---
title: Configurar CMEK con Google Cloud KMS
url: https://platform.claude.com/docs/es/manage-claude/cmek-google-cloud-kms
description: Crea una clave de Google Cloud KMS, otorga a Anthropic acceso a ella y ponla en uso en Claude Platform o Claude Enterprise.
---

Deja que Claude Code configure esta función por ti

```text
/claude-api ayúdame a configurar una clave de cifrado administrada por el cliente con Google Cloud KMS
```

## Antes de empezar

En Claude:

* Las claves de cifrado administradas por el cliente (CMEK) están [activadas para tu organización](https://platform.claude.com/docs/es/manage-claude/cmek#availability).
* Tienes el ID de tu organización de Anthropic, el UUID sin el prefijo `org_`. Cópialo desde [Organization](https://platform.claude.com/settings/organization) en la Claude Console, o desde **Organization settings > Organization and access** en claude.ai. Quien cree la clave lo necesita.
* Eres Organization Admin en Claude Platform, u Owner o Primary Owner en Claude Enterprise.
* En Claude Platform, tienes un espacio de trabajo que [retiene datos](https://platform.claude.com/docs/es/manage-claude/cmek-data-retention#data-retention), idealmente uno nuevo, porque [los datos existentes permanecen bajo la clave de Anthropic](https://platform.claude.com/docs/es/manage-claude/cmek-how-it-works#when-your-key-takes-effect).
* En Claude Enterprise, sabes [qué funciones se desactivan o cambian](https://platform.claude.com/docs/es/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).

En Google Cloud:

* La Cloud KMS API está activada.
* Puedes crear llaveros de claves y claves, y establecer la política de IAM en ellos (`roles/cloudkms.admin` o equivalente).
* Los [registros de auditoría de Data Access](https://docs.cloud.google.com/logging/docs/audit/configure-data-access) (Data Read y Data Write) de Cloud KMS están activados, para que Cloud Logging registre el uso que Anthropic hace de tu clave. Están desactivados de forma predeterminada.
* Si tu organización de Google Cloud aplica el uso compartido restringido por dominio (`constraints/iam.allowedPolicyMemberDomains`), este bloquea el permiso otorgado a la cuenta de servicio de Anthropic. Agrega una excepción a nivel de proyecto o permite el ID de cliente de Cloud Identity de Anthropic. Comunícate con Anthropic para obtener el ID.

## En Google Cloud: crea la clave

Después de un **Verify** o **Add** fallido, consulta las [soluciones para Google Cloud KMS](https://platform.claude.com/docs/es/manage-claude/cmek-troubleshooting#google-cloud-kms).

Estos pasos etiquetan la clave con el ID de tu organización de Anthropic en minúsculas (`<ORGANIZATION_UUID>`) y otorgan acceso a la cuenta de servicio de Anthropic:

```text wrap
anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com
```

Usa solo esta dirección, nunca una enviada por correo electrónico o chat.

Puedes usar cualquier ubicación de Cloud KMS. Para obtener la latencia más baja, usa `us-east5` o `us-central1`. Anthropic recomienda encarecidamente la protección HSM.

Para usar una clave que ya tienes, primero [agrega la etiqueta de organización](https://platform.claude.com/docs/es/manage-claude/cmek-google-cloud-kms#organization-label).

<Tabs>
  <Tab title="Google Cloud Console">
    <Steps>
      <Step title="Crea o elige un llavero de claves">
        En la consola de Google Cloud, ve a la página [Key management](https://console.cloud.google.com/security/kms). Abre un llavero de claves o crea uno en una ubicación como `us-east5`.
      </Step>

      <Step title="Configura la clave">
        Haz clic en **Create key** e ingresa un nombre. Selecciona estas opciones:

        * **Protection level:** HSM
        * **Key material:** Generated key
        * **Purpose:** Symmetric encrypt/decrypt
        * **Algorithm:** Google symmetric key
      </Step>

      <Step title="Agrega la etiqueta de organización">
        Haz clic en **Additional settings** y luego en **Add label**. Ingresa la etiqueta de organización:

        * **Key 1:** `anthropic-org-<ORGANIZATION_UUID>`
        * **Value 1:** `true`

        Haz clic en **Create**.

