AdministraciónClaves de cifrado

Configura Google Cloud KMS para CMEK

Usa Google Cloud KMS para proporcionar una clave de cifrado para tu organización.

Configure with the /claude-api skill in Claude Code

claude "/claude-api help me configure a customer-managed encryption key with Google Cloud KMS"

Esta guía explica cómo configurar una clave de Google Cloud KMS como una "customer-managed encryption key" (clave de cifrado administrada por el cliente), o CMEK para tu organización de Anthropic.

Habilitar CMEK es permanente. Si tu clave de KMS se elimina o se deshabilita, Anthropic no puede recuperar los datos cifrados con ella. Revisa las advertencias y limitaciones antes de comenzar.

Requisitos previos

Un proyecto de Google Cloud con facturación habilitada.
La API de Cloud KMS habilitada (cloudkms.googleapis.com).
Permisos para crear llaveros de claves (key rings) y claves de KMS, y para establecer la política de IAM en ellos (roles/cloudkms.admin o equivalente).
Una clave de API de administrador de Anthropic para tu organización.
La CLI de gcloud instalada y autenticada.
Los registros de auditoría de acceso a datos (Data Access audit logs) de Cloud KMS habilitados para el proyecto (IAM & Admin > Audit Logs > Cloud Key Management Service, con DATA_READ y DATA_WRITE). Están desactivados de forma predeterminada; sin ellos, las operaciones de cifrado y descifrado de Anthropic no producen entradas en Cloud Logging.

Correo electrónico de la cuenta de servicio de Anthropic

Para que Anthropic use tu clave de cifrado, debes darle a la cuenta de servicio de Anthropic una clave que pueda usar para cifrar datos. El correo electrónico de la cuenta de servicio para CMEK de Anthropic es:

anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com

Usa únicamente este correo electrónico de cuenta de servicio publicado. Nunca confíes en un identificador proporcionado por correo electrónico, chat o cualquier canal de incorporación.

Uso compartido restringido por dominio: Si tu proyecto está bajo una organización de Google Cloud que aplica constraints/iam.allowedPolicyMemberDomains, las siguientes vinculaciones de IAM se rechazan porque la cuenta de servicio de Anthropic está fuera de tu organización. Necesitas una excepción a nivel de proyecto para esa restricción, o agregar el ID de cliente de Cloud Identity de Anthropic (formato C0xxxxxxxx) a la lista de permitidos. Contacta a Anthropic para obtener el ID de cliente si es necesario.

Configuración de la clave de cifrado

Crea o elige un llavero de claves
Omite este paso si ya tienes un llavero de claves (key ring) para reutilizar. Los llaveros de claves son regionales. Elige una ubicación de una sola región en EE. UU., como us-east5, que coincida con la geografía de Anthropic que estás configurando. Las ubicaciones multirregionales como us y global no son compatibles.
gcloud kms keyrings create <your-keyring-name> \ --project=<your-project-id> \ --location=<region>
Crea la clave criptográfica
Crea una clave simétrica con el propósito ENCRYPT_DECRYPT. Anthropic recomienda encarecidamente la protección HSM: las claves HSM de Cloud KMS están validadas según FIPS 140-2 Nivel 3, y la diferencia de costo respecto a las claves de software es pequeña.
gcloud kms keys create <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --purpose=encryption \ --protection-level=hsm
Para usar protección de software en su lugar, omite --protection-level=hsm. Nada más cambia en esta guía.
También puedes crear la clave desde la consola de Google Cloud. Abre el llavero de claves, haz clic en Create key, selecciona Generated key, establece el propósito y el algoritmo en cifrado y descifrado simétrico, y elige HSM en el nivel de protección.
Crea una clave simétrica de cifrado/descifrado protegida por HSM.
Otorga acceso a la clave a la cuenta de servicio de Anthropic
Se requieren dos vinculaciones de IAM a nivel de clave. Ambas están limitadas a la clave criptográfica individual, no a todo el proyecto ni a todo el llavero de claves.
Cifrado y descifrado, que Anthropic usa para cifrar y descifrar las claves de datos que protegen los datos de tu espacio de trabajo (cifrado de sobre):
gcloud kms keys add-iam-policy-binding <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \ --role=roles/cloudkms.cryptoKeyEncrypterDecrypter
Visor (Viewer), para la lectura de metadatos (cryptoKeys.get) que Anthropic realiza al inicio para validar el propósito y el algoritmo de la clave:
gcloud kms keys add-iam-policy-binding <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \ --role=roles/cloudkms.viewer
Desde la consola, selecciona la clave, abre el panel Permissions, haz clic en Grant access y agrega la cuenta de servicio con los roles Cloud KMS CryptoKey Encrypter/Decrypter y Cloud KMS Viewer. Asegúrate de estar en la página de permisos de la clave, no en la del llavero de claves ni en la del proyecto, para que la concesión esté limitada únicamente a esta clave.
Otorga a la cuenta de servicio de Anthropic ambos roles, limitados a la clave.
Anota el nombre completo del recurso de la clave
Esto se lo pasas a Anthropic cuando registras la clave. El formato es:
```
projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>
```
Recupéralo con:
gcloud kms keys describe <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --format="value(name)"
Desde la consola, abre la página de detalles de la clave y haz clic en Copy resource name.
Copia el nombre completo del recurso de la clave desde el menú de acciones.

