Fonctionnement de CMEK
Comment votre clé protège les données stockées, ce que couvre une clé, quand elle prend effet et ce que vous pouvez voir.
Votre clé encapsule les clés qui chiffrent vos données
Anthropic chiffre vos données stockées avec des clés de données. Avec les « customer-managed encryption keys » (clés de chiffrement gérées par le client), ou CMEK, votre clé chiffre, c'est-à-dire encapsule, ces clés de données. Il s'agit du chiffrement d'enveloppe. Pour écrire ou lire des données, Anthropic demande à votre « key management service » (service de gestion des clés), ou KMS, d'encapsuler ou de désencapsuler une clé de données.
Les clés de données transitent entre Anthropic et votre cloud. Votre clé ne quitte jamais votre KMS. Vos données ne lui sont jamais envoyées.
Anthropic ne conserve aucune copie de votre clé. Sans elle, Claude ne peut donc pas lire les données qu'elle protège.
Ce que protège une clé
Sur Claude Platform et Claude Platform on AWS, une clé protège un espace de travail, et une clé peut en servir plusieurs. Sur Claude Enterprise, une clé protège l'ensemble de l'organisation, qui ne peut avoir qu'une seule clé. Les données que protège votre clé dépendent de votre produit.
Sur Claude Platform et Claude Enterprise, votre clé porte l'ID de votre organisation Anthropic, qui lie la clé à votre organisation. Selon votre KMS, l'ID figure dans une condition de stratégie de clé, un libellé ou un tag. Une clé sans l'ID échoue à la vérification. Une clé partagée entre plusieurs organisations porte chacun de leurs ID.
Une stratégie de clé AWS KMS peut désigner des espaces de travail par leurs ID de compartiment. Un ID de compartiment est l'UUID qu'Anthropic attribue à chaque espace de travail pour le chiffrement, et non l'ID d'espace de travail qui commence par wrkspc_.
Où se trouve votre clé
Votre clé se trouve dans AWS KMS, Google Cloud KMS ou Azure Key Vault. Votre fournisseur peut la facturer.
Sur Claude Platform et Claude Enterprise, CMEK est disponible dans les régions des États-Unis, et Anthropic y traite toutes les opérations de chiffrement. Chaque page de configuration indique les régions à la latence la plus faible.
Quand votre clé prend effet
Votre clé protège uniquement les données écrites après sa prise d'effet. Les données existantes (conversations, fichiers et sessions antérieurs) restent sous la clé d'Anthropic et ne sont pas rechiffrées.
Sur Claude Platform et Claude Platform on AWS, une clé associée à un espace de travail avant sa première requête prend effet dès cette requête. Dans un espace de travail déjà utilisé, votre clé peut mettre jusqu'à un jour pour prendre effet, et les données écrites entre-temps restent sous la clé d'Anthropic. C'est pourquoi Anthropic recommande un nouvel espace de travail.
Ce que vous pouvez voir
Le journal d'audit de votre cloud peut enregistrer chaque opération qu'Anthropic effectue avec votre clé. Lorsque vous devez activer cette journalisation, votre page de configuration l'indique comme prérequis. Dans AWS CloudTrail, certaines entrées sont des erreurs attendues.
Les modifications de votre configuration CMEK apparaissent dans l'Activity Feed de la Compliance API. Les opérations effectuées avec la clé n'y apparaissent pas.
Latence et normes
Chaque encapsulation ou désencapsulation est un aller-retour vers votre KMS, ce qui peut ajouter un peu de latence à la lecture et à l'écriture des données stockées. Pour les normes cryptographiques telles que FIPS, consultez le livre blanc CMEK dans le Trust Center.
Ensuite, découvrez ce que fait chaque action sur la clé.
Was this page helpful?