Configurar CMEK con Google Cloud KMS
Crea una clave de Google Cloud KMS, otorga a Anthropic acceso a ella y ponla en uso en Claude Platform o Claude Enterprise.
Claude Code
Deja que Claude Code configure esta función por ti
/claude-api ayúdame a configurar una clave de cifrado administrada por el cliente con Google Cloud KMSAntes de empezar
En Claude:
- Las claves de cifrado administradas por el cliente (CMEK) están activadas para tu organización.
- Tienes el ID de tu organización de Anthropic, el UUID sin el prefijo
org_. Cópialo desde Organization en la Claude Console, o desde Organization settings > Organization and access en claude.ai. Quien cree la clave lo necesita. - Eres Organization Admin en Claude Platform, u Owner o Primary Owner en Claude Enterprise.
- En Claude Platform, tienes un espacio de trabajo que retiene datos, idealmente uno nuevo, porque los datos existentes permanecen bajo la clave de Anthropic.
- En Claude Enterprise, sabes qué funciones se desactivan o cambian.
En Google Cloud:
- La Cloud KMS API está activada.
- Puedes crear llaveros de claves y claves, y establecer la política de IAM en ellos (
roles/cloudkms.admino equivalente). - Los registros de auditoría de Data Access (Data Read y Data Write) de Cloud KMS están activados, para que Cloud Logging registre el uso que Anthropic hace de tu clave. Están desactivados de forma predeterminada.
- Si tu organización de Google Cloud aplica el uso compartido restringido por dominio (
constraints/iam.allowedPolicyMemberDomains), este bloquea el permiso otorgado a la cuenta de servicio de Anthropic. Agrega una excepción a nivel de proyecto o permite el ID de cliente de Cloud Identity de Anthropic. Comunícate con Anthropic para obtener el ID.
En Google Cloud: crea la clave
Después de un Verify o Add fallido, consulta las soluciones para Google Cloud KMS.
Estos pasos etiquetan la clave con el ID de tu organización de Anthropic en minúsculas (<ORGANIZATION_UUID>) y otorgan acceso a la cuenta de servicio de Anthropic:
anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.comUsa solo esta dirección, nunca una enviada por correo electrónico o chat.
Puedes usar cualquier ubicación de Cloud KMS. Para obtener la latencia más baja, usa us-east5 o us-central1. Anthropic recomienda encarecidamente la protección HSM.
Para usar una clave que ya tienes, primero agrega la etiqueta de organización.
Crea o elige un llavero de claves
En la consola de Google Cloud, ve a la página Key management. Abre un llavero de claves o crea uno en una ubicación como
us-east5.Configura la clave
Haz clic en Create key e ingresa un nombre. Selecciona estas opciones:
- Protection level: HSM
- Key material: Generated key
- Purpose: Symmetric encrypt/decrypt
- Algorithm: Google symmetric key
Agrega la etiqueta de organización
Haz clic en Additional settings y luego en Add label. Ingresa la etiqueta de organización:
- Key 1:
anthropic-org-<ORGANIZATION_UUID> - Value 1:
true
Haz clic en Create.
Una clave simétrica de cifrado/descifrado protegida por HSM con la etiqueta de organización. - Key 1:
Abre los permisos de la clave
En la página de detalles del llavero de claves, selecciona la casilla junto a la clave. Abre el panel Permissions y haz clic en Grant access.
Otorga a la cuenta de servicio de Anthropic acceso a la clave
Comprueba que Resource muestre la clave, no el llavero de claves ni el proyecto. Ingresa estos valores:
- New principals:
anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com - Role: Cloud KMS CryptoKey Encrypter/Decrypter
Haz clic en Add another role y selecciona Cloud KMS Viewer. Haz clic en Save.
Otorga a la cuenta de servicio de Anthropic ambos roles, limitados a la clave. - New principals:
Copia el nombre de recurso completo de la clave
En la página de detalles del llavero de claves, abre el menú Actions de la clave y haz clic en Copy resource name.
Copia el nombre de recurso completo de la clave desde el menú de acciones.
