Claude Platform Docs
AdminMenyiapkan CMEK

Menyiapkan CMEK dengan Azure Key Vault

Buat kunci Azure Key Vault, berikan Anthropic akses ke kunci tersebut, dan gunakan kunci itu di Claude Platform atau Claude Enterprise.

Claude Code

Biarkan Claude Code menyiapkan fitur ini untuk Anda

/claude-api bantu saya mengonfigurasi kunci enkripsi yang dikelola pelanggan dengan Azure Key Vault

Sebelum Anda mulai

Di Claude:

Di Azure:

  • Anda dapat membuat kunci di key vault Anda dan menetapkan peran RBAC padanya.
  • Anda dapat membuat service principal di tenant Entra Anda (Application Administrator, Cloud Application Administrator, atau peran kustom yang setara).
  • Vault memiliki pengaturan diagnostik untuk kategori log AuditEvent. Tanpa pengaturan tersebut, operasi kunci oleh Anthropic tidak meninggalkan jejak audit.

Di Azure: buat kunci

Setelah Verify atau Add gagal, lihat perbaikan untuk Azure Key Vault.

Langkah-langkah ini memberikan akses ke kunci Anda kepada aplikasi multitenant Anthropic:

  • Nama: anthropic-cmek-client-us
  • Client ID: 8635ae1a-3e5d-44e8-a4ed-e0f614466f87

Gunakan hanya client ID dan nama ini, jangan pernah yang dikirim melalui email atau chat. Aplikasi ini tidak meminta izin Microsoft Graph apa pun.

Periksa vault

Untuk latensi terendah, gunakan vault di northcentralus atau eastus2. Jalankan perintah ini terlebih dahulu, di Azure CLI atau Cloud Shell:

az keyvault show --name <your-vault-name> \
  --query "{rbac:properties.enableRbacAuthorization, purge:properties.enablePurgeProtection, pub:properties.publicNetworkAccess, net:properties.networkAcls.defaultAction, ipRules:properties.networkAcls.ipRules, uri:properties.vaultUri, tenantId:properties.tenantId}"
BidangHarus bernilai
rbactrue
purgetrue. Jika nilainya false atau null, aktifkan perlindungan purge terlebih dahulu. Anda tidak dapat menonaktifkannya lagi.
pub"Enabled". Private endpoint tidak didukung.
net"Allow", atau "Deny" dengan alamat IP keluar Anthropic di ipRules

Salin uri (URI vault) dan tenantId.

Buat kunci dan berikan akses

Di halaman ini, <ORGANIZATION_UUID> adalah ID organisasi Anthropic Anda dalam huruf kecil. Untuk menggunakan kunci yang sudah Anda miliki, tambahkan tag organisasi terlebih dahulu.

  1. Buat service principal Anthropic

    Buka Cloud Shell dari bilah navigasi atas portal. Jalankan perintah ini:

    az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87

    Jika service principal sudah ada, lanjutkan ke langkah berikutnya.

  2. Konfirmasi bahwa service principal sudah ada

    Buka Microsoft Entra ID > Enterprise applications dan hapus filter jenis aplikasi default. Cari anthropic-cmek-client-us.

    Ikhtisar aplikasi enterprise Microsoft Entra untuk anthropic-cmek-client-us, yang menampilkan Application ID dan Object ID-nya.

    Service principal anthropic-cmek-client-us di aplikasi enterprise Entra.

  3. Buka halaman Create a key

    Buka key vault Anda dan pilih Keys. Klik Generate/Import.

  4. Buat kunci RSA di vault Anda

    Tetapkan nilai-nilai berikut:

    • Name: nama untuk kunci
    • Key type: RSA
    • RSA key size: 3072 atau lebih besar

    Klik tautan di sebelah Tags.

  5. Tambahkan tag organisasi

    Masukkan nilai-nilai berikut:

    • Tag Name: anthropic-org-<ORGANIZATION_UUID>
    • Tag Value: true

    Klik OK, lalu klik Create.