        <Frame caption="Una clave simétrica de cifrado/descifrado protegida por HSM con la etiqueta de organización.">
          ![Página Create key de Google Cloud KMS con protección HSM, cifrado/descifrado simétrico y la etiqueta anthropic-org establecida en true.](https://platform.claude.com/docs/images/cmek/gcp-create-key-label.png)
        </Frame>
      </Step>

      <Step title="Abre los permisos de la clave">
        En la página de detalles del llavero de claves, selecciona la casilla junto a la clave. Abre el panel **Permissions** y haz clic en **Grant access**.
      </Step>

      <Step title="Otorga a la cuenta de servicio de Anthropic acceso a la clave">
        Comprueba que **Resource** muestre la clave, no el llavero de claves ni el proyecto. Ingresa estos valores:

        * **New principals:** `anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com`
        * **Role:** Cloud KMS CryptoKey Encrypter/Decrypter

        Haz clic en **Add another role** y selecciona **Cloud KMS Viewer**. Haz clic en **Save**.

        <Frame caption="Otorga a la cuenta de servicio de Anthropic ambos roles, limitados a la clave.">
          ![Cuadro de diálogo Grant access con la cuenta de servicio de Anthropic asignada a los roles Cloud KMS CryptoKey Encrypter/Decrypter y Viewer.](https://platform.claude.com/docs/images/cmek/gcp-grant-access.png)
        </Frame>
      </Step>

      <Step title="Copia el nombre de recurso completo de la clave">
        En la página de detalles del llavero de claves, abre el menú **Actions** de la clave y haz clic en **Copy resource name**.

        <Frame caption="Copia el nombre de recurso completo de la clave desde el menú de acciones.">
          ![Detalles del llavero de claves de Google Cloud con la acción Copy resource name resaltada en el menú de acciones de la clave.](https://platform.claude.com/docs/images/cmek/gcp-copy-resource-name.png)
        </Frame>
      </Step>
    </Steps>
  </Tab>

  <Tab title="gcloud CLI">
    En cada comando, reemplaza estos marcadores de posición:

    * **`<your-project-id>`:** el ID de tu proyecto de Google Cloud
    * **`<region>`:** la ubicación de la clave, como `us-east5`
    * **`<your-keyring-name>`:** el nombre del llavero de claves
    * **`<your-key-name>`:** el nombre de la clave
    * **`<ORGANIZATION_UUID>`:** el ID de tu organización de Anthropic en minúsculas

    <Steps>
      <Step title="Crea o elige un llavero de claves">
        Omite este paso si ya tienes un llavero de claves para reutilizar.

        ```bash
        gcloud kms keyrings create <your-keyring-name> \
          --project=<your-project-id> \
          --location=<region>
        ```
      </Step>

      <Step title="Crea la clave">
        ```bash
        gcloud kms keys create <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --purpose=encryption \
          --protection-level=hsm \
          --labels=anthropic-org-<ORGANIZATION_UUID>=true
        ```

        Para protección por software, omite `--protection-level=hsm`.
      </Step>

      <Step title="Otorga a la cuenta de servicio de Anthropic acceso a la clave">
        Ejecuta ambos comandos:

        ```bash
        gcloud kms keys add-iam-policy-binding <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
          --role=roles/cloudkms.cryptoKeyEncrypterDecrypter
        ```

        ```bash
        gcloud kms keys add-iam-policy-binding <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
          --role=roles/cloudkms.viewer
        ```
      </Step>

      <Step title="Obtén el nombre de recurso completo de la clave">
        ```bash
        gcloud kms keys describe <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --format="value(name)"
        ```
      </Step>
    </Steps>
  </Tab>
</Tabs>

Quien agregue la clave en Claude necesita su nombre de recurso completo, en este formato:

```text wrap
projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>
```

### Agrega la etiqueta de organización a una clave que ya tienes

La verificación falla a menos que la clave tenga la etiqueta `anthropic-org-<ORGANIZATION_UUID>` establecida en `true`, con el ID de tu organización de Anthropic en minúsculas. Para agregar la etiqueta, ejecuta:

```bash
gcloud kms keys update <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name> \
  --update-labels=anthropic-org-<ORGANIZATION_UUID>=true
```

Los demás valores están en el nombre de recurso completo de la clave, y el comando mantiene las etiquetas existentes. Luego pasa directamente a [los pasos que otorgan acceso](https://platform.claude.com/docs/es/manage-claude/cmek-google-cloud-kms#encryption-key-setup).

## En Claude: agrega y adjunta la clave

Para automatizar esta parte con scripts en Claude Platform, [usa la Admin API](https://platform.claude.com/docs/es/manage-claude/cmek-admin-api) en su lugar.

