--- title: Configurer CMEK avec AWS KMS url: https://platform.claude.com/docs/fr/manage-claude/cmek-aws-kms description: Créez une clé AWS KMS, donnez à Anthropic l'accès à celle-ci et utilisez-la dans Claude Platform ou Claude Enterprise. --- Laissez Claude Code configurer cette fonctionnalité pour vous ```text /claude-api aide-moi à configurer une clé de chiffrement gérée par le client avec AWS KMS ``` Si la barre latérale de votre Claude Console affiche **Account managed by AWS**, suivez plutôt [Configurer CMEK sur Claude Platform on AWS](https://platform.claude.com/docs/fr/manage-claude/cmek-claude-platform-on-aws). ## Avant de commencer Dans Claude : * Les clés de chiffrement gérées par le client (CMEK) sont [activées pour votre organisation](https://platform.claude.com/docs/fr/manage-claude/cmek#availability). * Vous disposez de l'ID de votre organisation Anthropic, l'UUID sans le préfixe `org_`. Copiez-le depuis [Organization](https://platform.claude.com/settings/organization) dans la Claude Console, ou depuis **Organization settings > Organization and access** sur claude.ai. La personne qui crée la clé en a besoin. * Vous êtes Organization Admin sur Claude Platform, ou Owner ou Primary Owner sur Claude Enterprise. * Sur Claude Platform, vous disposez d'un espace de travail qui [conserve les données](https://platform.claude.com/docs/fr/manage-claude/cmek-data-retention#data-retention), idéalement un nouveau, car [les données existantes restent sous la clé d'Anthropic](https://platform.claude.com/docs/fr/manage-claude/cmek-how-it-works#when-your-key-takes-effect). * Sur Claude Enterprise, vous savez [quelles fonctionnalités sont désactivées ou modifiées](https://platform.claude.com/docs/fr/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed). Dans AWS : * Vous pouvez créer des clés AWS KMS et définir leurs stratégies de clé (`kms:CreateKey` et `kms:PutKeyPolicy`). * Toute restriction d'adresse IP sur l'accès à AWS KMS autorise les [adresses IP sortantes d'Anthropic](https://platform.claude.com/docs/fr/api/ip-addresses#outbound-ip-addresses). ## Dans AWS : créer la clé Après un échec de **Verify** ou **Add**, consultez les [solutions pour AWS KMS](https://platform.claude.com/docs/fr/manage-claude/cmek-troubleshooting#aws-kms). ### Rédiger la stratégie de clé Cette stratégie donne au rôle IAM d'Anthropic l'accès à votre clé. Utilisez uniquement l'ARN de rôle publié sur cette page, jamais un ARN envoyé par e-mail ou par chat. Copiez la stratégie dans un éditeur de texte : ```json key-policy.json { "Version": "2012-10-17", "Statement": [ { "Sid": "AccountRootAdmin", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam:::root" }, "Action": "kms:*", "Resource": "*" }, { "Sid": "AllowAnthropicCMEKCrypto", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": ["kms:Encrypt", "kms:Decrypt"], "Resource": "*", "Condition": { "StringEquals": { "kms:EncryptionContext:anthropic:org_uuid": [""] } } }, { "Sid": "AllowAnthropicCMEKDescribe", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": "kms:DescribeKey", "Resource": "*" } ] } ``` Remplacez `` par votre [ID de compte AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/console-account-id.html) et `` par votre [ID d'organisation Anthropic](https://platform.claude.com/docs/fr/manage-claude/cmek-aws-kms#prerequisites). Conservez la condition `kms:EncryptionContext:anthropic:org_uuid`, sinon la vérification échoue. Vous pouvez également [limiter la clé à des espaces de travail spécifiques](https://platform.claude.com/docs/fr/manage-claude/cmek-aws-kms-workspaces) en listant leurs ID de compartiment. Si vous remplacez la stratégie d'une clé qui protège déjà des données Claude, [ajoutez une déclaration de stratégie supplémentaire](https://platform.claude.com/docs/fr/manage-claude/cmek-troubleshooting#existing-data). ### Créer la clé Vous pouvez créer la clé dans n'importe quelle région commerciale AWS. Pour la latence la plus faible, utilisez `us-east-2`. Pour utiliser une clé que vous avez déjà dans AWS KMS, [remplacez sa stratégie de clé](https://platform.claude.com/docs/fr/manage-claude/cmek-aws-kms-workspaces#replace-the-key-policy). Ouvrez la [console AWS KMS](https://console.aws.amazon.com/kms) et passez à la région de la clé. Accédez à **Customer managed keys** et cliquez sur **Create key**. Assurez-vous que ces options sont sélectionnées : * **Key type:** Symmetric * **Key usage:** Encrypt and decrypt * **Advanced options > Key material origin:** KMS * **Advanced options > Regionality:** Single-Region key Cliquez sur **Next**. ![Étape Configure key d'AWS KMS avec le type de clé Symmetric, l'utilisation de clé Encrypt and decrypt et Single-Region key sélectionnés.](https://platform.claude.com/docs/images/cmek/aws-configure-key.png) Saisissez un **Alias** pour la clé, par exemple `anthropic-cmek`. Cliquez sur **Next**. ![Étape Add labels d'AWS KMS avec l'alias anthropic-cmek et la description Anthropic CMEK.](https://platform.claude.com/docs/images/cmek/aws-add-labels.png) Ne sélectionnez aucun administrateur de clé. Votre stratégie de clé donne déjà à votre compte AWS un contrôle administratif complet. Cliquez sur **Next**. ![Étape Define key administrative