---
title: Configura CMEK con Azure Key Vault
url: https://platform.claude.com/docs/es/manage-claude/cmek-azure-key-vault
description: Crea una clave de Azure Key Vault, da a Anthropic acceso a ella y empieza a usarla en Claude Platform o Claude Enterprise.
---

Deja que Claude Code configure esta función por ti

```text
/claude-api ayúdame a configurar una clave de cifrado administrada por el cliente con Azure Key Vault
```

## Antes de empezar

En Claude:

* Las claves de cifrado administradas por el cliente (CMEK) están [activadas para tu organización](https://platform.claude.com/docs/es/manage-claude/cmek#availability).
* Tienes el ID de tu organización de Anthropic, el UUID sin el prefijo `org_`. Cópialo desde [Organization](https://platform.claude.com/settings/organization) en la Claude Console, o desde **Organization settings > Organization and access** en claude.ai. Quien cree la clave lo necesita.
* Eres Organization Admin en Claude Platform, u Owner o Primary Owner en Claude Enterprise.
* En Claude Platform, tienes un espacio de trabajo que [retiene datos](https://platform.claude.com/docs/es/manage-claude/cmek-data-retention#data-retention), idealmente uno nuevo, porque [los datos existentes permanecen bajo la clave de Anthropic](https://platform.claude.com/docs/es/manage-claude/cmek-how-it-works#when-your-key-takes-effect).
* En Claude Enterprise, sabes [qué funciones se desactivan o cambian](https://platform.claude.com/docs/es/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).

En Azure:

* Puedes crear claves en tu almacén de claves y asignar roles de RBAC en él.
* Puedes crear entidades de servicio en tu inquilino de Entra (Application Administrator, Cloud Application Administrator o un rol personalizado equivalente).
* El almacén tiene una configuración de diagnóstico para la categoría de registro `AuditEvent`. Sin ella, las operaciones que Anthropic realiza con tu clave no dejan rastro de auditoría.

## En Azure: crea la clave

Después de un **Verify** o **Add** fallido, consulta las [soluciones para Azure Key Vault](https://platform.claude.com/docs/es/manage-claude/cmek-troubleshooting#azure-key-vault).

Estos pasos dan a la aplicación multiinquilino de Anthropic acceso a tu clave:

* **Nombre:** `anthropic-cmek-client-us`
* **ID de cliente:** `8635ae1a-3e5d-44e8-a4ed-e0f614466f87`

Usa solo este ID de cliente y este nombre, nunca los que recibas por correo electrónico o chat. La aplicación no solicita permisos de Microsoft Graph.

### Comprueba el almacén

Para obtener la menor latencia, usa un almacén en `northcentralus` o `eastus2`. Ejecuta esto primero, en la Azure CLI o en Cloud Shell:

```bash
az keyvault show --name <your-vault-name> \
  --query "{rbac:properties.enableRbacAuthorization, purge:properties.enablePurgeProtection, pub:properties.publicNetworkAccess, net:properties.networkAcls.defaultAction, ipRules:properties.networkAcls.ipRules, uri:properties.vaultUri, tenantId:properties.tenantId}"
```

| Campo   | Debe ser                                                                                                                                                       |
| ------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `rbac`  | `true`                                                                                                                                                         |
| `purge` | `true`. Si es `false` o `null`, activa primero la protección de purga. No puedes volver a desactivarla.                                                        |
| `pub`   | `"Enabled"`. Los puntos de conexión privados no son compatibles.                                                                                               |
| `net`   | `"Allow"`, o `"Deny"` con las [direcciones IP de salida de Anthropic](https://platform.claude.com/docs/es/api/ip-addresses#outbound-ip-addresses) en `ipRules` |

Copia `uri` (el URI del almacén) y `tenantId`.

### Crea la clave y concede acceso

En esta página, `<ORGANIZATION_UUID>` es tu [ID de organización de Anthropic](https://platform.claude.com/docs/es/manage-claude/cmek-azure-key-vault#prerequisites) en minúsculas. Para usar una clave que ya tienes, primero [agrega la etiqueta de organización](https://platform.claude.com/docs/es/manage-claude/cmek-azure-key-vault#organization-tag).

<Tabs>
  <Tab title="Azure portal">
    <Steps>
      <Step title="Crea la entidad de servicio de Anthropic">
        Abre Cloud Shell desde la barra de navegación superior del portal. Ejecuta este comando:

        ```bash
        az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87
        ```

        Si la entidad de servicio ya existe, continúa con el siguiente paso.
      </Step>

      <Step title="Confirma que la entidad de servicio existe">
        Ve a **Microsoft Entra ID > Enterprise applications** y quita el filtro predeterminado de tipo de aplicación. Busca `anthropic-cmek-client-us`.