<Tabs>
  <Tab title="Claude Platform">
    <Steps>
      <Step title="Abre la configuración de claves de cifrado">
        En la Claude Console, abre [Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys) en la página Data retention. Si la sección no aparece, selecciona **Organization** en el menú desplegable de la parte superior.
      </Step>

      <Step title="Agrega la clave">
        En **Encryption keys**, haz clic en **Add key**. Ingresa un **Display name**, selecciona **Google Cloud KMS** y haz clic en **Continue**.
      </Step>

      <Step title="Ingresa el nombre de recurso de la clave">
        Comprueba que tu clave tenga la **Organization label** que se muestra en el cuadro de diálogo. Pega el nombre de recurso completo de la clave en **Key resource name** y haz clic en **Add**.
      </Step>

      <Step title="Verifica la clave">
        En la lista **Encryption keys**, haz clic en **Verify** junto a la clave. **Connected** aparece cuando la comprobación se supera. Si en su lugar aparece **Connection failed**, consulta [Solucionar problemas de CMEK](https://platform.claude.com/docs/es/manage-claude/cmek-troubleshooting).
      </Step>

      <Step title="Adjunta la clave a un espacio de trabajo">
        <Warning>
          Adjuntar una clave [no se puede deshacer](https://platform.claude.com/docs/es/manage-claude/cmek-key-lifecycle#what-each-action-does). No puedes quitarla del espacio de trabajo ni reemplazarla. Si la clave se elimina, Anthropic no puede recuperar los datos que protege.
        </Warning>

        1. En la parte superior de la página Data retention, selecciona el espacio de trabajo en el menú desplegable.
        2. En **Encryption key**, selecciona la clave y haz clic en **Save**.
        3. Marca la casilla para confirmar que has leído la documentación de CMEK y luego haz clic en **Confirm**.

        Verás **Workspace settings updated.** Una vez que tu clave [entre en vigor](https://platform.claude.com/docs/es/manage-claude/cmek-how-it-works#when-your-key-takes-effect), el registro de auditoría de tu proveedor de nube mostrará las llamadas de Anthropic a tu clave.

        En una [organización con ZDR](https://platform.claude.com/docs/es/manage-claude/cmek-data-retention#zdr-organizations), después de seleccionar el espacio de trabajo, selecciona **Standard data retention** para que aparezca **Encryption key**. Después de hacer clic en **Save**, haz clic en **Accept** en los términos de retención de datos.
      </Step>
    </Steps>
  </Tab>

  <Tab title="Claude Enterprise">
    En Claude Enterprise, CMEK se aplica a toda la organización y puedes agregar una sola clave.

    <Warning>
      Agregar una clave [no se puede deshacer](https://platform.claude.com/docs/es/manage-claude/cmek-key-lifecycle#what-each-action-does). No puedes quitarla de la organización ni reemplazarla. Si la clave se elimina, Anthropic no puede recuperar los datos que protege.
    </Warning>

    Agregar la clave [desactiva o modifica algunas funciones](https://platform.claude.com/docs/es/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) para todos los usuarios. Para probar CMEK primero, usa una organización independiente.

    <Steps>
      <Step title="Abre la configuración de claves de cifrado">
        Ve a [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls) y busca **Encryption keys**.
      </Step>

      <Step title="Agrega la clave">
        Haz clic en **Add key**. Ingresa un **Display name** y selecciona **Google Cloud KMS**. Selecciona la casilla para confirmar que has leído la documentación de CMEK y luego haz clic en **Continue**.
      </Step>

      <Step title="Ingresa el nombre de recurso de la clave">
        Comprueba que tu clave tenga la **Organization label** que se muestra en el cuadro de diálogo. Pega el nombre de recurso completo de la clave en **Key resource name** y haz clic en **Add**.
      </Step>

      <Step title="Confirma que se agregó la clave">
        La comprobación puede tardar hasta 30 segundos. Cuando aparezca **Encryption key configured.**, haz clic en **Done**. Si en su lugar aparece **The encryption key couldn’t be added.**, [encuentra la causa y vuelve a intentarlo](https://platform.claude.com/docs/es/manage-claude/cmek-troubleshooting#claude-ai-add-fails).

        Tu clave protege los datos que se escriban a partir de ese momento. Informa a tus usuarios [qué funciones cambiaron](https://platform.claude.com/docs/es/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).
      </Step>
    </Steps>
  </Tab>
</Tabs>