Claude Platform Docs
AdministrationConfigurer CMEK

Configurer CMEK avec Azure Key Vault

Créez une clé Azure Key Vault, donnez à Anthropic l'accès à celle-ci et utilisez-la dans Claude Platform ou Claude Enterprise.

Claude Code

Laissez Claude Code configurer cette fonctionnalité pour vous

/claude-api aidez-moi à configurer une clé de chiffrement gérée par le client avec Azure Key Vault

Avant de commencer

Dans Claude :

Dans Azure :

  • Vous pouvez créer des clés dans votre coffre de clés et y attribuer des rôles RBAC.
  • Vous pouvez créer des principaux de service dans votre locataire Entra (Application Administrator, Cloud Application Administrator ou un rôle personnalisé équivalent).
  • Le coffre dispose d'un paramètre de diagnostic pour la catégorie de journaux AuditEvent. Sans celui-ci, les opérations qu'Anthropic effectue avec votre clé ne laissent aucune trace dans le journal d'audit.

Dans Azure : créer la clé

Après un échec de Verify ou de Add, consultez les correctifs pour Azure Key Vault.

Ces étapes donnent à l'application multilocataire d'Anthropic l'accès à votre clé :

  • Name : anthropic-cmek-client-us
  • Client ID : 8635ae1a-3e5d-44e8-a4ed-e0f614466f87

Utilisez uniquement cet ID client et ce nom, jamais ceux envoyés par e-mail ou par chat. L'application ne demande aucune autorisation Microsoft Graph.

Vérifier le coffre

Pour obtenir la latence la plus faible, utilisez un coffre situé dans northcentralus ou eastus2. Exécutez d'abord ceci, dans l'Azure CLI ou Cloud Shell :

az keyvault show --name <your-vault-name> \
  --query "{rbac:properties.enableRbacAuthorization, purge:properties.enablePurgeProtection, pub:properties.publicNetworkAccess, net:properties.networkAcls.defaultAction, ipRules:properties.networkAcls.ipRules, uri:properties.vaultUri, tenantId:properties.tenantId}"
ChampDoit être
rbactrue
purgetrue. S'il vaut false ou null, activez d'abord la protection contre la purge. Vous ne pourrez plus la désactiver.
pub"Enabled". Les points de terminaison privés ne sont pas pris en charge.
net"Allow", ou "Deny" avec les adresses IP sortantes d'Anthropic dans ipRules

Copiez uri (l'URI du coffre) et tenantId.

Créer la clé et accorder l'accès

Sur cette page, <ORGANIZATION_UUID> est votre ID d'organisation Anthropic en minuscules. Pour utiliser une clé que vous possédez déjà, ajoutez d'abord le tag d'organisation.

  1. Créer le principal de service d'Anthropic

    Ouvrez Cloud Shell depuis la barre de navigation supérieure du portail. Exécutez cette commande :

    az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87

    Si le principal de service existe déjà, passez à l'étape suivante.

  2. Confirmer que le principal de service existe

    Accédez à Microsoft Entra ID > Enterprise applications et supprimez le filtre de type d'application par défaut. Recherchez anthropic-cmek-client-us.

    Vue d'ensemble de l'application d'entreprise Microsoft Entra pour anthropic-cmek-client-us, montrant son Application ID et son Object ID.

    Le principal de service anthropic-cmek-client-us dans les applications d'entreprise Entra.

  3. Ouvrir la page Create a key

    Ouvrez votre coffre de clés et sélectionnez Keys. Cliquez sur Generate/Import.

  4. Créer une clé RSA dans votre coffre

    Définissez ces valeurs :

    • Name : un nom pour la clé
    • Key type : RSA
    • RSA key size : 3072 ou plus

    Cliquez sur le lien à côté de Tags.

  5. Ajouter le tag d'organisation

    Saisissez ces valeurs :

    • Tag Name : anthropic-org-<ORGANIZATION_UUID>
    • Tag Value : true

    Cliquez sur OK, puis sur Create.

    Page Create a key d'Azure Key Vault avec RSA, une taille de clé de 3072 et le tag anthropic-org défini sur true.

