--- title: Résoudre les problèmes de CMEK url: https://platform.claude.com/docs/fr/manage-claude/cmek-troubleshooting description: Trouvez la cause et la correction d'un message d'erreur CMEK, d'une vérification échouée ou d'une entrée de journal inattendue. --- **Verify** dans la Claude Console, **Add** sur claude.ai et l'appel de validation de l'Admin API exécutent tous la même vérification. Lorsqu'elle échoue (**Connection failed** dans la Claude Console), consultez les causes pour [AWS KMS](https://platform.claude.com/docs/fr/manage-claude/cmek-troubleshooting#aws-kms), [Google Cloud KMS](https://platform.claude.com/docs/fr/manage-claude/cmek-troubleshooting#google-cloud-kms) ou [Azure Key Vault](https://platform.claude.com/docs/fr/manage-claude/cmek-troubleshooting#azure-key-vault). Si une fonctionnalité a cessé de fonctionner, il s'agit peut-être d'une fonctionnalité que désactivent les « customer-managed encryption keys » (clés de chiffrement gérées par le client), ou CMEK. Consultez la [liste Claude Platform](https://platform.claude.com/docs/fr/manage-claude/cmek-coverage-claude-platform#turned-off-or-changed) ou la [liste Claude Enterprise](https://platform.claude.com/docs/fr/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed). Si rien ici ne correspond, contactez votre équipe de compte Anthropic. ## Les requêtes échouent après la configuration ### `cmek_key_disabled` ```text wrap Customer-managed encryption key is disabled or revoked. Re-enable the key to restore access. ``` Cette erreur 400 signifie que votre service de gestion des clés a refusé l'appel d'Anthropic. Vérifiez ces causes dans l'ordre : 1. La clé est désactivée. 2. L'accès d'Anthropic à la clé a été retiré. [Votre page de configuration](https://platform.claude.com/docs/fr/manage-claude/cmek#set-it-up) indique l'accès dont Anthropic a besoin. 3. Sur AWS KMS, la stratégie de clé [répertorie des espaces de travail](https://platform.claude.com/docs/fr/manage-claude/cmek-aws-kms-workspaces), mais pas celui-ci. 4. Sur AWS KMS, une condition d'adresse IP bloque [les adresses IP sortantes d'Anthropic](https://platform.claude.com/docs/fr/api/ip-addresses#outbound-ip-addresses). Corrigez la cause. [Deux limites s'appliquent](https://platform.claude.com/docs/fr/manage-claude/cmek-key-lifecycle#restore-access) lorsque l'accès est rétabli. ### `cmek_key_network_blocked` ```text wrap The request to your key management service was blocked by its network access controls (for example, a KMS firewall or IP allowlist). Verify that your KMS network rules allow requests from Anthropic's published IP addresses, or contact Anthropic support if your configuration looks correct. ``` Il s'agit d'une erreur 400. La clé elle-même est peut-être en bon état. Autorisez [les adresses IP publiées d'Anthropic](https://platform.claude.com/docs/fr/api/ip-addresses) dans les règles réseau de votre service de gestion des clés. ### `cmek_key_unreachable` ```text wrap The workspace's customer-managed encryption key could not be reached. Try again shortly. If this continues, check that the key is available in your key management service, or contact Anthropic support. ``` Cette erreur 503 signifie qu'[Anthropic n'a pas pu joindre votre clé](https://platform.claude.com/docs/fr/manage-claude/cmek-key-lifecycle#unreachable-key). Réessayez la requête. ## La vérification échoue : AWS KMS | Cause | Correction | | ---------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | ID d'organisation incorrect | La condition `org_uuid` doit indiquer [votre ID d'organisation Anthropic](https://platform.claude.com/docs/fr/manage-claude/cmek-aws-kms#prerequisites), l'UUID sans le préfixe `org_`. | | Un espace de travail est absent de la stratégie | Une condition `compartment_uuid` doit [indiquer l'ID de compartiment](https://platform.claude.com/docs/fr/manage-claude/cmek-aws-kms-workspaces) de chaque espace de travail auquel la clé est associée. | | Accès accordé via IAM au lieu de la stratégie de clé | Le rôle d'Anthropic a besoin d'un accès dans [la stratégie de clé elle-même](https://platform.claude.com/docs/fr/manage-claude/cmek-aws-kms#key-policy). | Pour afficher la stratégie de clé, exécutez : ```bash aws kms get-key-policy \ --region \ --key-id \ --policy-name default ``` ### Une clé qui protège déjà des données Si vous [remplacez la stratégie d'une clé](https://platform.claude.com/docs/fr/manage-claude/cmek-aws-kms-workspaces#replace-the-key-policy) qui protège déjà des données, ajoutez cette déclaration de stratégie afin qu'Anthropic puisse toujours déchiffrer ces données. Dans sa condition, indiquez l'ID de compartiment de chaque espace de travail auquel la clé est ou a été associée. ```json { "Sid": "AllowAnthropicCMEKDecryptExistingData", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": "kms:Decrypt", "Resource": "*", "Condition": { "StringEquals": { "kms:EncryptionContext:anthropic:compartment_uuid": [""] } } } ``` ## La vérification échoue : Google Cloud KMS | Cause | Correction | | ------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Libellé d'organisation incorrect | La clé a besoin du [libellé d'organisation](https://platform.claude.com/docs/fr/manage-claude/cmek-google-cloud-kms#organization-label), avec votre ID d'organisation Anthropic