Configurar Google Cloud KMS para CMEK

Omite este paso si ya tienes un llavero que puedas reutilizar. Los llaveros son regionales. Elige una ubicación de una sola región en EE. UU., como us-east5, que coincida con la geografía de Anthropic que estás configurando. No se admiten ubicaciones multirregionales como us y global.

gcloud kms keyrings create <your-keyring-name> \
  --project=<your-project-id> \
  --location=<region>

Crea una clave simétrica con el propósito ENCRYPT_DECRYPT. Se recomienda encarecidamente la protección HSM: las claves HSM de Cloud KMS están validadas según FIPS 140-2 Nivel 3, y la diferencia de costo respecto a las claves de software es pequeña.

gcloud kms keys create <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name> \
  --purpose=encryption \
  --protection-level=hsm

Para usar protección de software en su lugar, omite --protection-level=hsm. Nada más cambia en esta guía.

También puedes crear la clave desde la consola de Google Cloud. Abre el llavero, haz clic en Create key, selecciona Generated key, establece el propósito y el algoritmo en cifrado y descifrado simétrico, y elige HSM en el nivel de protección.

Se requieren dos vinculaciones de IAM a nivel de clave. Ambas están limitadas a la clave criptográfica individual, no a todo el proyecto ni a todo el llavero.

Cifrado y descifrado, que Anthropic usa para cifrar y descifrar las claves de datos que protegen los datos de tu espacio de trabajo (cifrado de sobre o envelope encryption):

gcloud kms keys add-iam-policy-binding <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name> \
  --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
  --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

Visualizador (Viewer), para la lectura de metadatos (cryptoKeys.get) que Anthropic realiza al inicio para validar el propósito y el algoritmo de la clave:

gcloud kms keys add-iam-policy-binding <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name> \
  --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
  --role=roles/cloudkms.viewer

Desde la consola, selecciona la clave, abre el panel Permissions, haz clic en Grant access y agrega la cuenta de servicio con los roles Cloud KMS CryptoKey Encrypter/Decrypter y Cloud KMS Viewer. Asegúrate de estar en la página de permisos de la clave, no en la del llavero ni en la del proyecto, para que la concesión esté limitada únicamente a esta clave.

Lo pasarás a Anthropic cuando registres la clave. El formato es:

projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>

Recupéralo con:

gcloud kms keys describe <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name> \
  --format="value(name)"

Desde la consola, abre la página de detalles de la clave y haz clic en Copy resource name.

Crea una configuración de clave externa a través de la Admin API, usando el nombre del recurso del paso anterior.

curl -sS https://api.anthropic.com/v1/organizations/external_keys \
  -H "x-api-key: <anthropic-admin-api-key>" \
  -H "anthropic-version: 2023-06-01" \
  -H "content-type: application/json" \
  -d '{
    "display_name": "<friendly-name>",
    "geo": "us",
    "provider_config": {
      "type": "gcp",
      "key_name": "projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>"
    }
  }'

La respuesta contiene el ID de la clave externa:

{
  "type": "external_key",
  "id": "ekey_<id>",
  "display_name": "<friendly-name>"
}

Activa una operación completa de cifrado y descifrado contra tu clave.

curl -sS -X POST https://api.anthropic.com/v1/organizations/external_keys/ekey_<id>/validate \
  -H "x-api-key: <anthropic-admin-api-key>" \
  -H "anthropic-version: 2023-06-01" \
  -H "content-type: application/json" -d '{}'

Una respuesta exitosa se ve así:

{ "type": "external_key_validation", "status": "success", "error": null }

Si la validación falla, las causas comunes son:

• VPC Service Controls: si un perímetro de servicio protege Cloud KMS en tu proyecto, agrega a Anthropic a un nivel de acceso en el perímetro (o excluye el proyecto de la clave) para que Anthropic pueda acceder a la clave.
• Uso compartido restringido por dominio: la política de organización constraints/iam.allowedPolicyMemberDomains puede eliminar la vinculación de la cuenta de servicio de Anthropic (consulta la nota anterior). Confirma que la vinculación está presente con gcloud kms keys get-iam-policy <your-key-name> --project=<your-project-id> --location=<region> --keyring=<your-keyring-name>.
• Versión de clave deshabilitada o destruida: confirma que la versión principal de la clave está habilitada, y no deshabilitada, programada para destrucción ni destruida.