--- title: Configurer CMEK sur Claude Platform on AWS url: https://platform.claude.com/docs/fr/manage-claude/cmek-claude-platform-on-aws description: Utilisez une clé AWS KMS comme clé de chiffrement gérée par le client sur Claude Platform on AWS. --- Ce guide explique comment utiliser une clé [AWS KMS](https://aws.amazon.com/kms/) en tant que [clé de chiffrement gérée par le client (CMEK)](https://platform.claude.com/docs/fr/manage-claude/cmek) sur [Claude Platform on AWS](https://platform.claude.com/docs/fr/build-with-claude/claude-platform-on-aws). Pour Claude Platform ou Claude Enterprise, suivez plutôt [Configurer AWS KMS pour CMEK](https://platform.claude.com/docs/fr/manage-claude/cmek-aws-kms). L'activation de CMEK est permanente. Si votre clé KMS est supprimée ou désactivée, Anthropic ne peut pas récupérer les données chiffrées avec celle-ci. Consultez les [avertissements et limitations](https://platform.claude.com/docs/fr/manage-claude/cmek) avant de commencer. ## Prérequis * Le compte AWS qui héberge votre organisation Claude Platform on AWS, avec les autorisations de créer des clés KMS et de définir des politiques de clé (`kms:CreateKey` et `kms:PutKeyPolicy`). * Pour créer la clé depuis la ligne de commande, l'[AWS CLI](https://aws.amazon.com/cli/) installée et authentifiée. * Le rôle **Admin** dans la Claude Console pour Claude Platform on AWS. Consultez [Utiliser la Claude Console](https://platform.claude.com/docs/fr/build-with-claude/claude-platform-on-aws#using-the-claude-console). * Les autorisations suivantes pour le principal IAM avec lequel vous vous connectez à la Claude Console : * **Se connecter :** `aws-external-anthropic:AssumeConsole` * **Enregistrer une clé :** `aws-external-anthropic:RegisterKey` * **Afficher les clés enregistrées :** `aws-external-anthropic:ListKeys` et `aws-external-anthropic:GetKey` * **Attacher une clé :** `aws-external-anthropic:UpdateWorkspace` ou `aws-external-anthropic:CreateWorkspace`, ainsi que `kms:DescribeKey`, `kms:Encrypt` et `kms:Decrypt` sur la clé * **Choisir la clé dans une liste (facultatif) :** `kms:ListKeys` et `kms:DescribeKey` `aws-external-anthropic:RegisterKey`, `aws-external-anthropic:ListKeys`, `aws-external-anthropic:GetKey` et `aws-external-anthropic:CreateWorkspace` sont à portée de compte. Accordez-les sur `Resource: "*"`. Consultez [Actions IAM](https://platform.claude.com/docs/fr/api/claude-platform-on-aws-iam-actions#encryption-keys). ## Principal de service AWS pour Anthropic La politique de clé de ce guide accorde au principal de service AWS suivant l'accès à votre clé : ```text wrap aws-external-anthropic.amazonaws.com ``` Utilisez uniquement ce nom de principal de service publié. Ne faites jamais confiance à un identifiant fourni par e-mail, chat ou tout autre canal d'intégration. ## Configuration de la clé de chiffrement ### Préparer la politique de clé Copiez cette politique dans un éditeur de texte : ```json key-policy.json { "Version": "2012-10-17", "Statement": [ { "Sid": "AccountRootAdmin", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam:::root" }, "Action": "kms:*", "Resource": "*" }, { "Sid": "AllowClaudePlatformOnAWSCrypto", "Effect": "Allow", "Principal": { "Service": "aws-external-anthropic.amazonaws.com" }, "Action": ["kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKey"], "Resource": "*", "Condition": { "StringEquals": { "kms:EncryptionContext:anthropic:compartment_uuid": [""] } } }, { "Sid": "AllowClaudePlatformOnAWSDescribe", "Effect": "Allow", "Principal": { "Service": "aws-external-anthropic.amazonaws.com" }, "Action": "kms:DescribeKey", "Resource": "*" } ] } ``` La condition `EncryptionContext` est facultative. Elle limite la clé aux espaces de travail que vous listez. Pour la retirer, supprimez le bloc `Condition` de l'instruction `AllowClaudePlatformOnAWSCrypto`. Si vous conservez la condition, ajoutez l'ID de compartiment de chaque espace de travail avant d'y attacher la clé. Pour un nouvel espace de travail : 1. Créez l'espace de travail sans la clé. 2. Ajoutez son ID de compartiment à la politique. 