en minuscules. | | Partage restreint au domaine | Cette règle d'administration bloque l'octroi au compte de service d'Anthropic. [Ajoutez une exception](https://platform.claude.com/docs/fr/manage-claude/cmek-google-cloud-kms#prerequisites). | | Version de clé désactivée ou détruite | La version principale de la clé doit être activée. | Pour vérifier l'octroi, exécutez : ```bash gcloud kms keys get-iam-policy \ --project= \ --location= \ --keyring= ``` ## La vérification échoue : Azure Key Vault | Cause | Correction | | ----------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Tag d'organisation incorrect | La version actuelle de la clé a besoin du [tag d'organisation](https://platform.claude.com/docs/fr/manage-claude/cmek-azure-key-vault#organization-tag). | | L'attribution de rôle n'a pas encore pris effet | Une nouvelle attribution de rôle peut prendre quelques minutes. Patientez, puis réessayez. | | Les règles réseau du coffre bloquent Anthropic | Comparez les règles avec les [paramètres de coffre dont Anthropic a besoin](https://platform.claude.com/docs/fr/manage-claude/cmek-azure-key-vault#check-your-vault-configuration). | ## L'association échoue sur Claude Platform on AWS Claude Platform on AWS n'a pas d'étape **Verify**, donc un problème avec la clé apparaît lorsque vous l'associez. | Cause | Correction | | ---------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Incohérence de la stratégie de clé | Affichez la stratégie de clé avec la [commande `get-key-policy`](https://platform.claude.com/docs/fr/manage-claude/cmek-troubleshooting#aws-kms) et comparez-la à la [stratégie de la page de configuration](https://platform.claude.com/docs/fr/manage-claude/cmek-claude-platform-on-aws#prepare-the-key-policy). | | Incohérence de condition | Toute condition `EncryptionContext` ou `aws:SourceArn` doit inclure cet espace de travail. | | État ou emplacement de la clé | La clé doit être activée, à région unique, et se trouver dans le même compte AWS et la même région que l'espace de travail. | | Autorisations manquantes | Le principal avec lequel vous êtes connecté a besoin de `kms:DescribeKey`, `kms:Encrypt` et `kms:Decrypt` sur la clé. | Si l'association échoue toujours, recherchez l'événement `kms:` refusé dans CloudTrail dans le compte de la clé. Il indique le principal appelant et, pour les appels cryptographiques, le contexte de chiffrement. Corrigez la cause, puis cliquez à nouveau sur **Save**. ## L'association ou l'ajout d'une clé est refusé ### L'espace de travail ne conserve pas de données ```text wrap CMEK keys can only be attached to workspaces in this organization that have inference data retention enabled. ``` [Votre organisation utilise la conservation zéro des données (ZDR)](https://platform.claude.com/docs/fr/manage-claude/cmek-data-retention#zdr-organizations), et une clé nécessite un espace de travail qui conserve des données. Passez d'abord l'espace de travail à **Standard data retention**. ### L'espace de travail n'a pas de paramètre Encryption key Seul [un espace de travail qui conserve des données](https://platform.claude.com/docs/fr/manage-claude/cmek-data-retention#data-retention) dispose de ce paramètre, donc sélectionnez d'abord **Standard data retention** pour l'espace de travail. L'espace de travail par défaut d'une organisation ZDR ne peut pas être modifié, utilisez donc un autre espace de travail. ### Il n'y a pas de section Encryption keys Dans la Claude Console, sélectionnez **Organization** dans le menu déroulant en haut de la page Data retention. Si la section est toujours absente, votre rôle ne l'inclut pas ou CMEK n'est pas activé pour votre organisation. C'est votre équipe de compte Anthropic qui active CMEK. ### L'espace de travail a déjà une clé ```text wrap This workspace already has a different external key attached. ``` La clé d'un espace de travail ne peut pas être remplacée, donc [créez un nouvel espace de travail](https://platform.claude.com/docs/fr/manage-claude/cmek-key-lifecycle#change-keys) pour une autre clé. ### L'ajout d'une clé sur claude.ai échoue ```text wrap The encryption key couldn’t be added. ``` La vérification de votre clé a échoué. Trouvez la cause pour [AWS KMS](https://platform.claude.com/docs/fr/manage-claude/cmek-troubleshooting#aws-kms), [Google Cloud KMS](https://platform.claude.com/docs/fr/manage-claude/cmek-troubleshooting#google-cloud-kms) ou [Azure Key Vault](https://platform.claude.com/docs/fr/manage-claude/cmek-troubleshooting#azure-key-vault). Pour réessayer, cliquez à nouveau sur **Add key**. La boîte de dialogue s'ouvre avec vos informations précédentes. Cochez la case, cliquez sur **Continue**, puis cliquez sur **Add**. ## Erreurs attendues dans CloudTrail Sur Claude Platform et Claude Enterprise, Anthropic vérifie la clé chaque fois que vous la vérifiez, l'associez à un espace de travail ou la consultez sur claude.ai. Chaque vérification ajoute quatre erreurs d'accès refusé attendues dans CloudTrail. Pour les filtrer, faites correspondre les trois valeurs : * `requestParameters.encryptionContext.associatedData` : `Y21lay12YWxpZGF0aW9u` * `userIdentity.accountId` : `915198916910` * `resources.ARN` : `arn:aws:kms:::key/` La première valeur seule ne suffit pas, car n'importe quel appelant peut la définir.