        <Frame caption="La entidad de servicio anthropic-cmek-client-us en Entra enterprise applications.">
          ![Vista general de la aplicación empresarial de Microsoft Entra para anthropic-cmek-client-us, que muestra su Application ID y su Object ID.](https://platform.claude.com/docs/images/cmek/azure-service-principal.png)
        </Frame>
      </Step>

      <Step title="Abre la página Create a key">
        Abre tu almacén de claves y selecciona **Keys**. Haz clic en **Generate/Import**.
      </Step>

      <Step title="Crea una clave RSA en tu almacén">
        Establece estos valores:

        * **Name:** un nombre para la clave
        * **Key type:** RSA
        * **RSA key size:** 3072 o más

        Haz clic en el enlace junto a **Tags**.
      </Step>

      <Step title="Agrega la etiqueta de organización">
        Introduce estos valores:

        * **Tag Name:** `anthropic-org-<ORGANIZATION_UUID>`
        * **Tag Value:** `true`

        Haz clic en **OK** y luego en **Create**.

        <Frame caption="Crea una clave RSA de 3072 o más, con la etiqueta anthropic-org-<ORGANIZATION_UUID> establecida en true.">
          ![Página Create a key de Azure Key Vault con RSA, tamaño de clave 3072 y la etiqueta anthropic-org establecida en true.](https://platform.claude.com/docs/images/cmek/azure-create-key-tag.png)
        </Frame>
      </Step>

      <Step title="Limita las operaciones permitidas">
        Abre la nueva clave y luego abre su versión actual. En **Permitted operations**, desmarca todas las casillas excepto **Wrap Key** y **Unwrap Key**. Haz clic en **Save**.

        <Frame caption="Restringe las operaciones permitidas a Wrap Key y Unwrap Key. La versión de la clave muestra la etiqueta de organización.">
          ![Versión de clave de Azure Key Vault con 1 etiqueta y Permitted operations limitadas a Wrap Key y Unwrap Key.](https://platform.claude.com/docs/images/cmek/azure-permitted-operations-tag.png)
        </Frame>
      </Step>

      <Step title="Abre el control de acceso de la clave">
        Abre la clave en sí, no el almacén. Selecciona su pestaña **Access control (IAM)** y haz clic en **Add > Add role assignment**.
      </Step>

      <Step title="Selecciona el rol">
        En la pestaña **Role**, selecciona **Key Vault Crypto User**. Haz clic en **Next**.
      </Step>

      <Step title="Agrega la entidad de servicio de Anthropic">
        En la pestaña **Members**, haz clic en **Select members**. Busca `anthropic-cmek-client-us` y selecciónala. Haz clic en **Select** y luego en **Next**.
      </Step>

      <Step title="Revisa y asigna">
        En la pestaña **Review + assign**, haz clic en **Review + assign**.
      </Step>
    </Steps>
  </Tab>

  <Tab title="Azure CLI">
    <Steps>
      <Step title="Crea la entidad de servicio de Anthropic">
        ```bash
        az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87
        ```

        Copia el campo `id` de la salida.

        Si el comando termina con un error "already exists", obtén el `id` con este comando en su lugar:

        ```bash
        az ad sp show --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87 --query id -o tsv
        ```
      </Step>

      <Step title="Crea una clave RSA en tu almacén">
        ```bash
        az keyvault key create \
          --vault-name <your-vault-name> \
          --name <your-key-name> \
          --kty RSA --size 3072 \
          --ops wrapKey unwrapKey \
          --tags anthropic-org-<ORGANIZATION_UUID>=true
        ```

        Sustituye los marcadores de posición:

        * **`<your-vault-name>`:** el nombre de tu almacén de claves
        * **`<your-key-name>`:** un nombre para la clave
        * **`<ORGANIZATION_UUID>`:** tu ID de organización de Anthropic en minúsculas

        Para una clave respaldada por HSM, usa `--kty RSA-HSM`.
      </Step>

      <Step title="Concede a la entidad de servicio de Anthropic acceso a tu clave">
        ```bash
        VAULT_ID=$(az keyvault show --name <your-vault-name> --query id -o tsv)

        az role assignment create \
          --role "Key Vault Crypto User" \
          --assignee-object-id <sp-object-id> \
          --assignee-principal-type ServicePrincipal \
          --scope "${VAULT_ID}/keys/<your-key-name>"
        ```

        Sustituye los marcadores de posición:

        * **`<your-vault-name>`:** el nombre de tu almacén de claves
        * **`<sp-object-id>`:** el valor `id` del primer paso
        * **`<your-key-name>`:** el nombre de la clave
      </Step>
    </Steps>
  </Tab>
</Tabs>

Quien agregue la clave en Claude necesita el URI del almacén, el nombre de la clave y el ID de inquilino.

### Agrega la etiqueta de organización a una clave que ya tienes

La verificación falla sin la etiqueta de organización. La clave debe ser RSA, de 3072 bits o más.

