Configurer CMEK avec Google Cloud KMS
Créez une clé Google Cloud KMS, donnez à Anthropic l'accès à celle-ci et utilisez-la dans Claude Platform ou Claude Enterprise.
Claude Code
Laissez Claude Code configurer cette fonctionnalité pour vous
/claude-api aidez-moi à configurer une clé de chiffrement gérée par le client avec Google Cloud KMSAvant de commencer
Dans Claude :
- Les clés de chiffrement gérées par le client (CMEK) sont activées pour votre organisation.
- Vous disposez de l'ID de votre organisation Anthropic, l'UUID sans le préfixe
org_. Copiez-le depuis Organization dans la Claude Console, ou depuis Organization settings > Organization and access sur claude.ai. La personne qui crée la clé en a besoin. - Vous êtes Organization Admin sur Claude Platform, ou Owner ou Primary Owner sur Claude Enterprise.
- Sur Claude Platform, vous disposez d'un espace de travail qui conserve les données, idéalement un nouveau, car les données existantes restent sous la clé d'Anthropic.
- Sur Claude Enterprise, vous savez quelles fonctionnalités sont désactivées ou modifiées.
Dans Google Cloud :
- L'API Cloud KMS est activée.
- Vous pouvez créer des trousseaux de clés et des clés, et définir une stratégie IAM sur ceux-ci (
roles/cloudkms.adminou équivalent). - Les journaux d'audit des accès aux données (Data Read et Data Write) de Cloud KMS sont activés, afin que Cloud Logging enregistre l'utilisation de votre clé par Anthropic. Ils sont désactivés par défaut.
- Si votre organisation Google Cloud applique le partage restreint au domaine (
constraints/iam.allowedPolicyMemberDomains), celui-ci bloque l'octroi d'accès au compte de service d'Anthropic. Ajoutez une exception au niveau du projet, ou autorisez l'ID client Cloud Identity d'Anthropic. Contactez Anthropic pour obtenir cet ID.
Dans Google Cloud : créer la clé
Après un échec de Verify ou Add, consultez les correctifs pour Google Cloud KMS.
Ces étapes attribuent à la clé un libellé contenant l'ID de votre organisation Anthropic en minuscules (<ORGANIZATION_UUID>) et accordent l'accès au compte de service d'Anthropic :
anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.comUtilisez uniquement cette adresse, jamais une adresse envoyée par e-mail ou par chat.
Vous pouvez utiliser n'importe quel emplacement Cloud KMS. Pour la latence la plus faible, utilisez us-east5 ou us-central1. Anthropic recommande vivement la protection HSM.
Pour utiliser une clé que vous possédez déjà, ajoutez d'abord le libellé d'organisation.
Créer ou choisir un trousseau de clés
Dans la console Google Cloud, accédez à la page Key management. Ouvrez un trousseau de clés, ou créez-en un dans un emplacement tel que
us-east5.Configurer la clé
Cliquez sur Create key et saisissez un nom. Sélectionnez ces options :
- Protection level: HSM
- Key material: Generated key
- Purpose: Symmetric encrypt/decrypt
- Algorithm: Google symmetric key
Ajouter le libellé d'organisation
Cliquez sur Additional settings, puis sur Add label. Saisissez le libellé d'organisation :
- Key 1:
anthropic-org-<ORGANIZATION_UUID> - Value 1:
true
Cliquez sur Create.
Une clé de chiffrement/déchiffrement symétrique protégée par HSM avec le libellé d'organisation. - Key 1:
Ouvrir les autorisations de la clé
Sur la page de détails du trousseau de clés, cochez la case à côté de la clé. Ouvrez le panneau Permissions et cliquez sur Grant access.
Accorder au compte de service d'Anthropic l'accès à la clé
Vérifiez que Resource affiche la clé, et non le trousseau de clés ou le projet. Saisissez ces valeurs :
- New principals:
anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com - Role: Cloud KMS CryptoKey Encrypter/Decrypter
Cliquez sur Add another role et sélectionnez Cloud KMS Viewer. Cliquez sur Save.
Accordez au compte de service Anthropic les deux rôles, limités à la clé. - New principals:
Copier le nom de ressource complet de la clé
Sur la page de détails du trousseau de clés, ouvrez le menu Actions de la clé et cliquez sur Copy resource name.
Copiez le nom de ressource complet de la clé depuis le menu des actions.
