Configurer CMEK sur Claude Platform on AWS

Ce guide explique comment utiliser une clé AWS KMS en tant que clé de chiffrement gérée par le client (CMEK) sur Claude Platform on AWS. Pour Claude Platform ou Claude Enterprise, suivez plutôt Configurer AWS KMS pour CMEK.

Prérequis

• Le compte AWS qui héberge votre organisation Claude Platform on AWS, avec les autorisations de créer des clés KMS et de définir des politiques de clé (kms:CreateKey et kms:PutKeyPolicy).

• Pour créer la clé depuis la ligne de commande, l'AWS CLI installée et authentifiée.

• Le rôle Admin dans la Claude Console pour Claude Platform on AWS. Consultez Utiliser la Claude Console.

• Les autorisations suivantes pour le principal IAM avec lequel vous vous connectez à la Claude Console :

  • Se connecter : aws-external-anthropic:AssumeConsole
  • Enregistrer une clé : aws-external-anthropic:RegisterKey
  • Afficher les clés enregistrées : aws-external-anthropic:ListKeys et aws-external-anthropic:GetKey
  • Attacher une clé : aws-external-anthropic:UpdateWorkspace ou aws-external-anthropic:CreateWorkspace, ainsi que kms:DescribeKey, kms:Encrypt et kms:Decrypt sur la clé
  • Choisir la clé dans une liste (facultatif) : kms:ListKeys et kms:DescribeKey

  aws-external-anthropic:RegisterKey, aws-external-anthropic:ListKeys, aws-external-anthropic:GetKey et aws-external-anthropic:CreateWorkspace sont à portée de compte. Accordez-les sur Resource: "*". Consultez Actions IAM.

Principal de service AWS pour Anthropic

La politique de clé de ce guide accorde au principal de service AWS suivant l'accès à votre clé :

aws-external-anthropic.amazonaws.com

Configuration de la clé de chiffrement

Préparer la politique de clé

Copiez cette politique dans un éditeur de texte :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AccountRootAdmin",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<AWS_ACCOUNT_ID>:root"
      },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "AllowClaudePlatformOnAWSCrypto",
      "Effect": "Allow",
      "Principal": {
        "Service": "aws-external-anthropic.amazonaws.com"
      },
      "Action": ["kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKey"],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
        }
      }
    },
    {
      "Sid": "AllowClaudePlatformOnAWSDescribe",
      "Effect": "Allow",
      "Principal": {
        "Service": "aws-external-anthropic.amazonaws.com"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    }
  ]
}

La condition EncryptionContext est facultative. Elle limite la clé aux espaces de travail que vous listez. Pour la retirer, supprimez le bloc Condition de l'instruction AllowClaudePlatformOnAWSCrypto.

Si vous conservez la condition, ajoutez l'ID de compartiment de chaque espace de travail avant d'y attacher la clé. Pour un nouvel espace de travail :

1. Créez l'espace de travail sans la clé.
2. Ajoutez son ID de compartiment à la politique.
3. Attachez la clé.

Si vous ajoutez la condition ultérieurement, listez l'ID de compartiment de chaque espace de travail auquel la clé est déjà attachée.

Pour restreindre davantage la politique de clé, consultez la condition aws:SourceArn facultative.

Remplacez les espaces réservés :

• <AWS_ACCOUNT_ID> : votre ID de compte AWS. Pour l'afficher avec l'AWS CLI, exécutez aws sts get-caller-identity --query Account --output text.
• <COMPARTMENT_UUID> : l'ID de compartiment de l'espace de travail auquel vous attachez la clé

Créer la clé

Créez la clé dans le compte AWS qui héberge votre organisation Claude Platform on AWS, dans la même région que l'espace de travail.

aws kms create-key \
  --region <REGION> \
  --description "Anthropic CMEK" \
  --key-usage ENCRYPT_DECRYPT \
  --policy file://key-policy.json

Enregistrer la clé auprès d'Anthropic

Connectez-vous à la Claude Console via AWS avec le rôle Admin.

1. 1

   Ouvrir les paramètres des clés de chiffrement

   Dans la Claude Console, accédez à la page Data retention (platform.claude.com/settings/privacy). Si vous ne voyez pas Encryption keys, sélectionnez Organization dans le menu déroulant en haut de la page.

2. 2

   Ajouter la clé

   Sous Encryption keys, cliquez sur Add key. Saisissez un Display name.

3. 3

   Saisir l'ARN de la clé

   Anthropic rejette les ARN d'alias et les clés multi-régions.

   Dans KMS key ARN, collez l'ARN de la clé. Si une liste de clés apparaît à la place, sélectionnez votre clé, ou cliquez sur Enter ARN manually et collez l'ARN. Cliquez sur Add.

4. 4

   Attacher la clé à un espace de travail

   L'attachement d'une clé est irréversible. Si possible, attachez-la à un nouvel espace de travail avant que celui-ci ne reçoive des requêtes. Dans un espace de travail qui reçoit déjà des requêtes, la clé peut mettre jusqu'à un jour pour prendre effet.

   Sur la page Data retention, sélectionnez l'espace de travail dans le menu déroulant en haut de la page. Sous Encryption key, sélectionnez la clé et cliquez sur Save.

5. 5

   Confirmer la modification

   Cochez la case pour confirmer que vous avez lu la documentation CMEK, puis cliquez sur Confirm.

L'attachement valide la clé. S'il échoue avec une erreur d'accès KMS, consultez Résoudre les problèmes de validation.

Vous pouvez également sélectionner une clé lorsque vous créez un espace de travail dans la Claude Console, si votre politique de clé ne comporte pas de condition EncryptionContext.

Pour enregistrer et attacher des clés avec l'API à la place, consultez Actions IAM. L'API identifie une clé par son ARN de clé KMS.

Résoudre les problèmes de validation

Si la validation échoue, les causes courantes sont :

• Incompatibilité de la politique de clé : assurez-vous que la politique de clé correspond à celle de Préparer la politique de clé. Pour vérifier la politique de clé, exécutez aws kms get-key-policy --region <REGION> --key-id <KEY_ARN> --policy-name default.
• Incompatibilité de la condition : assurez-vous que toute condition EncryptionContext ou aws:SourceArn inclut cet espace de travail.
• État ou emplacement de la clé : vérifiez que la clé est activée, à région unique, et qu'elle se trouve dans le même compte AWS et la même région que l'espace de travail.
• Autorisations manquantes : le principal avec lequel vous êtes connecté a besoin de kms:DescribeKey, kms:Encrypt et kms:Decrypt sur la clé.
• Politiques d'organisation : assurez-vous qu'aucune service control policy ni resource control policy de votre organisation AWS ne bloque le principal de service ou votre principal.

Si l'attachement échoue toujours, recherchez l'événement kms: refusé dans CloudTrail dans le compte de la clé. Il indique le principal appelant et, pour les appels cryptographiques, le contexte de chiffrement. Après avoir corrigé la cause, cliquez à nouveau sur Save.

Terraform

Pour créer la clé avec Terraform, utilisez les ressources aws_kms_key et aws_kms_alias du fournisseur aws.