En lugar de crear una clave, ejecuta este comando en la Azure CLI o en Cloud Shell. Limita la clave a `wrapKey` y `unwrapKey`. También sobrescribe las etiquetas de la versión actual, así que enumera en `--tags` las que quieras conservar, como `name=value`.

```bash
az keyvault key set-attributes \
  --vault-name <your-vault-name> \
  --name <your-key-name> \
  --ops wrapKey unwrapKey \
  --tags anthropic-org-<ORGANIZATION_UUID>=true
```

Aún necesitas los pasos de la entidad de servicio y de la asignación de roles.

## En Claude: agrega y adjunta la clave

Para automatizar esta parte mediante scripts en Claude Platform, [usa la Admin API](https://platform.claude.com/docs/es/manage-claude/cmek-admin-api) en su lugar.

<Tabs>
  <Tab title="Claude Platform">
    <Steps>
      <Step title="Abre la configuración de claves de cifrado">
        En la Claude Console, abre [Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys) en la página Data retention. Si la sección no aparece, selecciona **Organization** en el menú desplegable de la parte superior.
      </Step>

      <Step title="Agrega la clave">
        En **Encryption keys**, haz clic en **Add key**. Introduce un **Display name**, selecciona **Azure Key Vault** y haz clic en **Continue**.
      </Step>

      <Step title="Introduce los detalles de la clave">
        Comprueba que tu clave tenga la **Organization tag** que se muestra en el cuadro de diálogo. Introduce el **Vault URI**, el **Key name** y el **Tenant ID**, deja **Client ID** vacío y haz clic en **Add**.
      </Step>

      <Step title="Verifica la clave">
        En la lista **Encryption keys**, haz clic en **Verify** junto a la clave. **Connected** aparece cuando la comprobación se supera. Si en su lugar aparece **Connection failed**, consulta [Solucionar problemas de CMEK](https://platform.claude.com/docs/es/manage-claude/cmek-troubleshooting).
      </Step>

      <Step title="Adjunta la clave a un espacio de trabajo">
        <Warning>
          Adjuntar una clave [no se puede deshacer](https://platform.claude.com/docs/es/manage-claude/cmek-key-lifecycle#what-each-action-does). No puedes quitarla del espacio de trabajo ni reemplazarla. Si la clave se elimina, Anthropic no puede recuperar los datos que protege.
        </Warning>

        1. En la parte superior de la página Data retention, selecciona el espacio de trabajo en el menú desplegable.
        2. En **Encryption key**, selecciona la clave y haz clic en **Save**.
        3. Marca la casilla para confirmar que has leído la documentación de CMEK y luego haz clic en **Confirm**.

        Verás **Workspace settings updated.** Una vez que tu clave [entre en vigor](https://platform.claude.com/docs/es/manage-claude/cmek-how-it-works#when-your-key-takes-effect), el registro de auditoría de tu proveedor de nube mostrará las llamadas de Anthropic a tu clave.

        En una [organización con ZDR](https://platform.claude.com/docs/es/manage-claude/cmek-data-retention#zdr-organizations), después de seleccionar el espacio de trabajo, selecciona **Standard data retention** para que aparezca **Encryption key**. Después de hacer clic en **Save**, haz clic en **Accept** en los términos de retención de datos.
      </Step>
    </Steps>
  </Tab>

  <Tab title="Claude Enterprise">
    En Claude Enterprise, CMEK se aplica a toda la organización y puedes agregar una sola clave.

    <Warning>
      Agregar una clave [no se puede deshacer](https://platform.claude.com/docs/es/manage-claude/cmek-key-lifecycle#what-each-action-does). No puedes quitarla de la organización ni reemplazarla. Si la clave se elimina, Anthropic no puede recuperar los datos que protege.
    </Warning>

    Agregar la clave [desactiva o modifica algunas funciones](https://platform.claude.com/docs/es/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) para todos los usuarios. Para probar CMEK primero, usa una organización independiente.

    <Steps>
      <Step title="Abre la configuración de claves de cifrado">
        Ve a [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls) y busca **Encryption keys**.
      </Step>

      <Step title="Agrega la clave">
        Haz clic en **Add key**. Introduce un **Display name** y selecciona **Azure Key Vault**. Marca la casilla para confirmar que has leído la documentación de CMEK y luego haz clic en **Continue**.
      </Step>

      <Step title="Introduce los detalles de la clave">
        Comprueba que tu clave tenga la **Organization tag** que se muestra en el cuadro de diálogo. Introduce el **Vault URI**, el **Key name** y el **Tenant ID**, deja **Client ID** vacío y haz clic en **Add**.
      </Step>

      <Step title="Confirma que se agregó la clave">
        La comprobación puede tardar hasta 30 segundos. Cuando aparezca **Encryption key configured.**, haz clic en **Done**. Si en su lugar aparece **The encryption key couldn’t be added.**, [encuentra la causa y vuelve a intentarlo](https://platform.claude.com/docs/es/manage-claude/cmek-troubleshooting#claude-ai-add-fails).

        Tu clave protege los datos que se escriban a partir de ese momento. Informa a tus usuarios [qué funciones cambiaron](https://platform.claude.com/docs/es/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).
      </Step>
    </Steps>
  </Tab>
</Tabs>