Configurer AWS KMS pour CMEK

La politique de clé accorde au rôle IAM d'Anthropic un accès inter-comptes. Trois déclarations sont requises :

1. Administrateur racine du compte : le modèle KMS standard. Votre compte conserve le contrôle administratif complet.
2. Chiffrement et déchiffrement Anthropic : les actions kms:Encrypt et kms:Decrypt, qu'Anthropic utilise pour chiffrer et déchiffrer les clés de données qui protègent les données de votre espace de travail (chiffrement par enveloppe).
3. Description Anthropic : la lecture des métadonnées qu'Anthropic effectue au démarrage. Elle est accordée séparément car DescribeKey n'a pas de paramètre EncryptionContext, donc une condition EncryptionContext sur cette action refuserait toujours.

export YOUR_ACCOUNT=$(aws sts get-caller-identity --query Account --output text)

aws kms create-key \
  --region <region> \
  --description "Anthropic CMEK" \
  --key-usage ENCRYPT_DECRYPT \
  --policy "{
    \"Version\": \"2012-10-17\",
    \"Statement\": [
      {
        \"Sid\": \"AccountRootAdmin\",
        \"Effect\": \"Allow\",
        \"Principal\": {\"AWS\": \"arn:aws:iam::${YOUR_ACCOUNT}:root\"},
        \"Action\": \"kms:*\",
        \"Resource\": \"*\"
      },
      {
        \"Sid\": \"AllowAnthropicCMEKCrypto\",
        \"Effect\": \"Allow\",
        \"Principal\": {\"AWS\": \"arn:aws:iam::915198916910:role/anthropic-cmek-client-us\"},
        \"Action\": [\"kms:Encrypt\", \"kms:Decrypt\"],
        \"Resource\": \"*\",
        \"Condition\": {
          \"StringEquals\": {
            \"kms:EncryptionContext:anthropic:compartment_uuid\": [
              \"00000000-0000-0000-0000-000000000000\",
              \"<compartment-uuid>\"
            ]
          }
        }
      },
      {
        \"Sid\": \"AllowAnthropicCMEKDescribe\",
        \"Effect\": \"Allow\",
        \"Principal\": {\"AWS\": \"arn:aws:iam::915198916910:role/anthropic-cmek-client-us\"},
        \"Action\": \"kms:DescribeKey\",
        \"Resource\": \"*\"
      }
    ]
  }"

Récupérez KeyMetadata.Arn dans la sortie. Vous en aurez besoin lorsque vous enregistrerez la clé à l'étape suivante.

La condition EncryptionContext est recommandée mais facultative. Anthropic inclut toujours l'ID de compartiment de votre espace de travail dans le contexte de chiffrement, de sorte que le texte chiffré est cryptographiquement lié à ce compartiment dans tous les cas. L'ajout de la condition fournit une défense en profondeur au niveau de la couche IAM. Pour commencer sans elle, omettez le bloc Condition de la déclaration AllowAnthropicCMEKCrypto et ajoutez-le plus tard avec kms:PutKeyPolicy.

Vous pouvez également créer la clé depuis la console AWS. Choisissez une clé symétrique avec l'usage de clé chiffrement et déchiffrement, une clé mono-région et une origine de matériel de clé KMS. L'assistant de création de clé valide une politique de clé à son étape Review : si vous ajoutez l'ID de compte d'Anthropic 915198916910 sous les autorisations d'utilisation de la clé à cet endroit, la politique générée accorde à l'ensemble du compte Anthropic des actions plus larges (telles que kms:ReEncrypt* et kms:GenerateDataKey*) sans condition EncryptionContext, et la validation réussirait quand même avec celle-ci. Pour éviter de laisser une clé trop permissive, terminez l'assistant avec les autorisations administratives uniquement, puis ouvrez l'onglet Key policy de la clé et remplacez le JSON par la politique limitée au rôle présentée précédemment (les trois déclarations limitées au rôle anthropic-cmek-client-us, avec la condition EncryptionContext).