Registra la clave con Anthropic

La forma de registrar la clave depende del producto que uses.

Registra la clave con Anthropic

Crea una configuración de clave externa a través de la Admin API, usando el nombre del recurso del paso Anota el nombre completo del recurso de la clave en Configuración de la clave de cifrado.

curl -sS https://api.anthropic.com/v1/organizations/external_keys \
  -H "x-api-key: <anthropic-admin-api-key>" \
  -H "anthropic-version: 2023-06-01" \
  -H "content-type: application/json" \
  -d '{
    "display_name": "<friendly-name>",
    "geo": "us",
    "provider_config": {
      "type": "gcp",
      "key_name": "projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>"
    }
  }'

La respuesta contiene el ID de la clave externa:

{
  "type": "external_key",
  "id": "ekey_<id>",
  "display_name": "<friendly-name>"
}

Valida la clave
Activa un ciclo completo de cifrado y descifrado contra tu clave.
curl -sS -X POST https://api.anthropic.com/v1/organizations/external_keys/ekey_<id>/validate \ -H "x-api-key: <anthropic-admin-api-key>" \ -H "anthropic-version: 2023-06-01" \ -H "content-type: application/json" \ -d '{}'
Una respuesta exitosa se ve así:
{ "type": "external_key_validation", "status": "success", "error": null }
Si la validación falla, las causas comunes son:
- VPC Service Controls: si un perímetro de servicio protege Cloud KMS en tu proyecto, agrega a Anthropic a un nivel de acceso en el perímetro (o excluye el proyecto de la clave) para que Anthropic pueda acceder a la clave.
- Uso compartido restringido por dominio: la política de organización constraints/iam.allowedPolicyMemberDomains puede eliminar la vinculación de la cuenta de servicio de Anthropic (consulta la nota anterior). Confirma que la vinculación esté presente con gcloud kms keys get-iam-policy <your-key-name> --project=<your-project-id> --location=<region> --keyring=<your-keyring-name>.
- Versión de clave deshabilitada o destruida: confirma que la versión principal de la clave esté habilitada, y no deshabilitada, programada para destrucción o destruida.

Adjunta la clave a un espacio de trabajo

curl -sS -X POST https://api.anthropic.com/v1/organizations/workspaces/<workspace-id> \
  -H "x-api-key: <anthropic-admin-api-key>" \
  -H "anthropic-version: 2023-06-01" \
  -H "content-type: application/json" \
  -d '{
    "external_key_id": "ekey_<id>"
  }'

Terraform

Para implementaciones de infraestructura como código, los mismos pasos se corresponden con el proveedor google usando los recursos google_kms_key_ring, google_kms_crypto_key y google_kms_crypto_key_iam_member.

Was this page helpful?

Requisitos previos

Un proyecto de Google Cloud con facturación habilitada.

La API de Cloud KMS habilitada (cloudkms.googleapis.com).

Permisos para crear llaveros de claves (key rings) y claves de KMS, y para establecer la política de IAM en ellos (roles/cloudkms.admin o equivalente).

Una clave de API de administrador de Anthropic para tu organización.

La CLI de gcloud instalada y autenticada.

Los registros de auditoría de acceso a datos (Data Access audit logs) de Cloud KMS habilitados para el proyecto (IAM & Admin > Audit Logs > Cloud Key Management Service, con DATA_READ y DATA_WRITE). Están desactivados de forma predeterminada; sin ellos, las operaciones de cifrado y descifrado de Anthropic no producen entradas en Cloud Logging.

Correo electrónico de la cuenta de servicio de Anthropic

anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com

Usa únicamente este correo electrónico de cuenta de servicio publicado. Nunca confíes en un identificador proporcionado por correo electrónico, chat o cualquier canal de incorporación.

