---
title: Configurar CMEK en Claude Platform on AWS
url: https://platform.claude.com/docs/es/manage-claude/cmek-claude-platform-on-aws
description: Usa una clave de AWS KMS como clave de cifrado gestionada por el cliente en Claude Platform on AWS.
---
Esta guía muestra cómo usar una clave de [AWS KMS](https://aws.amazon.com/kms/) como una [clave de cifrado gestionada por el cliente (CMEK)](https://platform.claude.com/docs/es/manage-claude/cmek) en [Claude Platform on AWS](https://platform.claude.com/docs/es/build-with-claude/claude-platform-on-aws). Para Claude Platform o Claude Enterprise, sigue en su lugar [Configurar AWS KMS para CMEK](https://platform.claude.com/docs/es/manage-claude/cmek-aws-kms).
Habilitar CMEK es permanente. Si tu clave de KMS se elimina o deshabilita, Anthropic no puede recuperar los datos cifrados con ella. Revisa las [advertencias y limitaciones](https://platform.claude.com/docs/es/manage-claude/cmek) antes de comenzar.
## Requisitos previos
* La cuenta de AWS que aloja tu organización de Claude Platform on AWS, con permisos para crear claves de KMS y establecer políticas de clave (`kms:CreateKey` y `kms:PutKeyPolicy`).
* Para crear la clave desde la línea de comandos, la [AWS CLI](https://aws.amazon.com/cli/) instalada y autenticada.
* El rol **Admin** en la Claude Console para Claude Platform on AWS. Consulta [Usar la Claude Console](https://platform.claude.com/docs/es/build-with-claude/claude-platform-on-aws#using-the-claude-console).
* Estos permisos para el principal de IAM con el que inicias sesión en la Claude Console:
* **Iniciar sesión:** `aws-external-anthropic:AssumeConsole`
* **Registrar una clave:** `aws-external-anthropic:RegisterKey`
* **Ver claves registradas:** `aws-external-anthropic:ListKeys` y `aws-external-anthropic:GetKey`
* **Adjuntar una clave:** `aws-external-anthropic:UpdateWorkspace` o `aws-external-anthropic:CreateWorkspace`, además de `kms:DescribeKey`, `kms:Encrypt` y `kms:Decrypt` en la clave
* **Elegir la clave de una lista (opcional):** `kms:ListKeys` y `kms:DescribeKey`
`aws-external-anthropic:RegisterKey`, `aws-external-anthropic:ListKeys`, `aws-external-anthropic:GetKey` y `aws-external-anthropic:CreateWorkspace` tienen alcance de cuenta. Otórgalos en `Resource: "*"`. Consulta [Acciones de IAM](https://platform.claude.com/docs/es/api/claude-platform-on-aws-iam-actions#encryption-keys).
## Principal de servicio de AWS para Anthropic
La política de clave de esta guía otorga al siguiente principal de servicio de AWS acceso a tu clave:
```text wrap
aws-external-anthropic.amazonaws.com
```
Usa únicamente este nombre de principal de servicio publicado. Nunca confíes en un identificador proporcionado por correo electrónico, chat o cualquier canal de incorporación.
## Configuración de la clave de cifrado
### Preparar la política de clave
Copia esta política en un editor de texto:
```json key-policy.json
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AccountRootAdmin",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam:::root"
},
"Action": "kms:*",
"Resource": "*"
},
{
"Sid": "AllowClaudePlatformOnAWSCrypto",
"Effect": "Allow",
"Principal": {
"Service": "aws-external-anthropic.amazonaws.com"
},
"Action": ["kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKey"],
"Resource": "*",
"Condition": {
"StringEquals": {
"kms:EncryptionContext:anthropic:compartment_uuid": [""]
}
}
},
{
"Sid": "AllowClaudePlatformOnAWSDescribe",
"Effect": "Allow",
"Principal": {
"Service": "aws-external-anthropic.amazonaws.com"
},
"Action": "kms:DescribeKey",
"Resource": "*"
}
]
}
```
La condición `EncryptionContext` es opcional. Limita la clave a los espacios de trabajo que enumeres. Para eliminarla, borra el bloque `Condition` de la declaración `AllowClaudePlatformOnAWSCrypto`.
