---
title: Configurer CMEK avec Google Cloud KMS
url: https://platform.claude.com/docs/fr/manage-claude/cmek-google-cloud-kms
description: Créez une clé Google Cloud KMS, donnez à Anthropic l'accès à celle-ci et utilisez-la dans Claude Platform ou Claude Enterprise.
---

Laissez Claude Code configurer cette fonctionnalité pour vous

```text
/claude-api aidez-moi à configurer une clé de chiffrement gérée par le client avec Google Cloud KMS
```

## Avant de commencer

Dans Claude :

* Les clés de chiffrement gérées par le client (CMEK) sont [activées pour votre organisation](https://platform.claude.com/docs/fr/manage-claude/cmek#availability).
* Vous disposez de l'ID de votre organisation Anthropic, l'UUID sans le préfixe `org_`. Copiez-le depuis [Organization](https://platform.claude.com/settings/organization) dans la Claude Console, ou depuis **Organization settings > Organization and access** sur claude.ai. La personne qui crée la clé en a besoin.
* Vous êtes Organization Admin sur Claude Platform, ou Owner ou Primary Owner sur Claude Enterprise.
* Sur Claude Platform, vous disposez d'un espace de travail qui [conserve les données](https://platform.claude.com/docs/fr/manage-claude/cmek-data-retention#data-retention), idéalement un nouveau, car [les données existantes restent sous la clé d'Anthropic](https://platform.claude.com/docs/fr/manage-claude/cmek-how-it-works#when-your-key-takes-effect).
* Sur Claude Enterprise, vous savez [quelles fonctionnalités sont désactivées ou modifiées](https://platform.claude.com/docs/fr/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).

Dans Google Cloud :

* L'API Cloud KMS est activée.
* Vous pouvez créer des trousseaux de clés et des clés, et définir une stratégie IAM sur ceux-ci (`roles/cloudkms.admin` ou équivalent).
* Les [journaux d'audit des accès aux données](https://docs.cloud.google.com/logging/docs/audit/configure-data-access) (Data Read et Data Write) de Cloud KMS sont activés, afin que Cloud Logging enregistre l'utilisation de votre clé par Anthropic. Ils sont désactivés par défaut.
* Si votre organisation Google Cloud applique le partage restreint au domaine (`constraints/iam.allowedPolicyMemberDomains`), celui-ci bloque l'octroi d'accès au compte de service d'Anthropic. Ajoutez une exception au niveau du projet, ou autorisez l'ID client Cloud Identity d'Anthropic. Contactez Anthropic pour obtenir cet ID.

## Dans Google Cloud : créer la clé

Après un échec de **Verify** ou **Add**, consultez les [correctifs pour Google Cloud KMS](https://platform.claude.com/docs/fr/manage-claude/cmek-troubleshooting#google-cloud-kms).

Ces étapes attribuent à la clé un libellé contenant l'ID de votre organisation Anthropic en minuscules (`<ORGANIZATION_UUID>`) et accordent l'accès au compte de service d'Anthropic :

```text wrap
anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com
```

Utilisez uniquement cette adresse, jamais une adresse envoyée par e-mail ou par chat.

Vous pouvez utiliser n'importe quel emplacement Cloud KMS. Pour la latence la plus faible, utilisez `us-east5` ou `us-central1`. Anthropic recommande vivement la protection HSM.

Pour utiliser une clé que vous possédez déjà, [ajoutez d'abord le libellé d'organisation](https://platform.claude.com/docs/fr/manage-claude/cmek-google-cloud-kms#organization-label).

<Tabs>
  <Tab title="Console Google Cloud">
    <Steps>
      <Step title="Créer ou choisir un trousseau de clés">
        Dans la console Google Cloud, accédez à la page [Key management](https://console.cloud.google.com/security/kms). Ouvrez un trousseau de clés, ou créez-en un dans un emplacement tel que `us-east5`.
      </Step>

      <Step title="Configurer la clé">
        Cliquez sur **Create key** et saisissez un nom. Sélectionnez ces options :

        * **Protection level:** HSM
        * **Key material:** Generated key
        * **Purpose:** Symmetric encrypt/decrypt
        * **Algorithm:** Google symmetric key
      </Step>

      <Step title="Ajouter le libellé d'organisation">
        Cliquez sur **Additional settings**, puis sur **Add label**. Saisissez le libellé d'organisation :

        * **Key 1:** `anthropic-org-<ORGANIZATION_UUID>`
        * **Value 1:** `true`

        Cliquez sur **Create**.

