Claude Platform Docs
AdminMenyiapkan CMEK

Menyiapkan CMEK dengan AWS KMS

Buat kunci AWS KMS, berikan Anthropic akses ke kunci tersebut, dan gunakan kunci itu di Claude Platform atau Claude Enterprise.

Claude Code

Biarkan Claude Code menyiapkan fitur ini untuk Anda

/claude-api bantu saya mengonfigurasi kunci enkripsi yang dikelola pelanggan dengan AWS KMS

Jika sidebar Claude Console Anda menampilkan Account managed by AWS, ikuti Menyiapkan CMEK di Claude Platform on AWS sebagai gantinya.

Sebelum Anda mulai

Di Claude:

Di AWS:

  • Anda dapat membuat kunci AWS KMS dan menetapkan kebijakan kuncinya (kms:CreateKey dan kms:PutKeyPolicy).
  • Setiap pembatasan IP pada akses AWS KMS mengizinkan alamat IP keluar Anthropic.

Di AWS: buat kunci

Setelah Verify atau Add gagal, lihat perbaikan untuk AWS KMS.

Tulis kebijakan kunci

Kebijakan ini memberikan peran IAM Anthropic akses ke kunci Anda. Gunakan hanya ARN peran yang dipublikasikan di halaman ini, jangan pernah ARN yang dikirim melalui email atau chat. Salin kebijakan ke editor teks:

key-policy.json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AccountRootAdmin",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<AWS_ACCOUNT_ID>:root"
      },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "AllowAnthropicCMEKCrypto",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
      },
      "Action": ["kms:Encrypt", "kms:Decrypt"],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:anthropic:org_uuid": ["<ORGANIZATION_UUID>"]
        }
      }
    },
    {
      "Sid": "AllowAnthropicCMEKDescribe",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    }
  ]
}

Ganti <AWS_ACCOUNT_ID> dengan ID akun AWS Anda dan <ORGANIZATION_UUID> dengan ID organisasi Anthropic Anda. Pertahankan kondisi kms:EncryptionContext:anthropic:org_uuid, jika tidak, verifikasi akan gagal.

Anda juga dapat membatasi kunci ke workspace tertentu dengan mencantumkan ID kompartemen workspace tersebut. Jika Anda mengganti kebijakan pada kunci yang sudah melindungi data Claude, tambahkan satu pernyataan kebijakan lagi.

Buat kunci

Anda dapat membuat kunci di region komersial AWS mana pun. Untuk latensi terendah, gunakan us-east-2.

Untuk menggunakan kunci yang sudah Anda miliki di AWS KMS, ganti kebijakan kuncinya.

  1. Buka wizard Create key

    Buka konsol AWS KMS dan beralihlah ke region untuk kunci tersebut. Buka Customer managed keys lalu klik Create key.

  2. Configure key

    Pastikan opsi-opsi berikut dipilih:

    • Key type: Symmetric
    • Key usage: Encrypt and decrypt
    • Advanced options > Key material origin: KMS
    • Advanced options > Regionality: Single-Region key

    Klik Next.

    Langkah Configure key di AWS KMS dengan tipe kunci Symmetric, penggunaan kunci Encrypt and decrypt, dan Single-Region key dipilih.

    Kunci Symmetric, Encrypt and decrypt, Single-Region key.

  3. Add labels

    Masukkan Alias untuk kunci tersebut, misalnya anthropic-cmek. Klik Next.

    Langkah Add labels di AWS KMS dengan alias anthropic-cmek dan deskripsi Anthropic CMEK.

    Alias untuk kunci tersebut.

  4. Define key administrative permissions

    Jangan pilih administrator kunci apa pun. Kebijakan kunci Anda sudah memberikan kontrol admin penuh kepada akun AWS Anda. Klik Next.

    Langkah Define key administrative permissions di AWS KMS yang menampilkan daftar peran IAM yang dapat mengelola kunci tersebut.

    Biarkan administrator kunci kosong.

  5. Define key usage permissions

    Jangan pilih pengguna kunci apa pun, dan jangan tambahkan apa pun di bawah Other AWS accounts. Kebijakan kunci Anda sudah memberikan akses yang diperlukan. Klik Next.

  6. Edit key policy

    Klik Edit. Ganti seluruh kebijakan dengan kebijakan kunci Anda, lalu klik Next.

  7. Review

    Klik Finish.

  8. Salin ARN kunci

    Di Customer managed keys, buka kunci baru tersebut dan salin ARN-nya. Siapa pun yang menambahkan kunci di Claude memerlukannya.

Setiap pemeriksaan kunci di Claude menambahkan empat error access-denied yang memang diharapkan ke CloudTrail. Anda dapat menyaringnya.

Di Claude: tambahkan dan lampirkan kunci

Untuk membuat skrip bagian ini di Claude Platform, gunakan Admin API sebagai gantinya.

  1. Buka pengaturan kunci enkripsi

    Di Claude Console, buka Encryption keys di halaman Data retention. Jika bagian tersebut tidak ada, pilih Organization dari menu dropdown di bagian atas.

  2. Tambahkan kunci

    Di bawah Encryption keys, klik Add key. Masukkan Display name, pilih AWS KMS, lalu klik Continue.

  3. Masukkan ARN kunci

    Periksa bahwa kebijakan kunci Anda berisi Organization ID for the key policy yang ditampilkan di kotak dialog. Tempelkan ARN kunci ke KMS key ARN lalu klik Add.

  4. Verifikasi kunci

    Di daftar Encryption keys, klik Verify di samping kunci. Connected muncul saat pemeriksaan berhasil. Jika yang muncul justru Connection failed, lihat Memecahkan masalah CMEK.

  5. Lampirkan kunci ke workspace

    1. Di bagian atas halaman Data retention, pilih workspace dari menu dropdown.
    2. Di bawah Encryption key, pilih kunci lalu klik Save.
    3. Centang kotak untuk mengonfirmasi bahwa Anda telah membaca dokumentasi CMEK, lalu klik Confirm.

    Anda akan melihat Workspace settings updated. Setelah kunci mulai berlaku, audit log penyedia cloud Anda menampilkan panggilan Anthropic ke kunci tersebut.

    Dalam organisasi ZDR, setelah Anda memilih workspace, pilih Standard data retention agar Encryption key muncul. Setelah Anda mengklik Save, klik Accept pada ketentuan retensi data.

Was this page helpful?