---
title: Cara kerja CMEK
url: https://platform.claude.com/docs/id/manage-claude/cmek-how-it-works
description: Bagaimana kunci Anda melindungi data tersimpan, apa yang dicakup oleh satu kunci, kapan kunci mulai berlaku, dan apa yang dapat Anda lihat.
---

## Kunci Anda membungkus kunci yang mengenkripsi data Anda

Anthropic mengenkripsi data tersimpan Anda dengan kunci data. Dengan "customer-managed encryption keys" (kunci enkripsi yang dikelola pelanggan), atau CMEK, kunci Anda mengenkripsi, atau membungkus, kunci data tersebut. Ini adalah enkripsi amplop. Untuk menulis atau membaca data, Anthropic meminta "key management service" (layanan manajemen kunci), atau KMS, Anda untuk membungkus atau membuka bungkus kunci data.

Kunci data berpindah antara Anthropic dan cloud Anda. Kunci Anda tidak pernah meninggalkan KMS Anda. Data Anda tidak pernah dikirim ke sana.

<Frame>
  ![Kunci Anda tetap berada di KMS cloud Anda dan membungkus kunci data Anthropic, yang mengenkripsi data Anda. Cloud Anda dapat mencatat setiap panggilan.](https://platform.claude.com/docs/id/images/cmek/key-wrapping.svg)
</Frame>

Anthropic tidak menyimpan salinan kunci Anda, sehingga tanpa kunci tersebut, Claude [tidak dapat membaca data yang dilindunginya](https://platform.claude.com/docs/id/manage-claude/cmek-key-lifecycle).

## Apa yang dilindungi oleh satu kunci

Di Claude Platform dan Claude Platform on AWS, sebuah kunci melindungi satu workspace, dan satu kunci dapat melayani beberapa workspace. Di Claude Enterprise, sebuah kunci melindungi seluruh organisasi, dan organisasi tersebut hanya dapat memiliki satu kunci. [Data mana yang dilindungi kunci Anda](https://platform.claude.com/docs/id/manage-claude/cmek#what-cmek-protects) bergantung pada produk Anda.

Di Claude Platform dan Claude Enterprise, kunci Anda memuat ID organisasi Anthropic Anda, yang mengaitkan kunci tersebut dengan organisasi Anda. Bergantung pada KMS Anda, ID tersebut ditempatkan dalam kondisi kebijakan kunci, label, atau tag. Kunci tanpa ID tersebut gagal verifikasi. Kunci yang dibagikan antarorganisasi memuat ID masing-masing organisasi.

Kebijakan kunci AWS KMS dapat [menyebutkan workspace](https://platform.claude.com/docs/id/manage-claude/cmek-aws-kms-workspaces) berdasarkan ID kompartemennya. ID kompartemen adalah UUID yang diberikan Anthropic kepada setiap workspace untuk enkripsi, bukan ID workspace yang diawali dengan `wrkspc_`.

## Tempat kunci Anda berada

Kunci Anda berada di AWS KMS, Google Cloud KMS, atau Azure Key Vault. Penyedia Anda mungkin mengenakan biaya untuk itu.

Di Claude Platform dan Claude Enterprise, CMEK tersedia di region AS, dan Anthropic memproses semua operasi enkripsi di sana. [Setiap halaman penyiapan](https://platform.claude.com/docs/id/manage-claude/cmek#set-it-up) menyebutkan region dengan latensi terendah.

## Kapan kunci Anda mulai berlaku

Kunci Anda hanya melindungi data yang ditulis setelah kunci tersebut mulai berlaku. Data yang sudah ada (chat, file, dan sesi sebelumnya) tetap berada di bawah kunci Anthropic dan tidak dienkripsi ulang.

Di Claude Platform dan Claude Platform on AWS, kunci yang dilampirkan ke workspace sebelum permintaan pertamanya mulai berlaku pada permintaan tersebut. Di workspace yang sedang digunakan, kunci Anda dapat memerlukan waktu hingga satu hari untuk mulai berlaku, dan data yang ditulis selama itu tetap berada di bawah kunci Anthropic. Itulah sebabnya Anthropic merekomendasikan workspace baru.

## Apa yang dapat Anda lihat

Log audit cloud Anda dapat mencatat setiap operasi yang dilakukan Anthropic dengan kunci Anda. Jika Anda harus mengaktifkan pencatatan tersebut, halaman penyiapan Anda mencantumkannya sebagai prasyarat. Di AWS CloudTrail, beberapa entri merupakan [error yang diharapkan](https://platform.claude.com/docs/id/manage-claude/cmek-troubleshooting#cloudtrail).

Perubahan pada konfigurasi CMEK Anda muncul di [Compliance API Activity Feed](https://platform.claude.com/docs/id/manage-claude/compliance-activity-feed). Operasi kunci tidak muncul di sana.

## Latensi dan standar

Setiap operasi membungkus atau membuka bungkus merupakan perjalanan pulang-pergi ke KMS Anda, yang dapat menambah sedikit latensi saat membaca dan menulis data tersimpan. Untuk standar kriptografi seperti FIPS, lihat whitepaper CMEK di [Trust Center](https://trust.anthropic.com/resources).

Selanjutnya, baca [apa yang dilakukan setiap tindakan kunci](https://platform.claude.com/docs/id/manage-claude/cmek-key-lifecycle#what-each-action-does).