciona Organization en el menú desplegable de la parte superior.
Agrega la clave
En Encryption keys, haz clic en Add key. Introduce un Display name, selecciona Azure Key Vault y haz clic en Continue.
Introduce los detalles de la clave
Comprueba que tu clave tenga la Organization tag que se muestra en el cuadro de diálogo. Introduce el Vault URI, el Key name y el Tenant ID, deja Client ID vacío y haz clic en Add.
Verifica la clave
En la lista Encryption keys, haz clic en Verify junto a la clave. Connected aparece cuando la comprobación se supera. Si en su lugar aparece Connection failed, consulta Solucionar problemas de CMEK.
Adjunta la clave a un espacio de trabajo
- En la parte superior de la página Data retention, selecciona el espacio de trabajo en el menú desplegable.
- En Encryption key, selecciona la clave y haz clic en Save.
- Marca la casilla para confirmar que has leído la documentación de CMEK y luego haz clic en Confirm.
Verás Workspace settings updated. Una vez que tu clave entre en vigor, el registro de auditoría de tu proveedor de nube mostrará las llamadas de Anthropic a tu clave.
En una organización con ZDR, después de seleccionar el espacio de trabajo, selecciona Standard data retention para que aparezca Encryption key. Después de hacer clic en Save, haz clic en Accept en los términos de retención de datos.
En Claude Enterprise, CMEK se aplica a toda la organización y puedes agregar una sola clave.
Agregar la clave desactiva o modifica algunas funciones para todos los usuarios. Para probar CMEK primero, usa una organización independiente.
Abre la configuración de claves de cifrado
Ve a claude.ai > Organization settings > Data and privacy y busca Encryption keys.
Agrega la clave
Haz clic en Add key. Introduce un Display name y selecciona Azure Key Vault. Marca la casilla para confirmar que has leído la documentación de CMEK y luego haz clic en Continue.
Introduce los detalles de la clave
Comprueba que tu clave tenga la Organization tag que se muestra en el cuadro de diálogo. Introduce el Vault URI, el Key name y el Tenant ID, deja Client ID vacío y haz clic en Add.
Confirma que se agregó la clave
La comprobación puede tardar hasta 30 segundos. Cuando aparezca Encryption key configured., haz clic en Done. Si en su lugar aparece The encryption key couldn’t be added., encuentra la causa y vuelve a intentarlo.
Tu clave protege los datos que se escriban a partir de ese momento. Informa a tus usuarios qué funciones cambiaron.
Was this page helpful?