Dans chaque commande, remplacez ces espaces réservés :
<your-project-id>: l'ID de votre projet Google Cloud<region>: l'emplacement de la clé, tel queus-east5<your-keyring-name>: le nom du trousseau de clés<your-key-name>: le nom de la clé<ORGANIZATION_UUID>: l'ID de votre organisation Anthropic en minuscules
Créer ou choisir un trousseau de clés
Ignorez cette étape si vous disposez déjà d'un trousseau de clés à réutiliser.
gcloud kms keyrings create <your-keyring-name> \ --project=<your-project-id> \ --location=<region>Créer la clé
gcloud kms keys create <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --purpose=encryption \ --protection-level=hsm \ --labels=anthropic-org-<ORGANIZATION_UUID>=truePour une protection logicielle, omettez
--protection-level=hsm.Accorder au compte de service d'Anthropic l'accès à la clé
Exécutez les deux commandes :
gcloud kms keys add-iam-policy-binding <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \ --role=roles/cloudkms.cryptoKeyEncrypterDecryptergcloud kms keys add-iam-policy-binding <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \ --role=roles/cloudkms.viewerObtenir le nom de ressource complet de la clé
gcloud kms keys describe <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --format="value(name)"
La personne qui ajoute la clé dans Claude a besoin de son nom de ressource complet, dans ce format :
projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>Ajouter le libellé d'organisation à une clé que vous possédez déjà
La vérification échoue si la clé ne possède pas le libellé anthropic-org-<ORGANIZATION_UUID> défini sur true, avec l'ID de votre organisation Anthropic en minuscules. Pour ajouter le libellé, exécutez :
gcloud kms keys update <your-key-name> \
--project=<your-project-id> \
--location=<region> \
--keyring=<your-keyring-name> \
--update-labels=anthropic-org-<ORGANIZATION_UUID>=trueLes autres valeurs figurent dans le nom de ressource complet de la clé, et la commande conserve les libellés existants. Passez ensuite directement aux étapes qui accordent l'accès.
Dans Claude : ajouter et associer la clé
Pour automatiser cette partie par script sur Claude Platform, utilisez plutôt l'Admin API.
Ouvrir les paramètres des clés de chiffrement
Dans la Claude Console, ouvrez la section Encryption keys de la page Data retention. Si la section n'y figure pas, sélectionnez Organization dans le menu déroulant en haut.
Ajouter la clé
Sous Encryption keys, cliquez sur Add key. Saisissez un Display name, sélectionnez Google Cloud KMS, puis cliquez sur Continue.
Saisir le nom de ressource de la clé
Vérifiez que votre clé possède le Organization label affiché dans la boîte de dialogue. Collez le nom de ressource complet de la clé dans Key resource name et cliquez sur Add.
Vérifier la clé
Dans la liste Encryption keys, cliquez sur Verify à côté de la clé. Connected s'affiche lorsque la vérification réussit. Si Connection failed s'affiche à la place, consultez Résoudre les problèmes liés à CMEK.
Associer la clé à un espace de travail
- En haut de la page Data retention, sélectionnez l'espace de travail dans le menu déroulant.
- Sous Encryption key, sélectionnez la clé et cliquez sur Save.
- Cochez la case pour confirmer que vous avez lu la documentation CMEK, puis cliquez sur Confirm.
Vous voyez Workspace settings updated. Une fois que la clé prend effet, le journal d'audit de votre fournisseur cloud affiche les appels d'Anthropic à la clé.
Dans une organisation ZDR, après avoir sélectionné l'espace de travail, sélectionnez Standard data retention pour que Encryption key apparaisse. Après avoir cliqué sur Save, cliquez sur Accept dans les conditions de conservation des données.
Sur Claude Enterprise, CMEK s'applique à l'ensemble de l'organisation, et vous ne pouvez ajouter qu'une seule clé.
L'ajout de la clé désactive ou modifie certaines fonctionnalités pour tous les utilisateurs. Pour essayer CMEK au préalable, utilisez une organisation distincte.
Ouvrir les paramètres des clés de chiffrement
Accédez à claude.ai > Organization settings > Data and privacy et recherchez Encryption keys.
Ajouter la clé
Cliquez sur Add key. Saisissez un Display name et sélectionnez Google Cloud KMS. Cochez la case pour confirmer que vous avez lu la documentation CMEK, puis cliquez sur Continue.
Saisir le nom de ressource de la clé
Vérifiez que votre clé possède le Organization label affiché dans la boîte de dialogue. Collez le nom de ressource complet de la clé dans Key resource name et cliquez sur Add.
Confirmer que la clé a été ajoutée
La vérification peut prendre jusqu'à 30 secondes. Lorsque Encryption key configured. s'affiche, cliquez sur Done. Si The encryption key couldn’t be added. s'affiche à la place, trouvez la cause et réessayez.
Votre clé protège les données écrites à partir de ce moment. Indiquez à vos utilisateurs quelles fonctionnalités ont changé.
Was this page helpful?