En cada comando, reemplaza estos marcadores de posición:
<your-project-id>: el ID de tu proyecto de Google Cloud<region>: la ubicación de la clave, comous-east5<your-keyring-name>: el nombre del llavero de claves<your-key-name>: el nombre de la clave<ORGANIZATION_UUID>: el ID de tu organización de Anthropic en minúsculas
Crea o elige un llavero de claves
Omite este paso si ya tienes un llavero de claves para reutilizar.
gcloud kms keyrings create <your-keyring-name> \ --project=<your-project-id> \ --location=<region>Crea la clave
gcloud kms keys create <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --purpose=encryption \ --protection-level=hsm \ --labels=anthropic-org-<ORGANIZATION_UUID>=truePara protección por software, omite
--protection-level=hsm.Otorga a la cuenta de servicio de Anthropic acceso a la clave
Ejecuta ambos comandos:
gcloud kms keys add-iam-policy-binding <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \ --role=roles/cloudkms.cryptoKeyEncrypterDecryptergcloud kms keys add-iam-policy-binding <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \ --role=roles/cloudkms.viewerObtén el nombre de recurso completo de la clave
gcloud kms keys describe <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --format="value(name)"
Quien agregue la clave en Claude necesita su nombre de recurso completo, en este formato:
projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>Agrega la etiqueta de organización a una clave que ya tienes
La verificación falla a menos que la clave tenga la etiqueta anthropic-org-<ORGANIZATION_UUID> establecida en true, con el ID de tu organización de Anthropic en minúsculas. Para agregar la etiqueta, ejecuta:
gcloud kms keys update <your-key-name> \
--project=<your-project-id> \
--location=<region> \
--keyring=<your-keyring-name> \
--update-labels=anthropic-org-<ORGANIZATION_UUID>=trueLos demás valores están en el nombre de recurso completo de la clave, y el comando mantiene las etiquetas existentes. Luego pasa directamente a los pasos que otorgan acceso.
En Claude: agrega y adjunta la clave
Para automatizar esta parte con scripts en Claude Platform, usa la Admin API en su lugar.
Abre la configuración de claves de cifrado
En la Claude Console, abre Encryption keys en la página Data retention. Si la sección no aparece, selecciona Organization en el menú desplegable de la parte superior.
Agrega la clave
En Encryption keys, haz clic en Add key. Ingresa un Display name, selecciona Google Cloud KMS y haz clic en Continue.
Ingresa el nombre de recurso de la clave
Comprueba que tu clave tenga la Organization label que se muestra en el cuadro de diálogo. Pega el nombre de recurso completo de la clave en Key resource name y haz clic en Add.
Verifica la clave
En la lista Encryption keys, haz clic en Verify junto a la clave. Connected aparece cuando la comprobación se supera. Si en su lugar aparece Connection failed, consulta Solucionar problemas de CMEK.
Adjunta la clave a un espacio de trabajo
- En la parte superior de la página Data retention, selecciona el espacio de trabajo en el menú desplegable.
- En Encryption key, selecciona la clave y haz clic en Save.
- Marca la casilla para confirmar que has leído la documentación de CMEK y luego haz clic en Confirm.
Verás Workspace settings updated. Una vez que tu clave entre en vigor, el registro de auditoría de tu proveedor de nube mostrará las llamadas de Anthropic a tu clave.
En una organización con ZDR, después de seleccionar el espacio de trabajo, selecciona Standard data retention para que aparezca Encryption key. Después de hacer clic en Save, haz clic en Accept en los términos de retención de datos.
En Claude Enterprise, CMEK se aplica a toda la organización y puedes agregar una sola clave.
Agregar la clave desactiva o modifica algunas funciones para todos los usuarios. Para probar CMEK primero, usa una organización independiente.
Abre la configuración de claves de cifrado
Ve a claude.ai > Organization settings > Data and privacy y busca Encryption keys.
Agrega la clave
Haz clic en Add key. Ingresa un Display name y selecciona Google Cloud KMS. Selecciona la casilla para confirmar que has leído la documentación de CMEK y luego haz clic en Continue.
Ingresa el nombre de recurso de la clave
Comprueba que tu clave tenga la Organization label que se muestra en el cuadro de diálogo. Pega el nombre de recurso completo de la clave en Key resource name y haz clic en Add.
Confirma que se agregó la clave
La comprobación puede tardar hasta 30 segundos. Cuando aparezca Encryption key configured., haz clic en Done. Si en su lugar aparece The encryption key couldn’t be added., encuentra la causa y vuelve a intentarlo.
Tu clave protege los datos que se escriban a partir de ese momento. Informa a tus usuarios qué funciones cambiaron.
Was this page helpful?