--- title: Solucionar problemas de CMEK url: https://platform.claude.com/docs/es/manage-claude/cmek-troubleshooting description: Encuentra la causa y la solución de un mensaje de error de CMEK, una verificación fallida o una entrada de registro inesperada. --- **Verify** en la Claude Console, **Add** en claude.ai y la llamada de validación de la Admin API ejecutan la misma comprobación. Cuando falla (**Connection failed** en la Claude Console), consulta las causas para [AWS KMS](https://platform.claude.com/docs/es/manage-claude/cmek-troubleshooting#aws-kms), [Google Cloud KMS](https://platform.claude.com/docs/es/manage-claude/cmek-troubleshooting#google-cloud-kms) o [Azure Key Vault](https://platform.claude.com/docs/es/manage-claude/cmek-troubleshooting#azure-key-vault). Si una función dejó de funcionar, puede que sea una de las que las "customer-managed encryption keys" (claves de cifrado administradas por el cliente), o CMEK, desactivan. Revisa la [lista de Claude Platform](https://platform.claude.com/docs/es/manage-claude/cmek-coverage-claude-platform#turned-off-or-changed) o la [lista de Claude Enterprise](https://platform.claude.com/docs/es/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed). Si nada de lo que aparece aquí corresponde, ponte en contacto con tu equipo de cuenta de Anthropic. ## Las solicitudes fallan después de la configuración ### `cmek_key_disabled` ```text wrap Customer-managed encryption key is disabled or revoked. Re-enable the key to restore access. ``` Este error 400 significa que tu servicio de administración de claves rechazó la llamada de Anthropic. Comprueba estas causas en orden: 1. La clave está desactivada. 2. Se quitó el acceso de Anthropic a la clave. [Tu página de configuración](https://platform.claude.com/docs/es/manage-claude/cmek#set-it-up) muestra el acceso que Anthropic necesita. 3. En AWS KMS, la política de clave [enumera espacios de trabajo](https://platform.claude.com/docs/es/manage-claude/cmek-aws-kms-workspaces), pero no este. 4. En AWS KMS, una condición de IP bloquea las [direcciones IP salientes de Anthropic](https://platform.claude.com/docs/es/api/ip-addresses#outbound-ip-addresses). Corrige la causa. [Se aplican dos límites](https://platform.claude.com/docs/es/manage-claude/cmek-key-lifecycle#restore-access) cuando se restablece el acceso. ### `cmek_key_network_blocked` ```text wrap The request to your key management service was blocked by its network access controls (for example, a KMS firewall or IP allowlist). Verify that your KMS network rules allow requests from Anthropic's published IP addresses, or contact Anthropic support if your configuration looks correct. ``` Este es un error 400. Puede que la clave en sí esté en buen estado. Permite las [direcciones IP publicadas de Anthropic](https://platform.claude.com/docs/es/api/ip-addresses) en las reglas de red de tu servicio de administración de claves. ### `cmek_key_unreachable` ```text wrap The workspace's customer-managed encryption key could not be reached. Try again shortly. If this continues, check that the key is available in your key management service, or contact Anthropic support. ``` Este error 503 significa que [Anthropic no pudo llegar a tu clave](https://platform.claude.com/docs/es/manage-claude/cmek-key-lifecycle#unreachable-key). Vuelve a intentar la solicitud. ## La verificación falla: AWS KMS | Causa | Solución | | -------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | ID de organización incorrecto | La condición `org_uuid` debe incluir [tu ID de organización de Anthropic](https://platform.claude.com/docs/es/manage-claude/cmek-aws-kms#prerequisites), el UUID sin el prefijo `org_`. | | Falta un espacio de trabajo en la política | Una condición `compartment_uuid` debe [incluir el ID de compartimento](https://platform.claude.com/docs/es/manage-claude/cmek-aws-kms-workspaces) de cada espacio de trabajo al que está adjunta la clave. | | Acceso concedido mediante IAM en lugar de la política de clave | El rol de Anthropic necesita acceso en [la propia política de clave](https://platform.claude.com/docs/es/manage-claude/cmek-aws-kms#key-policy). | Para imprimir la política de clave, ejecuta: ```bash aws kms get-key-policy \ --region \ --key-id \ --policy-name default ``` ### Una clave que ya protege datos Si estás [reemplazando la política de una clave](https://platform.claude.com/docs/es/manage-claude/cmek-aws-kms-workspaces#replace-the-key-policy) que ya protege datos, agrega esta declaración de política para que Anthropic pueda seguir descifrando esos datos. En su condición, incluye el ID de compartimento de cada espacio de trabajo al que la clave está o estuvo adjunta. ```json { "Sid": "AllowAnthropicCMEKDecryptExistingData", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": "kms:Decrypt", "Resource": "*", "Condition": { "StringEquals": { "kms:EncryptionContext:anthropic:compartment_uuid": [""] } } } ``` ## La verificación falla: Google Cloud KMS | Causa | Solución | | ---------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Etiqueta de organización incorrecta | La clave necesita la [etiqueta de organización](https://platform.claude.com/docs/es/manage-claude/cmek-google-cloud-kms#organization-label), con tu ID de