3. Attachez la clé. Si vous ajoutez la condition ultérieurement, listez l'ID de compartiment de chaque espace de travail auquel la clé est déjà attachée. Pour restreindre davantage la politique de clé, consultez la [condition `aws:SourceArn` facultative](https://platform.claude.com/docs/fr/manage-claude/cmek-claude-platform-on-aws#source-arn-condition). Remplacez les espaces réservés : * **`` :** votre [ID de compte AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/console-account-id.html). Pour l'afficher avec l'AWS CLI, exécutez `aws sts get-caller-identity --query Account --output text`. * **`` :** l'ID de compartiment de l'espace de travail auquel vous attachez la clé **Trouver votre ID de compartiment :** dans la Claude Console, accédez à la page [Data retention](https://platform.claude.com/settings/privacy) (`platform.claude.com/settings/privacy`). Sélectionnez l'espace de travail dans le menu déroulant en haut de la page. L'ID se trouve sous **Encryption key**, dans le champ **Compartment ID**. Vous pouvez également lire le champ `compartment_id` renvoyé par le point de terminaison [Get Workspace](https://platform.claude.com/docs/fr/api/organization/workspaces/retrieve). ### Créer la clé Créez la clé dans le compte AWS qui héberge votre organisation Claude Platform on AWS, dans la même région que l'espace de travail. Ouvrez la [console AWS KMS](https://console.aws.amazon.com/kms) et basculez vers la région de la clé. Accédez à **Customer managed keys** et cliquez sur **Create key**. Assurez-vous que ces options sont sélectionnées : * **Key type :** Symmetric * **Key usage :** Encrypt and decrypt * **Advanced options > Key material origin :** KMS * **Advanced options > Regionality :** Single-Region key Cliquez sur **Next**. ![Assistant de création de clé AWS KMS à l'étape Configure key, où sont sélectionnés le type de clé Symmetric (symétrique), l'utilisation de clé Encrypt and decrypt (chiffrement et déchiffrement) et l'option Single-Region key (clé à région unique).](https://platform.claude.com/docs/images/cmek/aws-configure-key.png) Saisissez un **Alias** pour la clé, tel que `anthropic-cmek`. Cliquez sur **Next**. ![Étape Add labels d'AWS KMS, avec l'alias anthropic-cmek et la description Anthropic CMEK.](https://platform.claude.com/docs/images/cmek/aws-add-labels.png) Ne sélectionnez aucun administrateur de clé. Votre politique de clé donne déjà à votre compte AWS un contrôle administratif complet. Cliquez sur **Next**. ![Étape Define key administrative permissions d'AWS KMS, qui répertorie les rôles IAM pouvant administrer la clé.](https://platform.claude.com/docs/images/cmek/aws-admin-permissions.png) Ne sélectionnez aucun utilisateur de clé et n'ajoutez rien sous **Other AWS accounts**. Votre politique de clé accorde déjà l'accès nécessaire. Cliquez sur **Next**. Cliquez sur **Edit**. Remplacez l'intégralité de la politique par votre politique de clé, puis cliquez sur **Next**. Cliquez sur **Finish**. Dans **Customer managed keys**, ouvrez la nouvelle clé et copiez son ARN. Vous avez besoin de l'ARN pour enregistrer la clé. Pour remplacer la politique de clé d'une clé existante : 1. Ouvrez la clé et cliquez sur l'onglet **Key policy**. 2. Si vous voyez **Switch to policy view**, cliquez dessus. 3. Cliquez sur **Edit**. 