Mengonfigurasi Google Cloud KMS untuk CMEK

Lewati langkah ini jika Anda sudah memiliki key ring yang dapat digunakan kembali. Key ring bersifat regional. Pilih lokasi AS dengan satu region seperti us-east5 yang sesuai dengan geografi Anthropic yang sedang Anda konfigurasi. Lokasi multi-region seperti us dan global tidak didukung.

gcloud kms keyrings create <your-keyring-name> \
  --project=<your-project-id> \
  --location=<region>

Buat kunci simetris dengan tujuan ENCRYPT_DECRYPT. Perlindungan HSM sangat direkomendasikan: kunci HSM Cloud KMS telah divalidasi FIPS 140-2 Level 3, dan selisih biayanya dibandingkan kunci perangkat lunak tergolong kecil.

gcloud kms keys create <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name> \
  --purpose=encryption \
  --protection-level=hsm

Untuk perlindungan perangkat lunak, hilangkan --protection-level=hsm. Tidak ada hal lain dalam panduan ini yang berubah.

Anda juga dapat membuat kunci dari Google Cloud Console. Buka key ring, klik Create key, pilih Generated key, atur tujuan dan algoritma ke symmetric encrypt and decrypt, lalu pilih HSM di bagian protection level.

Dua binding IAM tingkat kunci diperlukan. Keduanya dicakupkan ke satu kunci kripto saja, bukan ke seluruh proyek atau seluruh key ring.

Encrypt dan decrypt, yang digunakan Anthropic untuk mengenkripsi dan mendekripsi kunci data yang melindungi data workspace Anda (envelope encryption):

gcloud kms keys add-iam-policy-binding <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name> \
  --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
  --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

Viewer, untuk pembacaan metadata (cryptoKeys.get) yang dilakukan Anthropic saat startup untuk memvalidasi tujuan dan algoritma kunci:

gcloud kms keys add-iam-policy-binding <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name> \
  --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
  --role=roles/cloudkms.viewer

Dari Console, pilih kunci tersebut, buka panel Permissions, klik Grant access, lalu tambahkan akun layanan dengan kedua peran Cloud KMS CryptoKey Encrypter/Decrypter dan Cloud KMS Viewer. Pastikan Anda berada di halaman permissions milik kunci tersebut, bukan key ring atau proyek, sehingga pemberian akses dicakupkan hanya ke kunci ini.

Anda meneruskan nama ini ke Anthropic saat mendaftarkan kunci. Formatnya adalah:

projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>

Ambil dengan perintah:

gcloud kms keys describe <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name> \
  --format="value(name)"

Dari Console, buka halaman detail kunci dan klik Copy resource name.

Buat konfigurasi kunci eksternal melalui Admin API, menggunakan nama resource dari langkah sebelumnya.

curl -sS https://api.anthropic.com/v1/organizations/external_keys \
  -H "x-api-key: <anthropic-admin-api-key>" \
  -H "anthropic-version: 2023-06-01" \
  -H "content-type: application/json" \
  -d '{
    "display_name": "<friendly-name>",
    "geo": "us",
    "provider_config": {
      "type": "gcp",
      "key_name": "projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>"
    }
  }'

Respons berisi ID kunci eksternal:

{
  "type": "external_key",
  "id": "ekey_<id>",
  "display_name": "<friendly-name>"
}

Picu proses enkripsi dan dekripsi bolak-balik terhadap kunci Anda.

curl -sS -X POST https://api.anthropic.com/v1/organizations/external_keys/ekey_<id>/validate \
  -H "x-api-key: <anthropic-admin-api-key>" \
  -H "anthropic-version: 2023-06-01" \
  -H "content-type: application/json" -d '{}'

Respons yang berhasil terlihat seperti ini:

{ "type": "external_key_validation", "status": "success", "error": null }

Jika validasi gagal, penyebab umumnya adalah:

• VPC Service Controls: jika perimeter layanan melindungi Cloud KMS di proyek Anda, tambahkan Anthropic ke access level pada perimeter tersebut (atau kecualikan proyek kunci) agar Anthropic dapat menjangkau kunci tersebut.
• Domain restricted sharing: kebijakan organisasi constraints/iam.allowedPolicyMemberDomains dapat menghapus binding akun layanan Anthropic (lihat catatan di atas). Pastikan binding tersebut ada dengan gcloud kms keys get-iam-policy <your-key-name> --project=<your-project-id> --location=<region> --keyring=<your-keyring-name>.
• Versi kunci yang dinonaktifkan atau dihancurkan: pastikan versi utama kunci diaktifkan, dan tidak dinonaktifkan, dijadwalkan untuk dihancurkan, atau sudah dihancurkan.