organización de Anthropic en minúsculas. | | Uso compartido restringido por dominio | Esta política de la organización bloquea la concesión a la cuenta de servicio de Anthropic. [Agrega una excepción](https://platform.claude.com/docs/es/manage-claude/cmek-google-cloud-kms#prerequisites). | | Versión de clave desactivada o destruida | La versión principal de la clave debe estar habilitada. | Para comprobar la concesión, ejecuta: ```bash gcloud kms keys get-iam-policy \ --project= \ --location= \ --keyring= ``` ## La verificación falla: Azure Key Vault | Causa | Solución | | -------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Etiqueta de organización incorrecta | La versión actual de la clave necesita la [etiqueta de organización](https://platform.claude.com/docs/es/manage-claude/cmek-azure-key-vault#organization-tag). | | La asignación de rol aún no entra en vigor | Una nueva asignación de rol puede tardar unos minutos. Espera y vuelve a intentarlo. | | Las reglas de red del almacén bloquean a Anthropic | Compara las reglas con la [configuración del almacén que Anthropic necesita](https://platform.claude.com/docs/es/manage-claude/cmek-azure-key-vault#check-your-vault-configuration). | ## Adjuntar falla en Claude Platform on AWS Claude Platform on AWS no tiene un paso **Verify**, por lo que un problema con la clave aparece cuando la adjuntas. | Causa | Solución | | -------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | La política de clave no coincide | Imprime la política de clave con el [comando `get-key-policy`](https://platform.claude.com/docs/es/manage-claude/cmek-troubleshooting#aws-kms) y compárala con la [política de la página de configuración](https://platform.claude.com/docs/es/manage-claude/cmek-claude-platform-on-aws#prepare-the-key-policy). | | La condición no coincide | Cualquier condición `EncryptionContext` o `aws:SourceArn` debe incluir este espacio de trabajo. | | Estado o ubicación de la clave | La clave debe estar habilitada, ser de una sola región y estar en la misma cuenta y región de AWS que el espacio de trabajo. | | Faltan permisos | La entidad principal con la que iniciaste sesión necesita `kms:DescribeKey`, `kms:Encrypt` y `kms:Decrypt` sobre la clave. | Si adjuntar sigue fallando, busca el evento `kms:` denegado en CloudTrail, en la cuenta de la clave. Muestra la entidad principal que hizo la llamada y, para las llamadas criptográficas, el contexto de cifrado. Corrige la causa y luego haz clic en **Save** de nuevo. ## Se rechaza adjuntar o agregar una clave ### El espacio de trabajo no retiene datos ```text wrap CMEK keys can only be attached to workspaces in this organization that have inference data retention enabled. ``` [Tu organización usa retención de datos cero (ZDR)](https://platform.claude.com/docs/es/manage-claude/cmek-data-retention#zdr-organizations), y una clave necesita un espacio de trabajo que retenga datos. Primero cambia el espacio de trabajo a **Standard data retention**. ### El espacio de trabajo no tiene la opción Encryption key Solo [un espacio de trabajo que retiene datos](https://platform.claude.com/docs/es/manage-claude/cmek-data-retention#data-retention) tiene esta opción, así que primero selecciona **Standard data retention** para el espacio de trabajo. El espacio de trabajo predeterminado de una organización con ZDR no se puede cambiar, así que usa otro. ### No aparece la sección Encryption keys En la Claude Console, selecciona **Organization** en el menú desplegable de la parte superior de la página Data retention. Si la sección sigue sin aparecer, tu rol no la incluye o CMEK no está activado para tu organización. Tu equipo de cuenta de Anthropic activa CMEK. ### El espacio de trabajo ya tiene una clave ```text wrap This workspace already has a different external key attached. ``` La clave de un espacio de trabajo no se puede reemplazar, así que [crea un nuevo espacio de trabajo](https://platform.claude.com/docs/es/manage-claude/cmek-key-lifecycle#change-keys) para una clave diferente. ### Agregar una clave en claude.ai falla ```text wrap The encryption key couldn’t be added. ``` La comprobación de tu clave falló. Encuentra la causa para [AWS KMS](https://platform.claude.com/docs/es/manage-claude/cmek-troubleshooting#aws-kms), [Google Cloud KMS](https://platform.claude.com/docs/es/manage-claude/cmek-troubleshooting#google-cloud-kms) o [Azure Key Vault](https://platform.claude.com/docs/es/manage-claude/cmek-troubleshooting#azure-key-vault). Para volver a intentarlo, haz clic en **Add key** de nuevo. El cuadro de diálogo se abre con los datos que ingresaste antes. Selecciona la casilla, haz clic en **Continue** y luego haz clic en **Add**. ## Errores esperados en CloudTrail En Claude Platform y Claude Enterprise, Anthropic comprueba la clave cada vez que la verificas, la adjuntas a un espacio de trabajo o la ves en claude.ai. Cada comprobación agrega cuatro errores esperados de acceso denegado a CloudTrail. Para filtrarlos, haz coincidir los tres valores: * `requestParameters.encryptionContext.associatedData`: `Y21lay12YWxpZGF0aW9u` * `userIdentity.accountId`: `915198916910` * `resources.ARN`: `arn:aws:kms:::key/` El primer valor por sí solo no basta, porque cualquier llamador puede establecerlo.