        <Frame caption="Une clé de chiffrement/déchiffrement symétrique protégée par HSM avec le libellé d'organisation.">
          ![Page Create key de Google Cloud KMS avec la protection HSM, le chiffrement/déchiffrement symétrique et le libellé anthropic-org défini sur true.](https://platform.claude.com/docs/images/cmek/gcp-create-key-label.png)
        </Frame>
      </Step>

      <Step title="Ouvrir les autorisations de la clé">
        Sur la page de détails du trousseau de clés, cochez la case à côté de la clé. Ouvrez le panneau **Permissions** et cliquez sur **Grant access**.
      </Step>

      <Step title="Accorder au compte de service d'Anthropic l'accès à la clé">
        Vérifiez que **Resource** affiche la clé, et non le trousseau de clés ou le projet. Saisissez ces valeurs :

        * **New principals:** `anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com`
        * **Role:** Cloud KMS CryptoKey Encrypter/Decrypter

        Cliquez sur **Add another role** et sélectionnez **Cloud KMS Viewer**. Cliquez sur **Save**.

        <Frame caption="Accordez au compte de service Anthropic les deux rôles, limités à la clé.">
          ![Boîte de dialogue Grant access avec le compte de service Anthropic auquel sont attribués les rôles Cloud KMS CryptoKey Encrypter/Decrypter et Viewer.](https://platform.claude.com/docs/images/cmek/gcp-grant-access.png)
        </Frame>
      </Step>

      <Step title="Copier le nom de ressource complet de la clé">
        Sur la page de détails du trousseau de clés, ouvrez le menu **Actions** de la clé et cliquez sur **Copy resource name**.

        <Frame caption="Copiez le nom de ressource complet de la clé depuis le menu des actions.">
          ![Détails du trousseau de clés Google Cloud avec l'action Copy resource name mise en évidence dans le menu des actions de la clé.](https://platform.claude.com/docs/images/cmek/gcp-copy-resource-name.png)
        </Frame>
      </Step>
    </Steps>
  </Tab>

  <Tab title="CLI gcloud">
    Dans chaque commande, remplacez ces espaces réservés :

    * **`<your-project-id>`:** l'ID de votre projet Google Cloud
    * **`<region>`:** l'emplacement de la clé, tel que `us-east5`
    * **`<your-keyring-name>`:** le nom du trousseau de clés
    * **`<your-key-name>`:** le nom de la clé
    * **`<ORGANIZATION_UUID>`:** l'ID de votre organisation Anthropic en minuscules

    <Steps>
      <Step title="Créer ou choisir un trousseau de clés">
        Ignorez cette étape si vous disposez déjà d'un trousseau de clés à réutiliser.

        ```bash
        gcloud kms keyrings create <your-keyring-name> \
          --project=<your-project-id> \
          --location=<region>
        ```
      </Step>

      <Step title="Créer la clé">
        ```bash
        gcloud kms keys create <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --purpose=encryption \
          --protection-level=hsm \
          --labels=anthropic-org-<ORGANIZATION_UUID>=true
        ```

        Pour une protection logicielle, omettez `--protection-level=hsm`.
      </Step>

      <Step title="Accorder au compte de service d'Anthropic l'accès à la clé">
        Exécutez les deux commandes :

        ```bash
        gcloud kms keys add-iam-policy-binding <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
          --role=roles/cloudkms.cryptoKeyEncrypterDecrypter
        ```

        ```bash
        gcloud kms keys add-iam-policy-binding <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
          --role=roles/cloudkms.viewer
        ```
      </Step>

      <Step title="Obtenir le nom de ressource complet de la clé">
        ```bash
        gcloud kms keys describe <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --format="value(name)"
        ```
      </Step>
    </Steps>
  </Tab>
</Tabs>

La personne qui ajoute la clé dans Claude a besoin de son nom de ressource complet, dans ce format :

```text wrap
projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>
```

### Ajouter le libellé d'organisation à une clé que vous possédez déjà

La vérification échoue si la clé ne possède pas le libellé `anthropic-org-<ORGANIZATION_UUID>` défini sur `true`, avec l'ID de votre organisation Anthropic en minuscules. Pour ajouter le libellé, exécutez :

```bash
gcloud kms keys update <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name> \
  --update-labels=anthropic-org-<ORGANIZATION_UUID>=true
```

Les autres valeurs figurent dans le nom de ressource complet de la clé, et la commande conserve les libellés existants. Passez ensuite directement [aux étapes qui accordent l'accès](https://platform.claude.com/docs/fr/manage-claude/cmek-google-cloud-kms#encryption-key-setup).

## Dans Claude : ajouter et associer la clé

Pour automatiser cette partie par script sur Claude Platform, [utilisez plutôt l'Admin API](https://platform.claude.com/docs/fr/manage-claude/cmek-admin-api).

