Configurar CMEK en Claude Platform on AWS

Esta guía muestra cómo usar una clave de AWS KMS como una clave de cifrado gestionada por el cliente (CMEK) en Claude Platform on AWS. Para Claude Platform o Claude Enterprise, sigue en su lugar Configurar AWS KMS para CMEK.

Requisitos previos

• La cuenta de AWS que aloja tu organización de Claude Platform on AWS, con permisos para crear claves de KMS y establecer políticas de clave (kms:CreateKey y kms:PutKeyPolicy).

• Para crear la clave desde la línea de comandos, la AWS CLI instalada y autenticada.

• El rol Admin en la Claude Console para Claude Platform on AWS. Consulta Usar la Claude Console.

• Estos permisos para el principal de IAM con el que inicias sesión en la Claude Console:

  • Iniciar sesión: aws-external-anthropic:AssumeConsole
  • Registrar una clave: aws-external-anthropic:RegisterKey
  • Ver claves registradas: aws-external-anthropic:ListKeys y aws-external-anthropic:GetKey
  • Adjuntar una clave: aws-external-anthropic:UpdateWorkspace o aws-external-anthropic:CreateWorkspace, además de kms:DescribeKey, kms:Encrypt y kms:Decrypt en la clave
  • Elegir la clave de una lista (opcional): kms:ListKeys y kms:DescribeKey

  aws-external-anthropic:RegisterKey, aws-external-anthropic:ListKeys, aws-external-anthropic:GetKey y aws-external-anthropic:CreateWorkspace tienen alcance de cuenta. Otórgalos en Resource: "*". Consulta Acciones de IAM.

Principal de servicio de AWS para Anthropic

La política de clave de esta guía otorga al siguiente principal de servicio de AWS acceso a tu clave:

aws-external-anthropic.amazonaws.com

Configuración de la clave de cifrado

Preparar la política de clave

Copia esta política en un editor de texto:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AccountRootAdmin",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<AWS_ACCOUNT_ID>:root"
      },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "AllowClaudePlatformOnAWSCrypto",
      "Effect": "Allow",
      "Principal": {
        "Service": "aws-external-anthropic.amazonaws.com"
      },
      "Action": ["kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKey"],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
        }
      }
    },
    {
      "Sid": "AllowClaudePlatformOnAWSDescribe",
      "Effect": "Allow",
      "Principal": {
        "Service": "aws-external-anthropic.amazonaws.com"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    }
  ]
}

La condición EncryptionContext es opcional. Limita la clave a los espacios de trabajo que enumeres. Para eliminarla, borra el bloque Condition de la declaración AllowClaudePlatformOnAWSCrypto.

Si conservas la condición, agrega el ID de compartimento de cada espacio de trabajo antes de adjuntarle la clave. Para un nuevo espacio de trabajo:

1. Crea el espacio de trabajo sin la clave.
2. Agrega su ID de compartimento a la política.
3. Adjunta la clave.

Si agregas la condición más adelante, enumera el ID de compartimento de cada espacio de trabajo al que la clave ya esté adjunta.

Para limitar aún más la política de clave, consulta la condición opcional aws:SourceArn.

Reemplaza los marcadores de posición:

• <AWS_ACCOUNT_ID>: tu ID de cuenta de AWS. Para mostrarlo con la AWS CLI, ejecuta aws sts get-caller-identity --query Account --output text.
• <COMPARTMENT_UUID>: el ID de compartimento del espacio de trabajo al que adjuntas la clave

Crear la clave

Crea la clave en la cuenta de AWS que aloja tu organización de Claude Platform on AWS, en la misma región que el espacio de trabajo.

aws kms create-key \
  --region <REGION> \
  --description "Anthropic CMEK" \
  --key-usage ENCRYPT_DECRYPT \
  --policy file://key-policy.json

Registrar la clave con Anthropic

Inicia sesión en la Claude Console a través de AWS con el rol Admin.

1. 1

   Abrir la configuración de claves de cifrado

   En la Claude Console, ve a la página Data retention (platform.claude.com/settings/privacy). Si no ves Encryption keys, selecciona Organization en el menú desplegable en la parte superior de la página.

2. 2

   Agregar la clave

   En Encryption keys, haz clic en Add key. Ingresa un Display name.

3. 3

   Ingresar el ARN de la clave

   Anthropic rechaza los ARN de alias y las claves multirregión.

   En KMS key ARN, pega el ARN de la clave. Si en su lugar aparece una lista de claves, selecciona tu clave, o haz clic en Enter ARN manually y pega el ARN. Haz clic en Add.

4. 4

   Adjuntar la clave a un espacio de trabajo

   Adjuntar una clave no se puede deshacer. Si puedes, adjúntala a un nuevo espacio de trabajo antes de que ese espacio de trabajo reciba solicitudes. En un espacio de trabajo que ya recibe solicitudes, la clave puede tardar hasta un día en surtir efecto.

   En la página Data retention, selecciona el espacio de trabajo en el menú desplegable en la parte superior de la página. En Encryption key, selecciona la clave y haz clic en Save.

5. 5

   Confirmar el cambio

   Selecciona la casilla para confirmar que has leído la documentación de CMEK y luego haz clic en Confirm.

Al adjuntarla, se valida la clave. Si falla con un error de acceso de KMS, consulta Solucionar problemas de validación.

También puedes seleccionar una clave al crear un espacio de trabajo en la Claude Console, si tu política de clave no tiene una condición EncryptionContext.

Para registrar y adjuntar claves con la API en su lugar, consulta Acciones de IAM. La API identifica una clave por su ARN de clave de KMS.

Solucionar problemas de validación

Si la validación falla, las causas comunes son:

• Discrepancia de política de clave: Asegúrate de que la política de clave coincida con la de Preparar la política de clave. Para revisar la política de clave, ejecuta aws kms get-key-policy --region <REGION> --key-id <KEY_ARN> --policy-name default.
• Discrepancia de condición: Asegúrate de que cualquier condición EncryptionContext o aws:SourceArn incluya este espacio de trabajo.
• Estado o ubicación de la clave: Confirma que la clave esté habilitada, sea de una sola región y esté en la misma cuenta y región de AWS que el espacio de trabajo.
• Permisos faltantes: El principal con el que has iniciado sesión necesita kms:DescribeKey, kms:Encrypt y kms:Decrypt en la clave.
• Políticas de la organización: Asegúrate de que ninguna política de control de servicio ni política de control de recursos de tu organización de AWS bloquee el principal de servicio o tu principal.

Si adjuntar la clave sigue fallando, busca el evento kms: denegado en CloudTrail en la cuenta de la clave. Muestra el principal que realiza la llamada y, para las llamadas criptográficas, el contexto de cifrado. Después de corregir la causa, haz clic en Save de nuevo.

Terraform

Para crear la clave con Terraform, usa los recursos aws_kms_key y aws_kms_alias del proveedor aws.