    Halaman Create a key di Azure Key Vault dengan RSA, ukuran kunci 3072, dan tag anthropic-org yang diatur ke true.

    Buat kunci RSA berukuran 3072 atau lebih besar, dengan tag anthropic-org-<ORGANIZATION_UUID> yang diatur ke true.

  6. Batasi operasi yang diizinkan

    Buka kunci baru tersebut, lalu buka versinya saat ini. Di bawah Permitted operations, hapus centang semua kotak kecuali Wrap Key dan Unwrap Key. Klik Save.

    Versi kunci Azure Key Vault dengan 1 tag dan Permitted operations yang dibatasi ke Wrap Key dan Unwrap Key.

    Batasi operasi yang diizinkan ke Wrap Key dan Unwrap Key. Versi kunci menampilkan tag organisasi.

  7. Buka kontrol akses kunci

    Buka kunci itu sendiri, bukan vault. Pilih tab Access control (IAM) miliknya dan klik Add > Add role assignment.

  8. Pilih peran

    Di tab Role, pilih Key Vault Crypto User. Klik Next.

  9. Tambahkan service principal Anthropic

    Di tab Members, klik Select members. Cari anthropic-cmek-client-us dan pilih. Klik Select, lalu klik Next.

  10. Tinjau dan tetapkan

    Di tab Review + assign, klik Review + assign.

Siapa pun yang menambahkan kunci di Claude memerlukan URI vault, nama kunci, dan ID tenant.

Tambahkan tag organisasi ke kunci yang sudah Anda miliki

Verifikasi gagal tanpa tag organisasi. Kunci harus berjenis RSA, 3072-bit atau lebih besar.

Alih-alih membuat kunci, jalankan perintah ini di Azure CLI atau Cloud Shell. Perintah ini membatasi kunci ke wrapKey dan unwrapKey. Perintah ini juga mengganti tag versi saat ini, jadi cantumkan tag apa pun yang ingin Anda pertahankan di --tags sebagai name=value.

az keyvault key set-attributes \
  --vault-name <your-vault-name> \
  --name <your-key-name> \
  --ops wrapKey unwrapKey \
  --tags anthropic-org-<ORGANIZATION_UUID>=true

Anda tetap memerlukan langkah-langkah service principal dan penetapan peran.

Di Claude: tambahkan dan lampirkan kunci

Untuk membuat skrip bagian ini di Claude Platform, gunakan Admin API sebagai gantinya.

  1. Buka pengaturan kunci enkripsi

    Di Claude Console, buka Encryption keys di halaman Data retention. Jika bagian tersebut tidak ada, pilih Organization dari menu dropdown di bagian atas.

  2. Tambahkan kunci

    Di bawah Encryption keys, klik Add key. Masukkan Display name, pilih Azure Key Vault, dan klik Continue.

  3. Masukkan detail kunci

    Periksa bahwa kunci Anda memiliki Organization tag yang ditampilkan di kotak dialog. Masukkan Vault URI, Key name, dan Tenant ID, biarkan Client ID kosong, lalu klik Add.

  4. Verifikasi kunci

    Di daftar Encryption keys, klik Verify di samping kunci. Connected muncul saat pemeriksaan berhasil. Jika yang muncul justru Connection failed, lihat Memecahkan masalah CMEK.

  5. Lampirkan kunci ke workspace

    1. Di bagian atas halaman Data retention, pilih workspace dari menu dropdown.
    2. Di bawah Encryption key, pilih kunci lalu klik Save.
    3. Centang kotak untuk mengonfirmasi bahwa Anda telah membaca dokumentasi CMEK, lalu klik Confirm.

    Anda akan melihat Workspace settings updated. Setelah kunci mulai berlaku, audit log penyedia cloud Anda menampilkan panggilan Anthropic ke kunci tersebut.

    Dalam organisasi ZDR, setelah Anda memilih workspace, pilih Standard data retention agar Encryption key muncul. Setelah Anda mengklik Save, klik Accept pada ketentuan retensi data.

Was this page helpful?