Si conservas la condición, agrega el ID de compartimento de cada espacio de trabajo antes de adjuntarle la clave. Para un nuevo espacio de trabajo:
1. Crea el espacio de trabajo sin la clave.
2. Agrega su ID de compartimento a la política.
3. Adjunta la clave.
Si agregas la condición más adelante, enumera el ID de compartimento de cada espacio de trabajo al que la clave ya esté adjunta.
Para limitar aún más la política de clave, consulta la [condición opcional `aws:SourceArn`](https://platform.claude.com/docs/es/manage-claude/cmek-claude-platform-on-aws#source-arn-condition).
Reemplaza los marcadores de posición:
* **``:** tu [ID de cuenta de AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/console-account-id.html). Para mostrarlo con la AWS CLI, ejecuta `aws sts get-caller-identity --query Account --output text`.
* **``:** el ID de compartimento del espacio de trabajo al que adjuntas la clave
**Encontrar tu ID de compartimento:** En la Claude Console, ve a la página [Data retention](https://platform.claude.com/settings/privacy) (`platform.claude.com/settings/privacy`). Selecciona el espacio de trabajo en el menú desplegable en la parte superior de la página. El ID está en **Encryption key**, en el campo **Compartment ID**. También puedes leer el campo `compartment_id` devuelto por el endpoint [Get Workspace](https://platform.claude.com/docs/es/api/organization/workspaces/retrieve).
### Crear la clave
Crea la clave en la cuenta de AWS que aloja tu organización de Claude Platform on AWS, en la misma región que el espacio de trabajo.
Abre la [consola de AWS KMS](https://console.aws.amazon.com/kms) y cambia a la región de la clave. Ve a **Customer managed keys** y haz clic en **Create key**.
Asegúrate de que estas opciones estén seleccionadas:
* **Key type:** Symmetric
* **Key usage:** Encrypt and decrypt
* **Advanced options > Key material origin:** KMS
* **Advanced options > Regionality:** Single-Region key
Haz clic en **Next**.
Ingresa un **Alias** para la clave, como `anthropic-cmek`. Haz clic en **Next**.
No selecciones ningún administrador de clave. Tu política de clave ya le otorga a tu cuenta de AWS control administrativo completo. Haz clic en **Next**.
No selecciones ningún usuario de clave y no agregues nada en **Other AWS accounts**. Tu política de clave ya otorga el acceso necesario. Haz clic en **Next**.
Haz clic en **Edit**. Reemplaza toda la política con tu política de clave y luego haz clic en **Next**.
Haz clic en **Finish**.
En **Customer managed keys**, abre la nueva clave y copia su ARN. Necesitas el ARN para registrar la clave.
Para reemplazar la política de clave en una clave que ya existe:
1. Abre la clave y haz clic en la pestaña **Key policy**.
2. Si ves **Switch to policy view**, haz clic en esa opción.
3. Haz clic en **Edit**.
4. Reemplaza el JSON con tu política de clave.
5. Haz clic en **Save changes**.
Guarda tu política de clave como `key-policy.json` y luego crea la clave. Reemplaza `` con la región de la clave.
```bash
aws kms create-key \
--region \
--description "Anthropic CMEK" \
--key-usage ENCRYPT_DECRYPT \
--policy file://key-policy.json
```
Copia `KeyMetadata.Arn` de la salida. Lo necesitas para registrar la clave.
**Opcional:** Para limitar aún más ambas declaraciones del principal de servicio, agrega una condición `aws:SourceArn` a cada una. El ARN de origen en cada llamada es el [ARN del espacio de trabajo](https://platform.claude.com/docs/es/api/claude-platform-on-aws-iam-actions#service-details), con el formato `arn:aws:aws-external-anthropic:::workspace/`.
