---
title: Configurer CMEK avec Azure Key Vault
url: https://platform.claude.com/docs/fr/manage-claude/cmek-azure-key-vault
description: Créez une clé Azure Key Vault, donnez à Anthropic l'accès à celle-ci et utilisez-la dans Claude Platform ou Claude Enterprise.
---

Laissez Claude Code configurer cette fonctionnalité pour vous

```text
/claude-api aidez-moi à configurer une clé de chiffrement gérée par le client avec Azure Key Vault
```

## Avant de commencer

Dans Claude :

* Les clés de chiffrement gérées par le client (CMEK) sont [activées pour votre organisation](https://platform.claude.com/docs/fr/manage-claude/cmek#availability).
* Vous disposez de l'ID de votre organisation Anthropic, l'UUID sans le préfixe `org_`. Copiez-le depuis [Organization](https://platform.claude.com/settings/organization) dans la Claude Console, ou depuis **Organization settings > Organization and access** sur claude.ai. La personne qui crée la clé en a besoin.
* Vous êtes Organization Admin sur Claude Platform, ou Owner ou Primary Owner sur Claude Enterprise.
* Sur Claude Platform, vous disposez d'un espace de travail qui [conserve les données](https://platform.claude.com/docs/fr/manage-claude/cmek-data-retention#data-retention), idéalement un nouveau, car [les données existantes restent sous la clé d'Anthropic](https://platform.claude.com/docs/fr/manage-claude/cmek-how-it-works#when-your-key-takes-effect).
* Sur Claude Enterprise, vous savez [quelles fonctionnalités sont désactivées ou modifiées](https://platform.claude.com/docs/fr/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).

Dans Azure :

* Vous pouvez créer des clés dans votre coffre de clés et y attribuer des rôles RBAC.
* Vous pouvez créer des principaux de service dans votre locataire Entra (Application Administrator, Cloud Application Administrator ou un rôle personnalisé équivalent).
* Le coffre dispose d'un paramètre de diagnostic pour la catégorie de journaux `AuditEvent`. Sans celui-ci, les opérations qu'Anthropic effectue avec votre clé ne laissent aucune trace dans le journal d'audit.

## Dans Azure : créer la clé

Après un échec de **Verify** ou de **Add**, consultez les [correctifs pour Azure Key Vault](https://platform.claude.com/docs/fr/manage-claude/cmek-troubleshooting#azure-key-vault).

Ces étapes donnent à l'application multilocataire d'Anthropic l'accès à votre clé :

* **Name :** `anthropic-cmek-client-us`
* **Client ID :** `8635ae1a-3e5d-44e8-a4ed-e0f614466f87`

Utilisez uniquement cet ID client et ce nom, jamais ceux envoyés par e-mail ou par chat. L'application ne demande aucune autorisation Microsoft Graph.

### Vérifier le coffre

Pour obtenir la latence la plus faible, utilisez un coffre situé dans `northcentralus` ou `eastus2`. Exécutez d'abord ceci, dans l'Azure CLI ou Cloud Shell :

```bash
az keyvault show --name <your-vault-name> \
  --query "{rbac:properties.enableRbacAuthorization, purge:properties.enablePurgeProtection, pub:properties.publicNetworkAccess, net:properties.networkAcls.defaultAction, ipRules:properties.networkAcls.ipRules, uri:properties.vaultUri, tenantId:properties.tenantId}"
```

| Champ   | Doit être                                                                                                                                                      |
| ------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `rbac`  | `true`                                                                                                                                                         |
| `purge` | `true`. S'il vaut `false` ou `null`, activez d'abord la protection contre la purge. Vous ne pourrez plus la désactiver.                                        |
| `pub`   | `"Enabled"`. Les points de terminaison privés ne sont pas pris en charge.                                                                                      |
| `net`   | `"Allow"`, ou `"Deny"` avec les [adresses IP sortantes d'Anthropic](https://platform.claude.com/docs/fr/api/ip-addresses#outbound-ip-addresses) dans `ipRules` |

Copiez `uri` (l'URI du coffre) et `tenantId`.

