Résoudre les problèmes de CMEK

Verify dans la Claude Console, Add sur claude.ai et l'appel de validation de l'Admin API exécutent tous la même vérification. Lorsqu'elle échoue (Connection failed dans la Claude Console), consultez les causes pour AWS KMS, Google Cloud KMS ou Azure Key Vault.

Si une fonctionnalité a cessé de fonctionner, il s'agit peut-être d'une fonctionnalité que désactivent les « customer-managed encryption keys » (clés de chiffrement gérées par le client), ou CMEK. Consultez la liste Claude Platform ou la liste Claude Enterprise.

Si rien ici ne correspond, contactez votre équipe de compte Anthropic.

Les requêtes échouent après la configuration

cmek_key_disabled

Customer-managed encryption key is disabled or revoked. Re-enable the key to restore access.

Cette erreur 400 signifie que votre service de gestion des clés a refusé l'appel d'Anthropic. Vérifiez ces causes dans l'ordre :

1. La clé est désactivée.
2. L'accès d'Anthropic à la clé a été retiré. Votre page de configuration indique l'accès dont Anthropic a besoin.
3. Sur AWS KMS, la stratégie de clé répertorie des espaces de travail, mais pas celui-ci.
4. Sur AWS KMS, une condition d'adresse IP bloque les adresses IP sortantes d'Anthropic.

Corrigez la cause. Deux limites s'appliquent lorsque l'accès est rétabli.

cmek_key_network_blocked

The request to your key management service was blocked by its network access controls (for example, a KMS firewall or IP allowlist). Verify that your KMS network rules allow requests from Anthropic's published IP addresses, or contact Anthropic support if your configuration looks correct.

Il s'agit d'une erreur 400. La clé elle-même est peut-être en bon état. Autorisez les adresses IP publiées d'Anthropic dans les règles réseau de votre service de gestion des clés.

cmek_key_unreachable

The workspace's customer-managed encryption key could not be reached. Try again shortly. If this continues, check that the key is available in your key management service, or contact Anthropic support.

Cette erreur 503 signifie qu'Anthropic n'a pas pu joindre votre clé. Réessayez la requête.

La vérification échoue : AWS KMS

Pour afficher la stratégie de clé, exécutez :

aws kms get-key-policy \
  --region <REGION> \
  --key-id <KEY_ARN> \
  --policy-name default

Une clé qui protège déjà des données

Si vous remplacez la stratégie d'une clé qui protège déjà des données, ajoutez cette déclaration de stratégie afin qu'Anthropic puisse toujours déchiffrer ces données. Dans sa condition, indiquez l'ID de compartiment de chaque espace de travail auquel la clé est ou a été associée.

{
  "Sid": "AllowAnthropicCMEKDecryptExistingData",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
  },
  "Action": "kms:Decrypt",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
    }
  }
}

La vérification échoue : Google Cloud KMS

Pour vérifier l'octroi, exécutez :

gcloud kms keys get-iam-policy <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name>

La vérification échoue : Azure Key Vault

L'association échoue sur Claude Platform on AWS

Claude Platform on AWS n'a pas d'étape Verify, donc un problème avec la clé apparaît lorsque vous l'associez.

Si l'association échoue toujours, recherchez l'événement kms: refusé dans CloudTrail dans le compte de la clé. Il indique le principal appelant et, pour les appels cryptographiques, le contexte de chiffrement. Corrigez la cause, puis cliquez à nouveau sur Save.

L'association ou l'ajout d'une clé est refusé

L'espace de travail ne conserve pas de données

CMEK keys can only be attached to workspaces in this organization that have inference data retention enabled.

Votre organisation utilise la conservation zéro des données (ZDR), et une clé nécessite un espace de travail qui conserve des données. Passez d'abord l'espace de travail à Standard data retention.

L'espace de travail n'a pas de paramètre Encryption key

Seul un espace de travail qui conserve des données dispose de ce paramètre, donc sélectionnez d'abord Standard data retention pour l'espace de travail. L'espace de travail par défaut d'une organisation ZDR ne peut pas être modifié, utilisez donc un autre espace de travail.

Il n'y a pas de section Encryption keys

Dans la Claude Console, sélectionnez Organization dans le menu déroulant en haut de la page Data retention. Si la section est toujours absente, votre rôle ne l'inclut pas ou CMEK n'est pas activé pour votre organisation. C'est votre équipe de compte Anthropic qui active CMEK.

L'espace de travail a déjà une clé

This workspace already has a different external key attached.

La clé d'un espace de travail ne peut pas être remplacée, donc créez un nouvel espace de travail pour une autre clé.

L'ajout d'une clé sur claude.ai échoue

The encryption key couldn’t be added.

La vérification de votre clé a échoué. Trouvez la cause pour AWS KMS, Google Cloud KMS ou Azure Key Vault. Pour réessayer, cliquez à nouveau sur Add key. La boîte de dialogue s'ouvre avec vos informations précédentes. Cochez la case, cliquez sur Continue, puis cliquez sur Add.

Erreurs attendues dans CloudTrail

Sur Claude Platform et Claude Enterprise, Anthropic vérifie la clé chaque fois que vous la vérifiez, l'associez à un espace de travail ou la consultez sur claude.ai. Chaque vérification ajoute quatre erreurs d'accès refusé attendues dans CloudTrail.

Pour les filtrer, faites correspondre les trois valeurs :

• requestParameters.encryptionContext.associatedData : Y21lay12YWxpZGF0aW9u
• userIdentity.accountId : 915198916910
• resources.ARN : arn:aws:kms:<REGION>:<AWS_ACCOUNT_ID>:key/<KEY_ID>

La première valeur seule ne suffit pas, car n'importe quel appelant peut la définir.