Memecahkan masalah CMEK

Verify di Claude Console, Add di claude.ai, dan panggilan validate pada Admin API semuanya menjalankan pemeriksaan yang sama. Jika pemeriksaan gagal (Connection failed di Claude Console), lihat penyebabnya untuk AWS KMS, Google Cloud KMS, atau Azure Key Vault.

Jika suatu fitur berhenti berfungsi, mungkin fitur tersebut termasuk yang dinonaktifkan oleh "customer-managed encryption keys" (kunci enkripsi yang dikelola pelanggan), atau CMEK. Periksa daftar Claude Platform atau daftar Claude Enterprise.

Jika tidak ada yang sesuai di sini, hubungi tim akun Anthropic Anda.

Permintaan gagal setelah penyiapan

cmek_key_disabled

Customer-managed encryption key is disabled or revoked. Re-enable the key to restore access.

Kesalahan 400 ini berarti layanan manajemen kunci Anda menolak panggilan Anthropic. Periksa penyebab berikut secara berurutan:

1. Kunci dinonaktifkan.
2. Akses Anthropic ke kunci Anda telah dicabut. Halaman penyiapan Anda menunjukkan akses yang dibutuhkan Anthropic.
3. Di AWS KMS, kebijakan kunci mencantumkan workspace tetapi tidak mencantumkan workspace ini.
4. Di AWS KMS, kondisi IP memblokir alamat IP keluar Anthropic.

Perbaiki penyebabnya. Dua batasan berlaku saat akses pulih.

cmek_key_network_blocked

The request to your key management service was blocked by its network access controls (for example, a KMS firewall or IP allowlist). Verify that your KMS network rules allow requests from Anthropic's published IP addresses, or contact Anthropic support if your configuration looks correct.

Ini adalah kesalahan 400. Kunci itu sendiri mungkin dalam kondisi baik. Izinkan alamat IP Anthropic yang dipublikasikan dalam aturan jaringan layanan manajemen kunci Anda.

cmek_key_unreachable

The workspace's customer-managed encryption key could not be reached. Try again shortly. If this continues, check that the key is available in your key management service, or contact Anthropic support.

Kesalahan 503 ini berarti Anthropic tidak dapat menjangkau kunci Anda. Coba ulang permintaan tersebut.

Verifikasi gagal: AWS KMS

Untuk mencetak kebijakan kunci, jalankan:

aws kms get-key-policy \
  --region <REGION> \
  --key-id <KEY_ARN> \
  --policy-name default

Kunci yang sudah melindungi data

Jika Anda mengganti kebijakan pada kunci yang sudah melindungi data, tambahkan pernyataan kebijakan ini agar Anthropic tetap dapat mendekripsi data tersebut. Dalam kondisinya, cantumkan ID kompartemen dari setiap workspace tempat kunci tersebut sedang atau pernah dilampirkan.

{
  "Sid": "AllowAnthropicCMEKDecryptExistingData",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
  },
  "Action": "kms:Decrypt",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
    }
  }
}

Verifikasi gagal: Google Cloud KMS

Untuk memeriksa pemberian akses, jalankan:

gcloud kms keys get-iam-policy <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name>

Verifikasi gagal: Azure Key Vault

Melampirkan gagal di Claude Platform on AWS

Claude Platform on AWS tidak memiliki langkah Verify, sehingga masalah pada kunci akan terlihat saat Anda melampirkannya.

Jika melampirkan masih gagal, temukan event kms: yang ditolak di CloudTrail pada akun kunci. Event tersebut menunjukkan principal yang memanggil dan, untuk panggilan kriptografis, konteks enkripsinya. Perbaiki penyebabnya, lalu klik Save lagi.

Melampirkan atau menambahkan kunci ditolak

Workspace tidak menyimpan data

CMEK keys can only be attached to workspaces in this organization that have inference data retention enabled.

Organisasi Anda menggunakan "zero data retention" (tanpa retensi data), atau ZDR, dan kunci memerlukan workspace yang menyimpan data. Alihkan workspace ke Standard data retention terlebih dahulu.

Workspace tidak memiliki pengaturan Encryption key

Hanya workspace yang menyimpan data yang memiliki pengaturan ini, jadi pilih Standard data retention untuk workspace tersebut terlebih dahulu. Workspace default organisasi ZDR tidak dapat dialihkan, jadi gunakan workspace lain.

Tidak ada bagian Encryption keys

Di Claude Console, pilih Organization dari menu dropdown di bagian atas halaman Data retention. Jika bagian tersebut masih tidak ada, peran Anda tidak mencakupnya atau CMEK belum diaktifkan untuk organisasi Anda. Tim akun Anthropic Anda yang mengaktifkan CMEK.

Workspace sudah memiliki kunci

This workspace already has a different external key attached.

Kunci sebuah workspace tidak dapat diganti, jadi buat workspace baru untuk kunci yang berbeda.

Menambahkan kunci di claude.ai gagal

The encryption key couldn’t be added.

Pemeriksaan pada kunci Anda gagal. Temukan penyebabnya untuk AWS KMS, Google Cloud KMS, atau Azure Key Vault. Untuk mencoba lagi, klik Add key lagi. Kotak dialog akan terbuka dengan detail Anda sebelumnya. Pilih kotak centang, klik Continue, lalu klik Add.

Kesalahan yang diharapkan di CloudTrail

Di Claude Platform dan Claude Enterprise, Anthropic memeriksa kunci setiap kali Anda memverifikasinya, melampirkannya ke workspace, atau melihatnya di claude.ai. Setiap pemeriksaan menambahkan empat kesalahan access-denied yang diharapkan ke CloudTrail.

Untuk menyaringnya, cocokkan ketiga nilai berikut:

• requestParameters.encryptionContext.associatedData: Y21lay12YWxpZGF0aW9u
• userIdentity.accountId: 915198916910
• resources.ARN: arn:aws:kms:<REGION>:<AWS_ACCOUNT_ID>:key/<KEY_ID>

Nilai pertama saja tidak cukup, karena pemanggil mana pun dapat menetapkannya.