### Créer la clé et accorder l'accès

Sur cette page, `<ORGANIZATION_UUID>` est votre [ID d'organisation Anthropic](https://platform.claude.com/docs/fr/manage-claude/cmek-azure-key-vault#prerequisites) en minuscules. Pour utiliser une clé que vous possédez déjà, [ajoutez d'abord le tag d'organisation](https://platform.claude.com/docs/fr/manage-claude/cmek-azure-key-vault#organization-tag).

<Tabs>
  <Tab title="Portail Azure">
    <Steps>
      <Step title="Créer le principal de service d'Anthropic">
        Ouvrez Cloud Shell depuis la barre de navigation supérieure du portail. Exécutez cette commande :

        ```bash
        az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87
        ```

        Si le principal de service existe déjà, passez à l'étape suivante.
      </Step>

      <Step title="Confirmer que le principal de service existe">
        Accédez à **Microsoft Entra ID > Enterprise applications** et supprimez le filtre de type d'application par défaut. Recherchez `anthropic-cmek-client-us`.

        <Frame caption="Le principal de service anthropic-cmek-client-us dans les applications d'entreprise Entra.">
          ![Vue d'ensemble de l'application d'entreprise Microsoft Entra pour anthropic-cmek-client-us, montrant son Application ID et son Object ID.](https://platform.claude.com/docs/images/cmek/azure-service-principal.png)
        </Frame>
      </Step>

      <Step title="Ouvrir la page Create a key">
        Ouvrez votre coffre de clés et sélectionnez **Keys**. Cliquez sur **Generate/Import**.
      </Step>

      <Step title="Créer une clé RSA dans votre coffre">
        Définissez ces valeurs :

        * **Name :** un nom pour la clé
        * **Key type :** RSA
        * **RSA key size :** 3072 ou plus

        Cliquez sur le lien à côté de **Tags**.
      </Step>

      <Step title="Ajouter le tag d'organisation">
        Saisissez ces valeurs :

        * **Tag Name :** `anthropic-org-<ORGANIZATION_UUID>`
        * **Tag Value :** `true`

        Cliquez sur **OK**, puis sur **Create**.

        <Frame caption="Créez une clé RSA d'une taille de 3072 ou plus, avec le tag anthropic-org-<ORGANIZATION_UUID> défini sur true.">
          ![Page Create a key d'Azure Key Vault avec RSA, une taille de clé de 3072 et le tag anthropic-org défini sur true.](https://platform.claude.com/docs/images/cmek/azure-create-key-tag.png)
        </Frame>
      </Step>

      <Step title="Limiter les opérations autorisées">
        Ouvrez la nouvelle clé, puis ouvrez sa version actuelle. Sous **Permitted operations**, décochez toutes les cases sauf **Wrap Key** et **Unwrap Key**. Cliquez sur **Save**.

        <Frame caption="Limitez les opérations autorisées à Wrap Key et Unwrap Key. La version de la clé affiche le tag d'organisation.">
          ![Version de clé Azure Key Vault avec 1 tag et des Permitted operations limitées à Wrap Key et Unwrap Key.](https://platform.claude.com/docs/images/cmek/azure-permitted-operations-tag.png)
        </Frame>
      </Step>

      <Step title="Ouvrir le contrôle d'accès de la clé">
        Ouvrez la clé elle-même, et non le coffre. Sélectionnez son onglet **Access control (IAM)** et cliquez sur **Add > Add role assignment**.
      </Step>

      <Step title="Sélectionner le rôle">
        Dans l'onglet **Role**, sélectionnez **Key Vault Crypto User**. Cliquez sur **Next**.
      </Step>

      <Step title="Ajouter le principal de service d'Anthropic">
        Dans l'onglet **Members**, cliquez sur **Select members**. Recherchez `anthropic-cmek-client-us` et sélectionnez-le. Cliquez sur **Select**, puis sur **Next**.
      </Step>

      <Step title="Examiner et attribuer">
        Dans l'onglet **Review + assign**, cliquez sur **Review + assign**.
      </Step>
    </Steps>
  </Tab>

  <Tab title="Azure CLI">
    <Steps>
      <Step title="Créer le principal de service d'Anthropic">
        ```bash
        az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87
        ```

        Copiez le champ `id` de la sortie.

