Solucionar problemas de CMEK

Verify en la Claude Console, Add en claude.ai y la llamada de validación de la Admin API ejecutan la misma comprobación. Cuando falla (Connection failed en la Claude Console), consulta las causas para AWS KMS, Google Cloud KMS o Azure Key Vault.

Si una función dejó de funcionar, puede que sea una de las que las "customer-managed encryption keys" (claves de cifrado administradas por el cliente), o CMEK, desactivan. Revisa la lista de Claude Platform o la lista de Claude Enterprise.

Si nada de lo que aparece aquí corresponde, ponte en contacto con tu equipo de cuenta de Anthropic.

Las solicitudes fallan después de la configuración

cmek_key_disabled

Customer-managed encryption key is disabled or revoked. Re-enable the key to restore access.

Este error 400 significa que tu servicio de administración de claves rechazó la llamada de Anthropic. Comprueba estas causas en orden:

1. La clave está desactivada.
2. Se quitó el acceso de Anthropic a la clave. Tu página de configuración muestra el acceso que Anthropic necesita.
3. En AWS KMS, la política de clave enumera espacios de trabajo, pero no este.
4. En AWS KMS, una condición de IP bloquea las direcciones IP salientes de Anthropic.

Corrige la causa. Se aplican dos límites cuando se restablece el acceso.

cmek_key_network_blocked

The request to your key management service was blocked by its network access controls (for example, a KMS firewall or IP allowlist). Verify that your KMS network rules allow requests from Anthropic's published IP addresses, or contact Anthropic support if your configuration looks correct.

Este es un error 400. Puede que la clave en sí esté en buen estado. Permite las direcciones IP publicadas de Anthropic en las reglas de red de tu servicio de administración de claves.

cmek_key_unreachable

The workspace's customer-managed encryption key could not be reached. Try again shortly. If this continues, check that the key is available in your key management service, or contact Anthropic support.

Este error 503 significa que Anthropic no pudo llegar a tu clave. Vuelve a intentar la solicitud.

La verificación falla: AWS KMS

Para imprimir la política de clave, ejecuta:

aws kms get-key-policy \
  --region <REGION> \
  --key-id <KEY_ARN> \
  --policy-name default

Una clave que ya protege datos

Si estás reemplazando la política de una clave que ya protege datos, agrega esta declaración de política para que Anthropic pueda seguir descifrando esos datos. En su condición, incluye el ID de compartimento de cada espacio de trabajo al que la clave está o estuvo adjunta.

{
  "Sid": "AllowAnthropicCMEKDecryptExistingData",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
  },
  "Action": "kms:Decrypt",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
    }
  }
}

La verificación falla: Google Cloud KMS

Para comprobar la concesión, ejecuta:

gcloud kms keys get-iam-policy <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name>

La verificación falla: Azure Key Vault

Adjuntar falla en Claude Platform on AWS

Claude Platform on AWS no tiene un paso Verify, por lo que un problema con la clave aparece cuando la adjuntas.

Si adjuntar sigue fallando, busca el evento kms: denegado en CloudTrail, en la cuenta de la clave. Muestra la entidad principal que hizo la llamada y, para las llamadas criptográficas, el contexto de cifrado. Corrige la causa y luego haz clic en Save de nuevo.

Se rechaza adjuntar o agregar una clave

El espacio de trabajo no retiene datos

CMEK keys can only be attached to workspaces in this organization that have inference data retention enabled.

Tu organización usa retención de datos cero (ZDR), y una clave necesita un espacio de trabajo que retenga datos. Primero cambia el espacio de trabajo a Standard data retention.

El espacio de trabajo no tiene la opción Encryption key

Solo un espacio de trabajo que retiene datos tiene esta opción, así que primero selecciona Standard data retention para el espacio de trabajo. El espacio de trabajo predeterminado de una organización con ZDR no se puede cambiar, así que usa otro.

No aparece la sección Encryption keys

En la Claude Console, selecciona Organization en el menú desplegable de la parte superior de la página Data retention. Si la sección sigue sin aparecer, tu rol no la incluye o CMEK no está activado para tu organización. Tu equipo de cuenta de Anthropic activa CMEK.

El espacio de trabajo ya tiene una clave

This workspace already has a different external key attached.

La clave de un espacio de trabajo no se puede reemplazar, así que crea un nuevo espacio de trabajo para una clave diferente.

Agregar una clave en claude.ai falla

The encryption key couldn’t be added.

La comprobación de tu clave falló. Encuentra la causa para AWS KMS, Google Cloud KMS o Azure Key Vault. Para volver a intentarlo, haz clic en Add key de nuevo. El cuadro de diálogo se abre con los datos que ingresaste antes. Selecciona la casilla, haz clic en Continue y luego haz clic en Add.

Errores esperados en CloudTrail

En Claude Platform y Claude Enterprise, Anthropic comprueba la clave cada vez que la verificas, la adjuntas a un espacio de trabajo o la ves en claude.ai. Cada comprobación agrega cuatro errores esperados de acceso denegado a CloudTrail.

Para filtrarlos, haz coincidir los tres valores:

• requestParameters.encryptionContext.associatedData: Y21lay12YWxpZGF0aW9u
• userIdentity.accountId: 915198916910
• resources.ARN: arn:aws:kms:<REGION>:<AWS_ACCOUNT_ID>:key/<KEY_ID>

El primer valor por sí solo no basta, porque cualquier llamador puede establecerlo.