<Tabs>
  <Tab title="Claude Platform">
    <Steps>
      <Step title="Ouvrir les paramètres des clés de chiffrement">
        Dans la Claude Console, ouvrez la section [Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys) de la page Data retention. Si la section n'y figure pas, sélectionnez **Organization** dans le menu déroulant en haut.
      </Step>

      <Step title="Ajouter la clé">
        Sous **Encryption keys**, cliquez sur **Add key**. Saisissez un **Display name**, sélectionnez **Google Cloud KMS**, puis cliquez sur **Continue**.
      </Step>

      <Step title="Saisir le nom de ressource de la clé">
        Vérifiez que votre clé possède le **Organization label** affiché dans la boîte de dialogue. Collez le nom de ressource complet de la clé dans **Key resource name** et cliquez sur **Add**.
      </Step>

      <Step title="Vérifier la clé">
        Dans la liste **Encryption keys**, cliquez sur **Verify** à côté de la clé. **Connected** s'affiche lorsque la vérification réussit. Si **Connection failed** s'affiche à la place, consultez [Résoudre les problèmes liés à CMEK](https://platform.claude.com/docs/fr/manage-claude/cmek-troubleshooting).
      </Step>

      <Step title="Associer la clé à un espace de travail">
        <Warning>
          L'association d'une clé [ne peut pas être annulée](https://platform.claude.com/docs/fr/manage-claude/cmek-key-lifecycle#what-each-action-does). Vous ne pouvez pas la retirer de l'espace de travail ni la remplacer. Si la clé est supprimée, Anthropic ne peut pas récupérer les données qu'elle protège.
        </Warning>

        1. En haut de la page Data retention, sélectionnez l'espace de travail dans le menu déroulant.
        2. Sous **Encryption key**, sélectionnez la clé et cliquez sur **Save**.
        3. Cochez la case pour confirmer que vous avez lu la documentation CMEK, puis cliquez sur **Confirm**.

        Vous voyez **Workspace settings updated.** Une fois que la clé [prend effet](https://platform.claude.com/docs/fr/manage-claude/cmek-how-it-works#when-your-key-takes-effect), le journal d'audit de votre fournisseur cloud affiche les appels d'Anthropic à la clé.

        Dans une [organisation ZDR](https://platform.claude.com/docs/fr/manage-claude/cmek-data-retention#zdr-organizations), après avoir sélectionné l'espace de travail, sélectionnez **Standard data retention** pour que **Encryption key** apparaisse. Après avoir cliqué sur **Save**, cliquez sur **Accept** dans les conditions de conservation des données.
      </Step>
    </Steps>
  </Tab>

  <Tab title="Claude Enterprise">
    Sur Claude Enterprise, CMEK s'applique à l'ensemble de l'organisation, et vous ne pouvez ajouter qu'une seule clé.

    <Warning>
      L'ajout d'une clé [ne peut pas être annulé](https://platform.claude.com/docs/fr/manage-claude/cmek-key-lifecycle#what-each-action-does). Vous ne pouvez ni la retirer de l'organisation ni la remplacer. Si la clé est supprimée, Anthropic ne peut pas récupérer les données qu'elle protège.
    </Warning>

    L'ajout de la clé [désactive ou modifie certaines fonctionnalités](https://platform.claude.com/docs/fr/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) pour tous les utilisateurs. Pour essayer CMEK au préalable, utilisez une organisation distincte.

    <Steps>
      <Step title="Ouvrir les paramètres des clés de chiffrement">
        Accédez à [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls) et recherchez **Encryption keys**.
      </Step>

      <Step title="Ajouter la clé">
        Cliquez sur **Add key**. Saisissez un **Display name** et sélectionnez **Google Cloud KMS**. Cochez la case pour confirmer que vous avez lu la documentation CMEK, puis cliquez sur **Continue**.
      </Step>

      <Step title="Saisir le nom de ressource de la clé">
        Vérifiez que votre clé possède le **Organization label** affiché dans la boîte de dialogue. Collez le nom de ressource complet de la clé dans **Key resource name** et cliquez sur **Add**.
      </Step>

      <Step title="Confirmer que la clé a été ajoutée">
        La vérification peut prendre jusqu'à 30 secondes. Lorsque **Encryption key configured.** s'affiche, cliquez sur **Done**. Si **The encryption key couldn’t be added.** s'affiche à la place, [trouvez la cause et réessayez](https://platform.claude.com/docs/fr/manage-claude/cmek-troubleshooting#claude-ai-add-fails).

        Votre clé protège les données écrites à partir de ce moment. Indiquez à vos utilisateurs [quelles fonctionnalités ont changé](https://platform.claude.com/docs/fr/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).
      </Step>
    </Steps>
  </Tab>
</Tabs>