Cómo funciona CMEK
Cómo tu clave protege los datos almacenados, qué cubre una clave, cuándo entra en vigor y qué puedes ver.
Tu clave envuelve las claves que cifran tus datos
Anthropic cifra tus datos almacenados con claves de datos. Con "customer-managed encryption keys" (claves de cifrado administradas por el cliente), o CMEK, tu clave cifra, es decir, envuelve, esas claves de datos. Esto es cifrado de sobre. Para escribir o leer datos, Anthropic le pide a tu "key management service" (servicio de administración de claves), o KMS, que envuelva o desenvuelva una clave de datos.
Las claves de datos circulan entre Anthropic y tu nube. Tu clave nunca sale de tu KMS. Tus datos nunca van a él.
Anthropic no guarda ninguna copia de tu clave, así que sin ella, Claude no puede leer los datos que protege.
Qué protege una clave
En Claude Platform y Claude Platform on AWS, una clave protege un espacio de trabajo, y una clave puede servir a varios. En Claude Enterprise, una clave protege toda la organización, que solo puede tener una sola clave. Qué datos protege tu clave depende de tu producto.
En Claude Platform y Claude Enterprise, tu clave lleva el ID de tu organización de Anthropic, que vincula la clave con tu organización. Según tu KMS, el ID va en una condición de la política de clave, en una etiqueta o en un tag. Una clave sin el ID no supera la verificación. Una clave compartida entre organizaciones lleva el ID de cada una.
Una política de clave de AWS KMS puede nombrar espacios de trabajo por sus ID de compartimento. Un ID de compartimento es el UUID que Anthropic asigna a cada espacio de trabajo para el cifrado, no el ID del espacio de trabajo que empieza con wrkspc_.
Dónde reside tu clave
Tu clave reside en AWS KMS, Google Cloud KMS o Azure Key Vault. Es posible que tu proveedor cobre por ella.
En Claude Platform y Claude Enterprise, CMEK está disponible en regiones de EE. UU., y Anthropic procesa allí todas las operaciones de cifrado. Cada página de configuración indica las regiones con menor latencia.
Cuándo entra en vigor tu clave
Tu clave protege solo los datos escritos después de que entra en vigor. Los datos existentes (chats, archivos y sesiones anteriores) permanecen bajo la clave de Anthropic y no se vuelven a cifrar.
En Claude Platform y Claude Platform on AWS, una clave adjuntada a un espacio de trabajo antes de su primera solicitud entra en vigor con esa solicitud. En un espacio de trabajo en uso, tu clave puede tardar hasta un día en entrar en vigor, y los datos escritos mientras tanto permanecen bajo la clave de Anthropic. Por eso Anthropic recomienda un espacio de trabajo nuevo.
Qué puedes ver
El registro de auditoría de tu nube puede registrar cada operación que Anthropic realiza con tu clave. Cuando tienes que activar ese registro, tu página de configuración lo indica como requisito previo. En AWS CloudTrail, algunas entradas son errores esperados.
Los cambios en tu configuración de CMEK aparecen en el Compliance API Activity Feed. Las operaciones que Anthropic realiza con tu clave no aparecen.
Latencia y estándares
Cada operación de envolver o desenvolver es un viaje de ida y vuelta a tu KMS, lo que puede añadir un poco de latencia a la lectura y escritura de datos almacenados. Para estándares criptográficos como FIPS, consulta el documento técnico de CMEK en el Trust Center.
A continuación, lee qué hace cada acción de clave.
Was this page helpful?