Claude Platform Docs
AmministrazioneConfigurare CMEK

Configurare CMEK con AWS KMS

Crea una chiave AWS KMS, concedi ad Anthropic l'accesso alla chiave e mettila in uso in Claude Platform o Claude Enterprise.

Claude Code

Lascia che Claude Code configuri questa funzionalità per te

/claude-api aiutami a configurare una chiave di crittografia gestita dal cliente con AWS KMS

Se la barra laterale della tua Claude Console mostra Account managed by AWS, segui invece Configurare CMEK su Claude Platform on AWS.

Prima di iniziare

In Claude:

In AWS:

  • Puoi creare chiavi AWS KMS e impostarne le policy della chiave (kms:CreateKey e kms:PutKeyPolicy).
  • Qualsiasi restrizione IP sull'accesso ad AWS KMS consente gli indirizzi IP in uscita di Anthropic.

In AWS: crea la chiave

Dopo un'operazione Verify o Add non riuscita, consulta le correzioni per AWS KMS.

Scrivi la policy della chiave

Questa policy concede al ruolo IAM di Anthropic l'accesso alla tua chiave. Usa solo l'ARN del ruolo pubblicato in questa pagina, mai uno inviato via email o chat. Copia la policy in un editor di testo:

key-policy.json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AccountRootAdmin",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<AWS_ACCOUNT_ID>:root"
      },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "AllowAnthropicCMEKCrypto",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
      },
      "Action": ["kms:Encrypt", "kms:Decrypt"],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:anthropic:org_uuid": ["<ORGANIZATION_UUID>"]
        }
      }
    },
    {
      "Sid": "AllowAnthropicCMEKDescribe",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    }
  ]
}

Sostituisci <AWS_ACCOUNT_ID> con il tuo ID account AWS e <ORGANIZATION_UUID> con il tuo ID dell'organizzazione Anthropic. Mantieni la condizione kms:EncryptionContext:anthropic:org_uuid, altrimenti la verifica non riesce.

Puoi anche limitare la chiave a workspace specifici elencandone gli ID del compartimento. Se stai sostituendo la policy su una chiave che protegge già dati di Claude, aggiungi un'ulteriore istruzione della policy.

Crea la chiave

Puoi creare la chiave in qualsiasi regione commerciale AWS. Per la latenza più bassa, usa us-east-2.

Per usare una chiave che hai già in AWS KMS, sostituisci la sua policy della chiave.

  1. Apri la procedura guidata Create key

    Apri la console AWS KMS e passa alla regione della chiave. Vai a Customer managed keys e fai clic su Create key.

  2. Configure key

    Assicurati che siano selezionate queste opzioni:

    • Key type: Symmetric
    • Key usage: Encrypt and decrypt
    • Advanced options > Key material origin: KMS
    • Advanced options > Regionality: Single-Region key

    Fai clic su Next.

    Passaggio Configure key di AWS KMS con il tipo di chiave Symmetric, l'utilizzo della chiave Encrypt and decrypt e Single-Region key selezionati.

    Chiave simmetrica, di crittografia e decrittografia, a regione singola.

  3. Add labels

    Inserisci un Alias per la chiave, ad esempio anthropic-cmek. Fai clic su Next.

    Passaggio Add labels di AWS KMS con un alias anthropic-cmek e una descrizione Anthropic CMEK.

    Un alias per la chiave.

  4. Define key administrative permissions

    Non selezionare alcun amministratore della chiave. La tua policy della chiave concede già il pieno controllo amministrativo al tuo account AWS. Fai clic su Next.

    Passaggio Define key administrative permissions di AWS KMS che elenca i ruoli IAM che possono amministrare la chiave.

    Lascia vuoto l'elenco degli amministratori della chiave.

  5. Define key usage permissions

    Non selezionare alcun utente della chiave e non aggiungere nulla in Other AWS accounts. La tua policy della chiave concede già l'accesso necessario. Fai clic su Next.

  6. Edit key policy

    Fai clic su Edit. Sostituisci l'intera policy con la tua policy della chiave, quindi fai clic su Next.

  7. Review

    Fai clic su Finish.

  8. Copia l'ARN della chiave

    In Customer managed keys, apri la nuova chiave e copiane l'ARN. Serve a chi aggiunge la chiave in Claude.

Ogni controllo della chiave in Claude aggiunge a CloudTrail quattro errori di accesso negato previsti. Puoi escluderli con un filtro.

In Claude: aggiungi e collega la chiave

Per eseguire questa parte tramite script su Claude Platform, usa invece l'Admin API.

  1. Apri le impostazioni delle chiavi di crittografia

    Nella Claude Console, apri la sezione Encryption keys nella pagina Data retention. Se la sezione non è presente, seleziona Organization dal menu a discesa in alto.

  2. Aggiungi la chiave

    In Encryption keys, fai clic su Add key. Inserisci un Display name, seleziona AWS KMS e fai clic su Continue.

  3. Inserisci l'ARN della chiave

    Verifica che la tua policy della chiave contenga l'Organization ID for the key policy mostrato nella finestra di dialogo. Incolla l'ARN della chiave in KMS key ARN e fai clic su Add.

  4. Verifica la chiave

    Nell'elenco Encryption keys, fai clic su Verify accanto alla chiave. Quando il controllo ha esito positivo, viene visualizzato Connected. Se invece viene visualizzato Connection failed, consulta Risolvere i problemi di CMEK.

  5. Collega la chiave a un workspace

    1. Nella parte superiore della pagina Data retention, seleziona il workspace dal menu a discesa.
    2. In Encryption key, seleziona la chiave e fai clic su Save.
    3. Seleziona la casella di controllo per confermare di aver letto la documentazione su CMEK, quindi fai clic su Confirm.

    Viene visualizzato Workspace settings updated. Una volta che la tua chiave entra in vigore, il log di audit del tuo provider cloud mostra le chiamate di Anthropic alla tua chiave.

    In un'organizzazione ZDR, dopo aver selezionato il workspace, seleziona Standard data retention affinché venga visualizzato Encryption key. Dopo aver fatto clic su Save, fai clic su Accept sui termini di conservazione dei dati.

Was this page helpful?