        Si la commande se termine par une erreur « already exists », obtenez plutôt l'`id` avec cette commande :

        ```bash
        az ad sp show --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87 --query id -o tsv
        ```
      </Step>

      <Step title="Créer une clé RSA dans votre coffre">
        ```bash
        az keyvault key create \
          --vault-name <your-vault-name> \
          --name <your-key-name> \
          --kty RSA --size 3072 \
          --ops wrapKey unwrapKey \
          --tags anthropic-org-<ORGANIZATION_UUID>=true
        ```

        Remplacez les espaces réservés :

        * **`<your-vault-name>` :** le nom de votre coffre de clés
        * **`<your-key-name>` :** un nom pour la clé
        * **`<ORGANIZATION_UUID>` :** votre ID d'organisation Anthropic en minuscules

        Pour une clé adossée à un HSM, utilisez `--kty RSA-HSM`.
      </Step>

      <Step title="Accorder au principal de service d'Anthropic l'accès à votre clé">
        ```bash
        VAULT_ID=$(az keyvault show --name <your-vault-name> --query id -o tsv)

        az role assignment create \
          --role "Key Vault Crypto User" \
          --assignee-object-id <sp-object-id> \
          --assignee-principal-type ServicePrincipal \
          --scope "${VAULT_ID}/keys/<your-key-name>"
        ```

        Remplacez les espaces réservés :

        * **`<your-vault-name>` :** le nom de votre coffre de clés
        * **`<sp-object-id>` :** la valeur `id` obtenue à la première étape
        * **`<your-key-name>` :** le nom de la clé
      </Step>
    </Steps>
  </Tab>
</Tabs>

La personne qui ajoute la clé dans Claude a besoin de l'URI du coffre, du nom de la clé et de l'ID de locataire.

### Ajouter le tag d'organisation à une clé que vous possédez déjà

La vérification échoue sans le tag d'organisation. La clé doit être de type RSA, de 3072 bits ou plus.

Au lieu de créer une clé, exécutez cette commande dans l'Azure CLI ou Cloud Shell. Elle limite la clé à `wrapKey` et `unwrapKey`. Elle écrase également les tags de la version actuelle ; indiquez donc dans `--tags`, sous la forme `name=value`, tous ceux que vous souhaitez conserver.

```bash
az keyvault key set-attributes \
  --vault-name <your-vault-name> \
  --name <your-key-name> \
  --ops wrapKey unwrapKey \
  --tags anthropic-org-<ORGANIZATION_UUID>=true
```

Vous devez toujours effectuer les étapes relatives au principal de service et à l'attribution de rôle.

## Dans Claude : ajouter et associer la clé

Pour automatiser cette partie par script sur Claude Platform, [utilisez plutôt l'Admin API](https://platform.claude.com/docs/fr/manage-claude/cmek-admin-api).

<Tabs>
  <Tab title="Claude Platform">
    <Steps>
      <Step title="Ouvrir les paramètres des clés de chiffrement">
        Dans la Claude Console, ouvrez la section [Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys) de la page Data retention. Si la section n'y figure pas, sélectionnez **Organization** dans le menu déroulant en haut.
      </Step>

      <Step title="Ajouter la clé">
        Sous **Encryption keys**, cliquez sur **Add key**. Saisissez un **Display name**, sélectionnez **Azure Key Vault**, puis cliquez sur **Continue**.
      </Step>

      <Step title="Saisir les détails de la clé">
        Vérifiez que votre clé possède l'**Organization tag** affiché dans la boîte de dialogue. Saisissez le **Vault URI**, le **Key name** et le **Tenant ID**, laissez **Client ID** vide, puis cliquez sur **Add**.
      </Step>

