Limitare una chiave AWS KMS a workspace specifici

La policy della chiave della configurazione consente a ogni workspace della tua organizzazione di usare la chiave. Con questa condizione facoltativa, un workspace non elencato non può usarla.

Aggiungi l'ID del compartimento di un workspace alla policy prima di collegare la chiave a quel workspace. Per un nuovo workspace, ciò significa crearlo senza la chiave.

Copia l'ID del compartimento del workspace

Nella Claude Console, apri la pagina Data retention e seleziona il workspace dal menu a discesa in alto. Copia il Compartment ID sotto Encryption key. L'endpoint Get Workspace lo restituisce come compartment_id.

Un'organizzazione Claude Enterprise ha un solo ID del compartimento. Copialo dalla tua chiave in Encryption keys in claude.ai > Organization settings > Data and privacy.

Aggiungi la condizione alla policy della chiave

Sostituisci l'istruzione della policy AllowAnthropicCMEKCrypto con questa. Inserisci l'ID della tua organizzazione Anthropic e l'ID del compartimento di ogni workspace che usa la chiave. Una chiave che protegge già dei dati richiede un'ulteriore istruzione della policy.

{
  "Sid": "AllowAnthropicCMEKCrypto",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
  },
  "Action": ["kms:Encrypt", "kms:Decrypt"],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:anthropic:org_uuid": ["<ORGANIZATION_UUID>"]
    },
    "StringEqualsIfExists": {
      "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
    }
  }
}

Sostituisci la policy della chiave su una chiave esistente

1. Nella console AWS KMS, apri la chiave e fai clic sulla scheda Key policy.
2. Se vedi Switch to policy view, fai clic su di esso.
3. Fai clic su Edit.
4. Sostituisci il JSON con la tua policy della chiave.
5. Fai clic su Save changes.