permissions d'AWS KMS listant les rôles IAM pouvant administrer la clé.](https://platform.claude.com/docs/images/cmek/aws-admin-permissions.png) Ne sélectionnez aucun utilisateur de clé et n'ajoutez rien sous **Other AWS accounts**. Votre stratégie de clé accorde déjà l'accès nécessaire. Cliquez sur **Next**. Cliquez sur **Edit**. Remplacez l'intégralité de la stratégie par votre stratégie de clé, puis cliquez sur **Next**. Cliquez sur **Finish**. Dans **Customer managed keys**, ouvrez la nouvelle clé et copiez son ARN. La personne qui ajoute la clé dans Claude en a besoin. Enregistrez votre stratégie de clé sous le nom `key-policy.json`, puis créez la clé. Remplacez `` par la région de la clé. ```bash aws kms create-key \ --region \ --description "Anthropic CMEK" \ --key-usage ENCRYPT_DECRYPT \ --policy file://key-policy.json ``` Copiez `KeyMetadata.Arn` depuis la sortie. La personne qui ajoute la clé dans Claude a besoin de l'ARN. Chaque vérification de la clé dans Claude ajoute à CloudTrail quatre erreurs d'accès refusé attendues. Vous pouvez [les filtrer](https://platform.claude.com/docs/fr/manage-claude/cmek-troubleshooting#cloudtrail). ## Dans Claude : ajouter et associer la clé Pour automatiser cette partie par script sur Claude Platform, [utilisez plutôt l'Admin API](https://platform.claude.com/docs/fr/manage-claude/cmek-admin-api). Dans la Claude Console, ouvrez la section [Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys) de la page Data retention. Si la section n'y figure pas, sélectionnez **Organization** dans le menu déroulant en haut. Sous **Encryption keys**, cliquez sur **Add key**. Saisissez un **Display name**, sélectionnez **AWS KMS**, puis cliquez sur **Continue**. Vérifiez que votre [stratégie de clé](https://platform.claude.com/docs/fr/manage-claude/cmek-aws-kms#key-policy) contient l'**Organization ID for the key policy** affiché dans la boîte de dialogue. Collez l'ARN de la clé dans **KMS key ARN** et cliquez sur **Add**. Dans la liste **Encryption keys**, cliquez sur **Verify** à côté de la clé. **Connected** s'affiche lorsque la vérification réussit. Si **Connection failed** s'affiche à la place, consultez [Résoudre les problèmes liés à CMEK](https://platform.claude.com/docs/fr/manage-claude/cmek-troubleshooting). L'association d'une clé [ne peut pas être annulée](https://platform.claude.com/docs/fr/manage-claude/cmek-key-lifecycle#what-each-action-does). Vous ne pouvez pas la retirer de l'espace de travail ni la remplacer. Si la clé est supprimée, Anthropic ne peut pas récupérer les données qu'elle protège. 1. En haut de la page Data retention, sélectionnez l'espace de travail dans le menu déroulant. 2. Sous **Encryption key**, sélectionnez la clé et cliquez sur **Save**. 3. Cochez la case pour confirmer que vous avez lu la documentation CMEK, puis cliquez sur **Confirm**. Vous voyez **Workspace settings updated.** Une fois que la clé [prend effet](https://platform.claude.com/docs/fr/manage-claude/cmek-how-it-works#when-your-key-takes-effect), le journal d'audit de votre fournisseur cloud affiche les appels d'Anthropic à la clé. Dans une [organisation ZDR](https://platform.claude.com/docs/fr/manage-claude/cmek-data-retention#zdr-organizations), après avoir sélectionné l'espace de travail, sélectionnez **Standard data retention** pour que **Encryption key** apparaisse. Après avoir cliqué sur **Save**, cliquez sur **Accept** dans les conditions de conservation des données. Sur Claude Enterprise, CMEK s'applique à l'ensemble de l'organisation, et vous ne pouvez ajouter qu'une seule clé. L'ajout d'une clé [ne peut pas être annulé](https://platform.claude.com/docs/fr/manage-claude/cmek-key-lifecycle#what-each-action-does). Vous ne pouvez ni la retirer de l'organisation ni la remplacer. Si la clé est supprimée, Anthropic ne peut pas récupérer les données qu'elle protège. L'ajout de la clé [désactive ou modifie certaines fonctionnalités](https://platform.claude.com/docs/fr/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) pour tous les utilisateurs. Pour essayer CMEK au préalable, utilisez une organisation distincte. Accédez à [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls) et recherchez **Encryption keys**. Cliquez sur **Add key**. Saisissez un **Display name** et sélectionnez **AWS KMS**. Cochez la case pour confirmer que vous avez lu la documentation CMEK, puis cliquez sur **Continue**. Vérifiez que votre [stratégie de clé](https://platform.claude.com/docs/fr/manage-claude/cmek-aws-kms#key-policy) contient l'**Organization ID for the key policy** affiché dans la boîte de dialogue. Collez l'ARN de la clé dans **KMS key ARN** et cliquez sur **Add**. La vérification peut prendre jusqu'à 30 secondes. Lorsque **Encryption key configured.** s'affiche, cliquez sur **Done**. Si **The encryption key couldn’t be added.** s'affiche à la place, [trouvez la cause et réessayez](https://platform.claude.com/docs/fr/manage-claude/cmek-troubleshooting#claude-ai-add-fails). Votre clé protège les données écrites à partir de ce moment. Indiquez à vos utilisateurs [quelles fonctionnalités ont changé](https://platform.claude.com/docs/fr/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).