Membatasi kunci AWS KMS ke workspace tertentu

Kebijakan kunci dari penyiapan mengizinkan setiap workspace di organisasi Anda menggunakan kunci tersebut. Dengan kondisi opsional ini, workspace yang tidak tercantum tidak dapat menggunakannya.

Tambahkan ID kompartemen sebuah workspace ke kebijakan sebelum Anda melampirkan kunci ke workspace tersebut. Untuk workspace baru, itu berarti membuatnya tanpa kunci.

Salin ID kompartemen workspace

Di Claude Console, buka halaman Data retention dan pilih workspace dari menu dropdown di bagian atas. Salin Compartment ID di bawah Encryption key. Endpoint Get Workspace mengembalikannya sebagai compartment_id.

Organisasi Claude Enterprise memiliki satu ID kompartemen. Salin dari kunci Anda di bawah Encryption keys di claude.ai > Organization settings > Data and privacy.

Tambahkan kondisi ke kebijakan kunci

Ganti pernyataan AllowAnthropicCMEKCrypto dengan pernyataan ini. Isi ID organisasi Anthropic Anda dan ID kompartemen setiap workspace yang menggunakan kunci tersebut. Kunci yang sudah melindungi data memerlukan satu pernyataan lagi.

{
  "Sid": "AllowAnthropicCMEKCrypto",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
  },
  "Action": ["kms:Encrypt", "kms:Decrypt"],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:anthropic:org_uuid": ["<ORGANIZATION_UUID>"]
    },
    "StringEqualsIfExists": {
      "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
    }
  }
}

Ganti kebijakan kunci pada kunci yang sudah ada

1. Di konsol AWS KMS, buka kunci tersebut dan klik tab Key policy.
2. Jika Anda melihat Switch to policy view, klik opsi tersebut.
3. Klik Edit.
4. Ganti JSON dengan kebijakan kunci Anda.
5. Klik Save changes.