      <Step title="Vérifier la clé">
        Dans la liste **Encryption keys**, cliquez sur **Verify** à côté de la clé. **Connected** s'affiche lorsque la vérification réussit. Si **Connection failed** s'affiche à la place, consultez [Résoudre les problèmes liés à CMEK](https://platform.claude.com/docs/fr/manage-claude/cmek-troubleshooting).
      </Step>

      <Step title="Associer la clé à un espace de travail">
        <Warning>
          L'association d'une clé [ne peut pas être annulée](https://platform.claude.com/docs/fr/manage-claude/cmek-key-lifecycle#what-each-action-does). Vous ne pouvez pas la retirer de l'espace de travail ni la remplacer. Si la clé est supprimée, Anthropic ne peut pas récupérer les données qu'elle protège.
        </Warning>

        1. En haut de la page Data retention, sélectionnez l'espace de travail dans le menu déroulant.
        2. Sous **Encryption key**, sélectionnez la clé et cliquez sur **Save**.
        3. Cochez la case pour confirmer que vous avez lu la documentation CMEK, puis cliquez sur **Confirm**.

        Vous voyez **Workspace settings updated.** Une fois que la clé [prend effet](https://platform.claude.com/docs/fr/manage-claude/cmek-how-it-works#when-your-key-takes-effect), le journal d'audit de votre fournisseur cloud affiche les appels d'Anthropic à la clé.

        Dans une [organisation ZDR](https://platform.claude.com/docs/fr/manage-claude/cmek-data-retention#zdr-organizations), après avoir sélectionné l'espace de travail, sélectionnez **Standard data retention** pour que **Encryption key** apparaisse. Après avoir cliqué sur **Save**, cliquez sur **Accept** dans les conditions de conservation des données.
      </Step>
    </Steps>
  </Tab>

  <Tab title="Claude Enterprise">
    Sur Claude Enterprise, CMEK s'applique à l'ensemble de l'organisation, et vous ne pouvez ajouter qu'une seule clé.

    <Warning>
      L'ajout d'une clé [ne peut pas être annulé](https://platform.claude.com/docs/fr/manage-claude/cmek-key-lifecycle#what-each-action-does). Vous ne pouvez ni la retirer de l'organisation ni la remplacer. Si la clé est supprimée, Anthropic ne peut pas récupérer les données qu'elle protège.
    </Warning>

    L'ajout de la clé [désactive ou modifie certaines fonctionnalités](https://platform.claude.com/docs/fr/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) pour tous les utilisateurs. Pour essayer CMEK au préalable, utilisez une organisation distincte.

    <Steps>
      <Step title="Ouvrir les paramètres des clés de chiffrement">
        Accédez à [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls) et recherchez **Encryption keys**.
      </Step>

      <Step title="Ajouter la clé">
        Cliquez sur **Add key**. Saisissez un **Display name** et sélectionnez **Azure Key Vault**. Cochez la case pour confirmer que vous avez lu la documentation CMEK, puis cliquez sur **Continue**.
      </Step>

      <Step title="Saisir les détails de la clé">
        Vérifiez que votre clé possède l'**Organization tag** affiché dans la boîte de dialogue. Saisissez le **Vault URI**, le **Key name** et le **Tenant ID**, laissez **Client ID** vide, puis cliquez sur **Add**.
      </Step>

      <Step title="Confirmer que la clé a été ajoutée">
        La vérification peut prendre jusqu'à 30 secondes. Lorsque **Encryption key configured.** s'affiche, cliquez sur **Done**. Si **The encryption key couldn’t be added.** s'affiche à la place, [trouvez la cause et réessayez](https://platform.claude.com/docs/fr/manage-claude/cmek-troubleshooting#claude-ai-add-fails).

        Votre clé protège les données écrites à partir de ce moment. Indiquez à vos utilisateurs [quelles fonctionnalités ont changé](https://platform.claude.com/docs/fr/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).
      </Step>
    </Steps>
  </Tab>
</Tabs>