Claude Platform Docs
AdminMenyiapkan CMEK

Menyiapkan CMEK dengan Google Cloud KMS

Buat kunci Google Cloud KMS, berikan Anthropic akses ke kunci tersebut, dan gunakan kunci itu di Claude Platform atau Claude Enterprise.

Claude Code

Biarkan Claude Code menyiapkan fitur ini untuk Anda

/claude-api bantu saya mengonfigurasi kunci enkripsi yang dikelola pelanggan dengan Google Cloud KMS

Sebelum Anda mulai

Di Claude:

Di Google Cloud:

  • Cloud KMS API sudah diaktifkan.
  • Anda dapat membuat key ring dan kunci, serta menetapkan kebijakan IAM pada keduanya (roles/cloudkms.admin atau yang setara).
  • Log audit Data Access Cloud KMS (Data Read dan Data Write) sudah diaktifkan, sehingga Cloud Logging mencatat penggunaan kunci Anda oleh Anthropic. Log ini nonaktif secara default.
  • Jika organisasi Google Cloud Anda menerapkan berbagi terbatas domain (constraints/iam.allowedPolicyMemberDomains), hal ini memblokir pemberian akses ke akun layanan Anthropic. Tambahkan pengecualian di tingkat proyek, atau izinkan ID pelanggan Cloud Identity milik Anthropic. Hubungi Anthropic untuk mendapatkan ID tersebut.

Di Google Cloud: buat kunci

Setelah Verify atau Add gagal, lihat perbaikan untuk Google Cloud KMS.

Langkah-langkah ini memberi kunci label berupa ID organisasi Anthropic Anda dalam huruf kecil (<ORGANIZATION_UUID>) dan memberikan akses ke akun layanan Anthropic:

anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com

Gunakan hanya alamat ini, jangan pernah alamat yang dikirim melalui email atau chat.

Anda dapat menggunakan lokasi Cloud KMS mana pun. Untuk latensi terendah, gunakan us-east5 atau us-central1. Anthropic sangat menyarankan perlindungan HSM.

Untuk menggunakan kunci yang sudah Anda miliki, tambahkan label organisasi terlebih dahulu.

  1. Buat atau pilih key ring

    Di Google Cloud console, buka halaman Key management. Buka sebuah key ring, atau buat key ring di lokasi seperti us-east5.

  2. Konfigurasikan kunci

    Klik Create key dan masukkan nama. Pilih opsi-opsi berikut:

    • Protection level: HSM
    • Key material: Generated key
    • Purpose: Symmetric encrypt/decrypt
    • Algorithm: Google symmetric key

  3. Tambahkan label organisasi

    Klik Additional settings, lalu Add label. Masukkan label organisasi:

    • Key 1: anthropic-org-<ORGANIZATION_UUID>
    • Value 1: true

    Klik Create.

    Halaman Create key Google Cloud KMS dengan perlindungan HSM, enkripsi/dekripsi simetris, dan label anthropic-org yang disetel ke true.

    Kunci enkripsi/dekripsi simetris yang dilindungi HSM dengan label organisasi.

  4. Buka izin kunci

    Di halaman detail key ring, pilih kotak centang di sebelah kunci. Buka panel Permissions dan klik Grant access.

  5. Berikan akun layanan Anthropic akses ke kunci

    Periksa bahwa Resource menampilkan kunci, bukan key ring atau proyek. Masukkan nilai-nilai berikut:

    • New principals: anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com
    • Role: Cloud KMS CryptoKey Encrypter/Decrypter

    Klik Add another role dan pilih Cloud KMS Viewer. Klik Save.

    Dialog Grant access dengan akun layanan Anthropic yang diberi peran Cloud KMS CryptoKey Encrypter/Decrypter dan Viewer.

    Berikan kedua peran kepada akun layanan Anthropic, dengan cakupan pada kunci.

  6. Salin nama resource lengkap kunci

    Di halaman detail key ring, buka menu Actions milik kunci dan klik Copy resource name.

    Detail key ring Google Cloud dengan tindakan Copy resource name disorot di menu actions milik kunci.

    Salin nama resource lengkap kunci dari menu actions.

Siapa pun yang menambahkan kunci di Claude memerlukan nama resource lengkapnya, dalam format ini:

projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>

Tambahkan label organisasi ke kunci yang sudah Anda miliki

Verifikasi gagal kecuali kunci memiliki label anthropic-org-<ORGANIZATION_UUID> yang disetel ke true, dengan ID organisasi Anthropic Anda dalam huruf kecil. Untuk menambahkan label, jalankan:

gcloud kms keys update <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name> \
  --update-labels=anthropic-org-<ORGANIZATION_UUID>=true

Nilai-nilai lainnya ada di nama resource lengkap kunci, dan perintah ini mempertahankan label yang sudah ada. Kemudian lanjutkan ke langkah-langkah yang memberikan akses.

Di Claude: tambahkan dan lampirkan kunci

Untuk membuat skrip bagian ini di Claude Platform, gunakan Admin API sebagai gantinya.

  1. Buka pengaturan kunci enkripsi

    Di Claude Console, buka Encryption keys di halaman Data retention. Jika bagian tersebut tidak ada, pilih Organization dari menu dropdown di bagian atas.

  2. Tambahkan kunci

    Di bawah Encryption keys, klik Add key. Masukkan Display name, pilih Google Cloud KMS, dan klik Continue.

  3. Masukkan nama resource kunci

    Periksa bahwa kunci Anda memiliki Organization label yang ditampilkan di kotak dialog. Tempelkan nama resource lengkap kunci ke Key resource name dan klik Add.

  4. Verifikasi kunci

    Di daftar Encryption keys, klik Verify di samping kunci. Connected muncul saat pemeriksaan berhasil. Jika yang muncul justru Connection failed, lihat Memecahkan masalah CMEK.

  5. Lampirkan kunci ke workspace

    1. Di bagian atas halaman Data retention, pilih workspace dari menu dropdown.
    2. Di bawah Encryption key, pilih kunci lalu klik Save.
    3. Centang kotak untuk mengonfirmasi bahwa Anda telah membaca dokumentasi CMEK, lalu klik Confirm.

    Anda akan melihat Workspace settings updated. Setelah kunci mulai berlaku, audit log penyedia cloud Anda menampilkan panggilan Anthropic ke kunci tersebut.

    Dalam organisasi ZDR, setelah Anda memilih workspace, pilih Standard data retention agar Encryption key muncul. Setelah Anda mengklik Save, klik Accept pada ketentuan retensi data.

Was this page helpful?