Configuración de la clave de cifrado

Crea o elige un llavero de claves
Omite este paso si ya tienes un llavero de claves (key ring) para reutilizar. Los llaveros de claves son regionales. Elige una ubicación de una sola región en EE. UU., como us-east5, que coincida con la geografía de Anthropic que estás configurando. Las ubicaciones multirregionales como us y global no son compatibles.
gcloud kms keyrings create <your-keyring-name> \ --project=<your-project-id> \ --location=<region>
Crea la clave criptográfica
Crea una clave simétrica con el propósito ENCRYPT_DECRYPT. Anthropic recomienda encarecidamente la protección HSM: las claves HSM de Cloud KMS están validadas según FIPS 140-2 Nivel 3, y la diferencia de costo respecto a las claves de software es pequeña.
gcloud kms keys create <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --purpose=encryption \ --protection-level=hsm
Para usar protección de software en su lugar, omite --protection-level=hsm. Nada más cambia en esta guía.
También puedes crear la clave desde la consola de Google Cloud. Abre el llavero de claves, haz clic en Create key, selecciona Generated key, establece el propósito y el algoritmo en cifrado y descifrado simétrico, y elige HSM en el nivel de protección.
Crea una clave simétrica de cifrado/descifrado protegida por HSM.
Otorga acceso a la clave a la cuenta de servicio de Anthropic
Se requieren dos vinculaciones de IAM a nivel de clave. Ambas están limitadas a la clave criptográfica individual, no a todo el proyecto ni a todo el llavero de claves.
Cifrado y descifrado, que Anthropic usa para cifrar y descifrar las claves de datos que protegen los datos de tu espacio de trabajo (cifrado de sobre):
gcloud kms keys add-iam-policy-binding <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \ --role=roles/cloudkms.cryptoKeyEncrypterDecrypter
Visor (Viewer), para la lectura de metadatos (cryptoKeys.get) que Anthropic realiza al inicio para validar el propósito y el algoritmo de la clave:
gcloud kms keys add-iam-policy-binding <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \ --role=roles/cloudkms.viewer
Desde la consola, selecciona la clave, abre el panel Permissions, haz clic en Grant access y agrega la cuenta de servicio con los roles Cloud KMS CryptoKey Encrypter/Decrypter y Cloud KMS Viewer. Asegúrate de estar en la página de permisos de la clave, no en la del llavero de claves ni en la del proyecto, para que la concesión esté limitada únicamente a esta clave.
Otorga a la cuenta de servicio de Anthropic ambos roles, limitados a la clave.
Anota el nombre completo del recurso de la clave
Esto se lo pasas a Anthropic cuando registras la clave. El formato es:
```
projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>
```
Recupéralo con:
gcloud kms keys describe <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --format="value(name)"
Desde la consola, abre la página de detalles de la clave y haz clic en Copy resource name.
Copia el nombre completo del recurso de la clave desde el menú de acciones.

Registra la clave con Anthropic

La forma de registrar la clave depende del producto que uses.

Registra la clave con Anthropic

Crea una configuración de clave externa a través de la Admin API, usando el nombre del recurso del paso Anota el nombre completo del recurso de la clave en Configuración de la clave de cifrado.

curl -sS https://api.anthropic.com/v1/organizations/external_keys \
  -H "x-api-key: <anthropic-admin-api-key>" \
  -H "anthropic-version: 2023-06-01" \
  -H "content-type: application/json" \
  -d '{
    "display_name": "<friendly-name>",
    "geo": "us",
    "provider_config": {
      "type": "gcp",
      "key_name": "projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>"
    }
  }'

La respuesta contiene el ID de la clave externa:

{
  "type": "external_key",
  "id": "ekey_<id>",
  "display_name": "<friendly-name>"
}

Valida la clave
Activa un ciclo completo de cifrado y descifrado contra tu clave.
curl -sS -X POST https://api.anthropic.com/v1/organizations/external_keys/ekey_<id>/validate \ -H "x-api-key: <anthropic-admin-api-key>" \ -H "anthropic-version: 2023-06-01" \ -H "content-type: application/json" \ -d '{}'
Una respuesta exitosa se ve así:
{ "type": "external_key_validation", "status": "success", "error": null }
Si la validación falla, las causas comunes son:
- VPC Service Controls: si un perímetro de servicio protege Cloud KMS en tu proyecto, agrega a Anthropic a un nivel de acceso en el perímetro (o excluye el proyecto de la clave) para que Anthropic pueda acceder a la clave.
- Uso compartido restringido por dominio: la política de organización constraints/iam.allowedPolicyMemberDomains puede eliminar la vinculación de la cuenta de servicio de Anthropic (consulta la nota anterior). Confirma que la vinculación esté presente con gcloud kms keys get-iam-policy <your-key-name> --project=<your-project-id> --location=<region> --keyring=<your-keyring-name>.
- Versión de clave deshabilitada o destruida: confirma que la versión principal de la clave esté habilitada, y no deshabilitada, programada para destrucción o destruida.

Adjunta la clave a un espacio de trabajo

curl -sS -X POST https://api.anthropic.com/v1/organizations/workspaces/<workspace-id> \
  -H "x-api-key: <anthropic-admin-api-key>" \
  -H "anthropic-version: 2023-06-01" \
  -H "content-type: application/json" \
  -d '{
    "external_key_id": "ekey_<id>"
  }'

Requisitos previos

Correo electrónico de la cuenta de servicio de Anthropic

Configuración de la clave de cifrado

Registra la clave con Anthropic

Terraform

Requisitos previos

Correo electrónico de la cuenta de servicio de Anthropic

Configuración de la clave de cifrado

Registra la clave con Anthropic

Terraform

Requisitos previos

Correo electrónico de la cuenta de servicio de Anthropic

Configuración de la clave de cifrado

Registra la clave con Anthropic

Terraform

Requisitos previos

Correo electrónico de la cuenta de servicio de Anthropic

Configuración de la clave de cifrado

Registra la clave con Anthropic

Terraform