4. Remplacez le JSON par votre politique de clé. 5. Cliquez sur **Save changes**. Enregistrez votre politique de clé sous le nom `key-policy.json`, puis créez la clé. Remplacez `` par la région de la clé. ```bash aws kms create-key \ --region \ --description "Anthropic CMEK" \ --key-usage ENCRYPT_DECRYPT \ --policy file://key-policy.json ``` Copiez `KeyMetadata.Arn` depuis la sortie. Vous en avez besoin pour enregistrer la clé. **Facultatif :** pour restreindre davantage les deux instructions du principal de service, ajoutez une condition `aws:SourceArn` à chacune. L'ARN source de chaque appel est l'[ARN de l'espace de travail](https://platform.claude.com/docs/fr/api/claude-platform-on-aws-iam-actions#service-details), sous la forme `arn:aws:aws-external-anthropic:::workspace/`. * **Tous les espaces de travail de votre compte AWS :** `"ArnLike": {"aws:SourceArn": "arn:aws:aws-external-anthropic:*::workspace/*"}` * **Des espaces de travail spécifiques :** la même condition, avec une liste d'ARN complets d'espaces de travail au lieu du caractère générique ## Enregistrer la clé auprès d'Anthropic Connectez-vous à la Claude Console via AWS avec le rôle Admin. Dans la Claude Console, accédez à la page [Data retention](https://platform.claude.com/settings/privacy#encryption-keys) (`platform.claude.com/settings/privacy`). Si vous ne voyez pas **Encryption keys**, sélectionnez **Organization** dans le menu déroulant en haut de la page. Sous **Encryption keys**, cliquez sur **Add key**. Saisissez un **Display name**. Anthropic rejette les ARN d'alias et les clés multi-régions. Dans **KMS key ARN**, collez l'ARN de la clé. Si une liste de clés apparaît à la place, sélectionnez votre clé, ou cliquez sur **Enter ARN manually** et collez l'ARN. Cliquez sur **Add**. L'attachement d'une clé est irréversible. Si possible, attachez-la à un nouvel espace de travail avant que celui-ci ne reçoive des requêtes. Dans un espace de travail qui reçoit déjà des requêtes, la clé peut mettre [jusqu'à un jour pour prendre effet](https://platform.claude.com/docs/fr/manage-claude/cmek#how-it-works). Sur la page Data retention, sélectionnez l'espace de travail dans le menu déroulant en haut de la page. Sous **Encryption key**, sélectionnez la clé et cliquez sur **Save**. Cochez la case pour confirmer que vous avez lu la documentation CMEK, puis cliquez sur **Confirm**. L'attachement valide la clé. S'il échoue avec une erreur d'accès KMS, consultez [Résoudre les problèmes de validation](https://platform.claude.com/docs/fr/manage-claude/cmek-claude-platform-on-aws#troubleshoot-validation). Vous pouvez également sélectionner une clé lorsque vous créez un espace de travail dans la Claude Console, si votre politique de clé ne comporte pas de condition `EncryptionContext`. Pour enregistrer et attacher des clés avec l'API à la place, consultez [Actions IAM](https://platform.claude.com/docs/fr/api/claude-platform-on-aws-iam-actions#encryption-keys). L'API identifie une clé par son ARN de clé KMS. ## Résoudre les problèmes de validation Si la validation échoue, les causes courantes sont : * **Incompatibilité de la politique de clé :** assurez-vous que la politique de clé correspond à celle de [Préparer la politique de clé](https://platform.claude.com/docs/fr/manage-claude/cmek-claude-platform-on-aws#prepare-the-key-policy). Pour vérifier la politique de clé, exécutez `aws kms get-key-policy --region --key-id --policy-name default`. * **Incompatibilité de la condition :** assurez-vous que toute condition `EncryptionContext` ou `aws:SourceArn` inclut cet espace de travail. * **État ou emplacement de la clé :** vérifiez que la clé est activée, à région unique, et qu'elle se trouve dans le même compte AWS et la même région que l'espace de travail. * **Autorisations manquantes :** le principal avec lequel vous êtes connecté a besoin de `kms:DescribeKey`, `kms:Encrypt` et `kms:Decrypt` sur la clé. * **Politiques d'organisation :** assurez-vous qu'aucune service control policy ni resource control policy de votre organisation AWS ne bloque le principal de service ou votre principal. Si l'attachement échoue toujours, recherchez l'événement `kms:` refusé dans CloudTrail dans le compte de la clé. Il indique le principal appelant et, pour les appels cryptographiques, le contexte de chiffrement. Après avoir corrigé la cause, cliquez à nouveau sur **Save**. ## Terraform Pour créer la clé avec Terraform, utilisez les ressources `aws_kms_key` et `aws_kms_alias` du fournisseur `aws`.