Claude Platform Docs
AdministrationConfigurer CMEK

Configurer CMEK avec AWS KMS

Créez une clé AWS KMS, donnez à Anthropic l'accès à celle-ci et utilisez-la dans Claude Platform ou Claude Enterprise.

Claude Code

Laissez Claude Code configurer cette fonctionnalité pour vous

/claude-api aide-moi à configurer une clé de chiffrement gérée par le client avec AWS KMS

Si la barre latérale de votre Claude Console affiche Account managed by AWS, suivez plutôt Configurer CMEK sur Claude Platform on AWS.

Avant de commencer

Dans Claude :

Dans AWS :

  • Vous pouvez créer des clés AWS KMS et définir leurs stratégies de clé (kms:CreateKey et kms:PutKeyPolicy).
  • Toute restriction d'adresse IP sur l'accès à AWS KMS autorise les adresses IP sortantes d'Anthropic.

Dans AWS : créer la clé

Après un échec de Verify ou Add, consultez les solutions pour AWS KMS.

Rédiger la stratégie de clé

Cette stratégie donne au rôle IAM d'Anthropic l'accès à votre clé. Utilisez uniquement l'ARN de rôle publié sur cette page, jamais un ARN envoyé par e-mail ou par chat. Copiez la stratégie dans un éditeur de texte :

key-policy.json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AccountRootAdmin",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<AWS_ACCOUNT_ID>:root"
      },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "AllowAnthropicCMEKCrypto",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
      },
      "Action": ["kms:Encrypt", "kms:Decrypt"],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:anthropic:org_uuid": ["<ORGANIZATION_UUID>"]
        }
      }
    },
    {
      "Sid": "AllowAnthropicCMEKDescribe",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    }
  ]
}

Remplacez <AWS_ACCOUNT_ID> par votre ID de compte AWS et <ORGANIZATION_UUID> par votre ID d'organisation Anthropic. Conservez la condition kms:EncryptionContext:anthropic:org_uuid, sinon la vérification échoue.

Vous pouvez également limiter la clé à des espaces de travail spécifiques en listant leurs ID de compartiment. Si vous remplacez la stratégie d'une clé qui protège déjà des données Claude, ajoutez une déclaration de stratégie supplémentaire.

Créer la clé

Vous pouvez créer la clé dans n'importe quelle région commerciale AWS. Pour la latence la plus faible, utilisez us-east-2.

Pour utiliser une clé que vous avez déjà dans AWS KMS, remplacez sa stratégie de clé.

  1. Ouvrir l'assistant Create key

    Ouvrez la console AWS KMS et passez à la région de la clé. Accédez à Customer managed keys et cliquez sur Create key.

  2. Configure key

    Assurez-vous que ces options sont sélectionnées :

    • Key type: Symmetric
    • Key usage: Encrypt and decrypt
    • Advanced options > Key material origin: KMS
    • Advanced options > Regionality: Single-Region key

    Cliquez sur Next.

    Étape Configure key d'AWS KMS avec le type de clé Symmetric, l'utilisation de clé Encrypt and decrypt et Single-Region key sélectionnés.

    Clé symétrique, de chiffrement et de déchiffrement, à région unique.

  3. Add labels

    Saisissez un Alias pour la clé, par exemple anthropic-cmek. Cliquez sur Next.

    Étape Add labels d'AWS KMS avec l'alias anthropic-cmek et la description Anthropic CMEK.

    Un alias pour la clé.

  4. Define key administrative permissions

    Ne sélectionnez aucun administrateur de clé. Votre stratégie de clé donne déjà à votre compte AWS un contrôle administratif complet. Cliquez sur Next.

    Étape Define key administrative permissions d'AWS KMS listant les rôles IAM pouvant administrer la clé.

    Laissez la liste des administrateurs de clé vide.

  5. Define key usage permissions

    Ne sélectionnez aucun utilisateur de clé et n'ajoutez rien sous Other AWS accounts. Votre stratégie de clé accorde déjà l'accès nécessaire. Cliquez sur Next.

  6. Edit key policy

    Cliquez sur Edit. Remplacez l'intégralité de la stratégie par votre stratégie de clé, puis cliquez sur Next.

  7. Review

    Cliquez sur Finish.

  8. Copier l'ARN de la clé

    Dans Customer managed keys, ouvrez la nouvelle clé et copiez son ARN. La personne qui ajoute la clé dans Claude en a besoin.

Chaque vérification de la clé dans Claude ajoute à CloudTrail quatre erreurs d'accès refusé attendues. Vous pouvez les filtrer.

Dans Claude : ajouter et associer la clé

Pour automatiser cette partie par script sur Claude Platform, utilisez plutôt l'Admin API.

  1. Ouvrir les paramètres des clés de chiffrement

    Dans la Claude Console, ouvrez la section Encryption keys de la page Data retention. Si la section n'y figure pas, sélectionnez Organization dans le menu déroulant en haut.

  2. Ajouter la clé

    Sous Encryption keys, cliquez sur Add key. Saisissez un Display name, sélectionnez AWS KMS, puis cliquez sur Continue.

  3. Saisir l'ARN de la clé

    Vérifiez que votre stratégie de clé contient l'Organization ID for the key policy affiché dans la boîte de dialogue. Collez l'ARN de la clé dans KMS key ARN et cliquez sur Add.

  4. Vérifier la clé

    Dans la liste Encryption keys, cliquez sur Verify à côté de la clé. Connected s'affiche lorsque la vérification réussit. Si Connection failed s'affiche à la place, consultez Résoudre les problèmes liés à CMEK.

  5. Associer la clé à un espace de travail

    1. En haut de la page Data retention, sélectionnez l'espace de travail dans le menu déroulant.
    2. Sous Encryption key, sélectionnez la clé et cliquez sur Save.
    3. Cochez la case pour confirmer que vous avez lu la documentation CMEK, puis cliquez sur Confirm.

    Vous voyez Workspace settings updated. Une fois que la clé prend effet, le journal d'audit de votre fournisseur cloud affiche les appels d'Anthropic à la clé.

    Dans une organisation ZDR, après avoir sélectionné l'espace de travail, sélectionnez Standard data retention pour que Encryption key apparaisse. Après avoir cliqué sur Save, cliquez sur Accept dans les conditions de conservation des données.

Was this page helpful?