* **Todos los espacios de trabajo de tu cuenta de AWS:** `"ArnLike": {"aws:SourceArn": "arn:aws:aws-external-anthropic:*::workspace/*"}`
* **Espacios de trabajo específicos:** la misma condición, con una lista de ARN completos de espacios de trabajo en lugar del comodín
## Registrar la clave con Anthropic
Inicia sesión en la Claude Console a través de AWS con el rol Admin.
En la Claude Console, ve a la página [Data retention](https://platform.claude.com/settings/privacy#encryption-keys) (`platform.claude.com/settings/privacy`). Si no ves **Encryption keys**, selecciona **Organization** en el menú desplegable en la parte superior de la página.
En **Encryption keys**, haz clic en **Add key**. Ingresa un **Display name**.
Anthropic rechaza los ARN de alias y las claves multirregión.
En **KMS key ARN**, pega el ARN de la clave. Si en su lugar aparece una lista de claves, selecciona tu clave, o haz clic en **Enter ARN manually** y pega el ARN. Haz clic en **Add**.
Adjuntar una clave no se puede deshacer. Si puedes, adjúntala a un nuevo espacio de trabajo antes de que ese espacio de trabajo reciba solicitudes. En un espacio de trabajo que ya recibe solicitudes, la clave puede tardar [hasta un día en surtir efecto](https://platform.claude.com/docs/es/manage-claude/cmek#how-it-works).
En la página Data retention, selecciona el espacio de trabajo en el menú desplegable en la parte superior de la página. En **Encryption key**, selecciona la clave y haz clic en **Save**.
Selecciona la casilla para confirmar que has leído la documentación de CMEK y luego haz clic en **Confirm**.
Al adjuntarla, se valida la clave. Si falla con un error de acceso de KMS, consulta [Solucionar problemas de validación](https://platform.claude.com/docs/es/manage-claude/cmek-claude-platform-on-aws#troubleshoot-validation).
También puedes seleccionar una clave al crear un espacio de trabajo en la Claude Console, si tu política de clave no tiene una condición `EncryptionContext`.
Para registrar y adjuntar claves con la API en su lugar, consulta [Acciones de IAM](https://platform.claude.com/docs/es/api/claude-platform-on-aws-iam-actions#encryption-keys). La API identifica una clave por su ARN de clave de KMS.
## Solucionar problemas de validación
Si la validación falla, las causas comunes son:
* **Discrepancia de política de clave:** Asegúrate de que la política de clave coincida con la de [Preparar la política de clave](https://platform.claude.com/docs/es/manage-claude/cmek-claude-platform-on-aws#prepare-the-key-policy). Para revisar la política de clave, ejecuta `aws kms get-key-policy --region --key-id --policy-name default`.
* **Discrepancia de condición:** Asegúrate de que cualquier condición `EncryptionContext` o `aws:SourceArn` incluya este espacio de trabajo.
* **Estado o ubicación de la clave:** Confirma que la clave esté habilitada, sea de una sola región y esté en la misma cuenta y región de AWS que el espacio de trabajo.
* **Permisos faltantes:** El principal con el que has iniciado sesión necesita `kms:DescribeKey`, `kms:Encrypt` y `kms:Decrypt` en la clave.
* **Políticas de la organización:** Asegúrate de que ninguna política de control de servicio ni política de control de recursos de tu organización de AWS bloquee el principal de servicio o tu principal.
Si adjuntar la clave sigue fallando, busca el evento `kms:` denegado en CloudTrail en la cuenta de la clave. Muestra el principal que realiza la llamada y, para las llamadas criptográficas, el contexto de cifrado. Después de corregir la causa, haz clic en **Save** de nuevo.
## Terraform
Para crear la clave con Terraform, usa los recursos `aws_kms_key` y `aws_kms_alias` del proveedor `aws`.