Limiter une clé AWS KMS à des espaces de travail spécifiques

La stratégie de clé issue de la configuration permet à chaque espace de travail de votre organisation d'utiliser la clé. Avec cette condition facultative, un espace de travail qui n'est pas répertorié ne peut pas l'utiliser.

Ajoutez l'ID de compartiment d'un espace de travail à la stratégie avant d'associer la clé à cet espace de travail. Pour un nouvel espace de travail, cela signifie le créer sans la clé.

Copier l'ID de compartiment de l'espace de travail

Dans la Claude Console, ouvrez la page Data retention et sélectionnez l'espace de travail dans le menu déroulant en haut. Copiez le Compartment ID sous Encryption key. Le point de terminaison Get Workspace le renvoie sous la forme compartment_id.

Une organisation Claude Enterprise possède un seul ID de compartiment. Copiez-le depuis votre clé sous Encryption keys dans claude.ai > Organization settings > Data and privacy.

Ajouter la condition à la stratégie de clé

Remplacez la déclaration AllowAnthropicCMEKCrypto par celle-ci. Renseignez l'ID de votre organisation Anthropic et l'ID de compartiment de chaque espace de travail qui utilise la clé. Une clé qui protège déjà des données nécessite une déclaration supplémentaire.

{
  "Sid": "AllowAnthropicCMEKCrypto",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
  },
  "Action": ["kms:Encrypt", "kms:Decrypt"],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:anthropic:org_uuid": ["<ORGANIZATION_UUID>"]
    },
    "StringEqualsIfExists": {
      "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
    }
  }
}

Remplacer la stratégie de clé d'une clé existante

1. Dans la console AWS KMS, ouvrez la clé et cliquez sur l'onglet Key policy.
2. Si vous voyez Switch to policy view, cliquez dessus.
3. Cliquez sur Edit.
4. Remplacez le JSON par votre stratégie de clé.
5. Cliquez sur Save changes.