Menyiapkan CMEK di Claude Platform on AWS

Panduan ini menunjukkan cara menggunakan kunci AWS KMS sebagai customer-managed encryption key (CMEK) di Claude Platform on AWS. Untuk Claude Platform atau Claude Enterprise, ikuti Konfigurasikan AWS KMS untuk CMEK sebagai gantinya.

Prasyarat

• Akun AWS yang menghosting organisasi Claude Platform on AWS Anda, dengan izin untuk membuat kunci KMS dan menetapkan kebijakan kunci (kms:CreateKey dan kms:PutKeyPolicy).

• Untuk membuat kunci dari baris perintah, AWS CLI terpasang dan terautentikasi.

• Peran Admin di Claude Console untuk Claude Platform on AWS. Lihat Menggunakan Claude Console.

• Izin berikut untuk principal IAM yang Anda gunakan untuk masuk ke Claude Console:

  • Masuk: aws-external-anthropic:AssumeConsole
  • Mendaftarkan kunci: aws-external-anthropic:RegisterKey
  • Melihat kunci terdaftar: aws-external-anthropic:ListKeys dan aws-external-anthropic:GetKey
  • Melampirkan kunci: aws-external-anthropic:UpdateWorkspace atau aws-external-anthropic:CreateWorkspace, ditambah kms:DescribeKey, kms:Encrypt, dan kms:Decrypt pada kunci tersebut
  • Memilih kunci dari daftar (opsional): kms:ListKeys dan kms:DescribeKey

  aws-external-anthropic:RegisterKey, aws-external-anthropic:ListKeys, aws-external-anthropic:GetKey, dan aws-external-anthropic:CreateWorkspace memiliki cakupan akun. Berikan izin tersebut pada Resource: "*". Lihat Tindakan IAM.

Service principal AWS untuk Anthropic

Kebijakan kunci dalam panduan ini memberikan akses ke kunci Anda kepada "service principal" (principal layanan) AWS berikut:

aws-external-anthropic.amazonaws.com

Penyiapan kunci enkripsi

Menyiapkan kebijakan kunci

Salin kebijakan ini ke editor teks:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AccountRootAdmin",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<AWS_ACCOUNT_ID>:root"
      },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "AllowClaudePlatformOnAWSCrypto",
      "Effect": "Allow",
      "Principal": {
        "Service": "aws-external-anthropic.amazonaws.com"
      },
      "Action": ["kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKey"],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
        }
      }
    },
    {
      "Sid": "AllowClaudePlatformOnAWSDescribe",
      "Effect": "Allow",
      "Principal": {
        "Service": "aws-external-anthropic.amazonaws.com"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    }
  ]
}

Kondisi EncryptionContext bersifat opsional. Kondisi ini membatasi kunci hanya untuk workspace yang Anda cantumkan. Untuk menghapusnya, hapus blok Condition dari pernyataan AllowClaudePlatformOnAWSCrypto.

Jika Anda mempertahankan kondisi tersebut, tambahkan ID compartment setiap workspace sebelum Anda melampirkan kunci ke workspace tersebut. Untuk workspace baru:

1. Buat workspace tanpa kunci.
2. Tambahkan ID compartment-nya ke kebijakan.
3. Lampirkan kunci.

Jika Anda menambahkan kondisi tersebut nanti, cantumkan ID compartment dari setiap workspace yang sudah dilampiri kunci tersebut.

Untuk membatasi kebijakan kunci lebih lanjut, lihat kondisi aws:SourceArn opsional.

Ganti placeholder:

• <AWS_ACCOUNT_ID>: ID akun AWS Anda. Untuk menampilkannya dengan AWS CLI, jalankan aws sts get-caller-identity --query Account --output text.
• <COMPARTMENT_UUID>: ID compartment dari workspace tempat Anda melampirkan kunci

Membuat kunci

Buat kunci di akun AWS yang menghosting organisasi Claude Platform on AWS Anda, di region yang sama dengan workspace.

aws kms create-key \
  --region <REGION> \
  --description "Anthropic CMEK" \
  --key-usage ENCRYPT_DECRYPT \
  --policy file://key-policy.json

Mendaftarkan kunci dengan Anthropic

Masuk ke Claude Console melalui AWS dengan peran Admin.

1. 1

   Buka pengaturan kunci enkripsi

   Di Claude Console, buka halaman Data retention (platform.claude.com/settings/privacy). Jika Anda tidak melihat Encryption keys, pilih Organization dari menu dropdown di bagian atas halaman.

2. 2

   Tambahkan kunci

   Di bawah Encryption keys, klik Add key. Masukkan Display name.

3. 3

   Masukkan ARN kunci

   Anthropic menolak ARN alias dan kunci multi-Region.

   Di KMS key ARN, tempelkan ARN kunci. Jika yang muncul justru daftar kunci, pilih kunci Anda, atau klik Enter ARN manually lalu tempelkan ARN. Klik Add.

4. 4

   Lampirkan kunci ke workspace

   Melampirkan kunci tidak dapat dibatalkan. Jika memungkinkan, lampirkan kunci ke workspace baru sebelum workspace tersebut menerima permintaan apa pun. Di workspace yang sudah menerima permintaan, kunci dapat memerlukan hingga satu hari untuk berlaku.

   Di halaman Data retention, pilih workspace dari menu dropdown di bagian atas halaman. Di bawah Encryption key, pilih kunci dan klik Save.

5. 5

   Konfirmasi perubahan

   Centang kotak untuk mengonfirmasi bahwa Anda telah membaca dokumentasi CMEK, lalu klik Confirm.

Proses melampirkan akan memvalidasi kunci. Jika gagal dengan kesalahan akses KMS, lihat Memecahkan masalah validasi.

Anda juga dapat memilih kunci saat membuat workspace di Claude Console, jika kebijakan kunci Anda tidak memiliki kondisi EncryptionContext.

Untuk mendaftarkan dan melampirkan kunci dengan API sebagai gantinya, lihat Tindakan IAM. API mengidentifikasi kunci berdasarkan ARN kunci KMS-nya.

Memecahkan masalah validasi

Jika validasi gagal, penyebab umumnya adalah:

• Ketidakcocokan kebijakan kunci: Pastikan kebijakan kunci sesuai dengan yang ada di Menyiapkan kebijakan kunci. Untuk memeriksa kebijakan kunci, jalankan aws kms get-key-policy --region <REGION> --key-id <KEY_ARN> --policy-name default.
• Ketidakcocokan kondisi: Pastikan setiap kondisi EncryptionContext atau aws:SourceArn mencakup workspace ini.
• Status atau lokasi kunci: Konfirmasikan bahwa kunci diaktifkan, bersifat single-Region, dan berada di akun AWS serta region yang sama dengan workspace.
• Izin yang kurang: Principal yang Anda gunakan untuk masuk memerlukan kms:DescribeKey, kms:Encrypt, dan kms:Decrypt pada kunci tersebut.
• Kebijakan organisasi: Pastikan tidak ada service control policy atau resource control policy di organisasi AWS Anda yang memblokir service principal atau principal Anda.

Jika proses melampirkan masih gagal, temukan event kms: yang ditolak di CloudTrail pada akun pemilik kunci. Event tersebut menunjukkan principal pemanggil dan, untuk panggilan kriptografis, konteks enkripsinya. Setelah Anda memperbaiki penyebabnya, klik Save lagi.

Terraform

Untuk membuat kunci dengan Terraform, gunakan resource aws_kms_key dan aws_kms_alias dari provider aws.