Configura AWS KMS per CMEK

La policy della chiave concede al ruolo IAM di Anthropic l'accesso cross-account. Sono richieste tre dichiarazioni:

1. Account root admin: il pattern KMS standard. Il tuo account mantiene il pieno controllo amministrativo.
2. Anthropic encrypt e decrypt: le azioni kms:Encrypt e kms:Decrypt, che Anthropic usa per crittografare e decrittografare le chiavi dati che proteggono i dati del tuo workspace (crittografia a busta).
3. Anthropic describe: la lettura dei metadati che Anthropic esegue all'avvio. Viene concessa separatamente perché DescribeKey non ha un parametro EncryptionContext, quindi una condizione EncryptionContext su questa azione negherebbe sempre l'accesso.

export YOUR_ACCOUNT=$(aws sts get-caller-identity --query Account --output text)

aws kms create-key \
  --region <region> \
  --description "Anthropic CMEK" \
  --key-usage ENCRYPT_DECRYPT \
  --policy "{
    \"Version\": \"2012-10-17\",
    \"Statement\": [
      {
        \"Sid\": \"AccountRootAdmin\",
        \"Effect\": \"Allow\",
        \"Principal\": {\"AWS\": \"arn:aws:iam::${YOUR_ACCOUNT}:root\"},
        \"Action\": \"kms:*\",
        \"Resource\": \"*\"
      },
      {
        \"Sid\": \"AllowAnthropicCMEKCrypto\",
        \"Effect\": \"Allow\",
        \"Principal\": {\"AWS\": \"arn:aws:iam::915198916910:role/anthropic-cmek-client-us\"},
        \"Action\": [\"kms:Encrypt\", \"kms:Decrypt\"],
        \"Resource\": \"*\",
        \"Condition\": {
          \"StringEquals\": {
            \"kms:EncryptionContext:anthropic:compartment_uuid\": [
              \"00000000-0000-0000-0000-000000000000\",
              \"<compartment-uuid>\"
            ]
          }
        }
      },
      {
        \"Sid\": \"AllowAnthropicCMEKDescribe\",
        \"Effect\": \"Allow\",
        \"Principal\": {\"AWS\": \"arn:aws:iam::915198916910:role/anthropic-cmek-client-us\"},
        \"Action\": \"kms:DescribeKey\",
        \"Resource\": \"*\"
      }
    ]
  }"

Acquisisci KeyMetadata.Arn dall'output. Ti servirà quando registrerai la chiave nel passaggio successivo.

La condizione EncryptionContext è consigliata ma facoltativa. Anthropic include sempre l'ID del compartimento del tuo workspace nel contesto di crittografia, quindi il testo cifrato è comunque legato crittograficamente a quel compartimento. L'aggiunta della condizione fornisce una difesa in profondità a livello IAM. Per iniziare senza di essa, ometti il blocco Condition dalla dichiarazione AllowAnthropicCMEKCrypto e aggiungilo in seguito con kms:PutKeyPolicy.

Puoi anche creare la chiave dalla Console AWS. Scegli una chiave simmetrica con l'uso della chiave per crittografia e decrittografia, una chiave a regione singola e l'origine del materiale della chiave KMS. La procedura guidata Create-key applica una policy della chiave nel suo passaggio Review: se aggiungi lì l'ID account di Anthropic 915198916910 sotto i permessi di utilizzo della chiave, la policy generata concede all'intero account Anthropic azioni più ampie (come kms:ReEncrypt* e kms:GenerateDataKey*) senza condizione EncryptionContext, e la validazione avrebbe comunque successo. Per evitare di lasciare una chiave con permessi eccessivi, completa la procedura guidata solo con i permessi amministrativi, poi apri la scheda Key policy della chiave e sostituisci il JSON con la policy limitata al ruolo mostrata in precedenza (le tre dichiarazioni limitate al ruolo anthropic-cmek-client-us, con la condizione EncryptionContext).