    Créez une clé RSA d'une taille de 3072 ou plus, avec le tag anthropic-org-<ORGANIZATION_UUID> défini sur true.

  6. Limiter les opérations autorisées

    Ouvrez la nouvelle clé, puis ouvrez sa version actuelle. Sous Permitted operations, décochez toutes les cases sauf Wrap Key et Unwrap Key. Cliquez sur Save.

    Version de clé Azure Key Vault avec 1 tag et des Permitted operations limitées à Wrap Key et Unwrap Key.

    Limitez les opérations autorisées à Wrap Key et Unwrap Key. La version de la clé affiche le tag d'organisation.

  7. Ouvrir le contrôle d'accès de la clé

    Ouvrez la clé elle-même, et non le coffre. Sélectionnez son onglet Access control (IAM) et cliquez sur Add > Add role assignment.

  8. Sélectionner le rôle

    Dans l'onglet Role, sélectionnez Key Vault Crypto User. Cliquez sur Next.

  9. Ajouter le principal de service d'Anthropic

    Dans l'onglet Members, cliquez sur Select members. Recherchez anthropic-cmek-client-us et sélectionnez-le. Cliquez sur Select, puis sur Next.

  10. Examiner et attribuer

    Dans l'onglet Review + assign, cliquez sur Review + assign.

La personne qui ajoute la clé dans Claude a besoin de l'URI du coffre, du nom de la clé et de l'ID de locataire.

Ajouter le tag d'organisation à une clé que vous possédez déjà

La vérification échoue sans le tag d'organisation. La clé doit être de type RSA, de 3072 bits ou plus.

Au lieu de créer une clé, exécutez cette commande dans l'Azure CLI ou Cloud Shell. Elle limite la clé à wrapKey et unwrapKey. Elle écrase également les tags de la version actuelle ; indiquez donc dans --tags, sous la forme name=value, tous ceux que vous souhaitez conserver.

az keyvault key set-attributes \
  --vault-name <your-vault-name> \
  --name <your-key-name> \
  --ops wrapKey unwrapKey \
  --tags anthropic-org-<ORGANIZATION_UUID>=true

Vous devez toujours effectuer les étapes relatives au principal de service et à l'attribution de rôle.

Dans Claude : ajouter et associer la clé

Pour automatiser cette partie par script sur Claude Platform, utilisez plutôt l'Admin API.

  1. Ouvrir les paramètres des clés de chiffrement

    Dans la Claude Console, ouvrez la section Encryption keys de la page Data retention. Si la section n'y figure pas, sélectionnez Organization dans le menu déroulant en haut.

  2. Ajouter la clé

    Sous Encryption keys, cliquez sur Add key. Saisissez un Display name, sélectionnez Azure Key Vault, puis cliquez sur Continue.

  3. Saisir les détails de la clé

    Vérifiez que votre clé possède l'Organization tag affiché dans la boîte de dialogue. Saisissez le Vault URI, le Key name et le Tenant ID, laissez Client ID vide, puis cliquez sur Add.

  4. Vérifier la clé

    Dans la liste Encryption keys, cliquez sur Verify à côté de la clé. Connected s'affiche lorsque la vérification réussit. Si Connection failed s'affiche à la place, consultez Résoudre les problèmes liés à CMEK.

  5. Associer la clé à un espace de travail

    1. En haut de la page Data retention, sélectionnez l'espace de travail dans le menu déroulant.
    2. Sous Encryption key, sélectionnez la clé et cliquez sur Save.
    3. Cochez la case pour confirmer que vous avez lu la documentation CMEK, puis cliquez sur Confirm.

    Vous voyez Workspace settings updated. Une fois que la clé prend effet, le journal d'audit de votre fournisseur cloud affiche les appels d'Anthropic à la clé.

    Dans une organisation ZDR, après avoir sélectionné l'espace de travail, sélectionnez Standard data retention pour que Encryption key apparaisse. Après avoir cliqué sur Save, cliquez sur Accept dans les conditions de conservation des données.

Was this page helpful?