Cara kerja CMEK
Bagaimana kunci Anda melindungi data tersimpan, apa yang dicakup oleh satu kunci, kapan kunci mulai berlaku, dan apa yang dapat Anda lihat.
Kunci Anda membungkus kunci yang mengenkripsi data Anda
Anthropic mengenkripsi data tersimpan Anda dengan kunci data. Dengan "customer-managed encryption keys" (kunci enkripsi yang dikelola pelanggan), atau CMEK, kunci Anda mengenkripsi, atau membungkus, kunci data tersebut. Ini adalah enkripsi amplop. Untuk menulis atau membaca data, Anthropic meminta "key management service" (layanan manajemen kunci), atau KMS, Anda untuk membungkus atau membuka bungkus kunci data.
Kunci data berpindah antara Anthropic dan cloud Anda. Kunci Anda tidak pernah meninggalkan KMS Anda. Data Anda tidak pernah dikirim ke sana.
Anthropic tidak menyimpan salinan kunci Anda, sehingga tanpa kunci tersebut, Claude tidak dapat membaca data yang dilindunginya.
Apa yang dilindungi oleh satu kunci
Di Claude Platform dan Claude Platform on AWS, sebuah kunci melindungi satu workspace, dan satu kunci dapat melayani beberapa workspace. Di Claude Enterprise, sebuah kunci melindungi seluruh organisasi, dan organisasi tersebut hanya dapat memiliki satu kunci. Data mana yang dilindungi kunci Anda bergantung pada produk Anda.
Di Claude Platform dan Claude Enterprise, kunci Anda memuat ID organisasi Anthropic Anda, yang mengaitkan kunci tersebut dengan organisasi Anda. Bergantung pada KMS Anda, ID tersebut ditempatkan dalam kondisi kebijakan kunci, label, atau tag. Kunci tanpa ID tersebut gagal verifikasi. Kunci yang dibagikan antarorganisasi memuat ID masing-masing organisasi.
Kebijakan kunci AWS KMS dapat menyebutkan workspace berdasarkan ID kompartemennya. ID kompartemen adalah UUID yang diberikan Anthropic kepada setiap workspace untuk enkripsi, bukan ID workspace yang diawali dengan wrkspc_.
Tempat kunci Anda berada
Kunci Anda berada di AWS KMS, Google Cloud KMS, atau Azure Key Vault. Penyedia Anda mungkin mengenakan biaya untuk itu.
Di Claude Platform dan Claude Enterprise, CMEK tersedia di region AS, dan Anthropic memproses semua operasi enkripsi di sana. Setiap halaman penyiapan menyebutkan region dengan latensi terendah.
Kapan kunci Anda mulai berlaku
Kunci Anda hanya melindungi data yang ditulis setelah kunci tersebut mulai berlaku. Data yang sudah ada (chat, file, dan sesi sebelumnya) tetap berada di bawah kunci Anthropic dan tidak dienkripsi ulang.
Di Claude Platform dan Claude Platform on AWS, kunci yang dilampirkan ke workspace sebelum permintaan pertamanya mulai berlaku pada permintaan tersebut. Di workspace yang sedang digunakan, kunci Anda dapat memerlukan waktu hingga satu hari untuk mulai berlaku, dan data yang ditulis selama itu tetap berada di bawah kunci Anthropic. Itulah sebabnya Anthropic merekomendasikan workspace baru.
Apa yang dapat Anda lihat
Log audit cloud Anda dapat mencatat setiap operasi yang dilakukan Anthropic dengan kunci Anda. Jika Anda harus mengaktifkan pencatatan tersebut, halaman penyiapan Anda mencantumkannya sebagai prasyarat. Di AWS CloudTrail, beberapa entri merupakan error yang diharapkan.
Perubahan pada konfigurasi CMEK Anda muncul di Compliance API Activity Feed. Operasi kunci tidak muncul di sana.
Latensi dan standar
Setiap operasi membungkus atau membuka bungkus merupakan perjalanan pulang-pergi ke KMS Anda, yang dapat menambah sedikit latensi saat membaca dan menulis data tersimpan. Untuk standar kriptografi seperti FIPS, lihat whitepaper CMEK di Trust Center.
Selanjutnya, baca apa yang dilakukan setiap tindakan kunci.
Was this page helpful?