--- title: Configurare CMEK con AWS KMS url: https://platform.claude.com/docs/it/manage-claude/cmek-aws-kms description: Crea una chiave AWS KMS, concedi ad Anthropic l'accesso alla chiave e mettila in uso in Claude Platform o Claude Enterprise. --- Lascia che Claude Code configuri questa funzionalità per te ```text /claude-api aiutami a configurare una chiave di crittografia gestita dal cliente con AWS KMS ``` Se la barra laterale della tua Claude Console mostra **Account managed by AWS**, segui invece [Configurare CMEK su Claude Platform on AWS](https://platform.claude.com/docs/it/manage-claude/cmek-claude-platform-on-aws). ## Prima di iniziare In Claude: * Le chiavi di crittografia gestite dal cliente (CMEK) sono [attivate per la tua organizzazione](https://platform.claude.com/docs/it/manage-claude/cmek#availability). * Hai l'ID della tua organizzazione Anthropic, l'UUID senza il prefisso `org_`. Copialo da [Organization](https://platform.claude.com/settings/organization) nella Claude Console, oppure da **Organization settings > Organization and access** su claude.ai. Serve a chi crea la chiave. * Sei un Organization Admin su Claude Platform, oppure un Owner o Primary Owner su Claude Enterprise. * Su Claude Platform, hai un workspace che [conserva i dati](https://platform.claude.com/docs/it/manage-claude/cmek-data-retention#data-retention), idealmente uno nuovo, perché [i dati esistenti restano sotto la chiave di Anthropic](https://platform.claude.com/docs/it/manage-claude/cmek-how-it-works#when-your-key-takes-effect). * Su Claude Enterprise, sai [quali funzionalità vengono disattivate o cambiano](https://platform.claude.com/docs/it/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed). In AWS: * Puoi creare chiavi AWS KMS e impostarne le policy della chiave (`kms:CreateKey` e `kms:PutKeyPolicy`). * Qualsiasi restrizione IP sull'accesso ad AWS KMS consente gli [indirizzi IP in uscita di Anthropic](https://platform.claude.com/docs/it/api/ip-addresses#outbound-ip-addresses). ## In AWS: crea la chiave Dopo un'operazione **Verify** o **Add** non riuscita, consulta le [correzioni per AWS KMS](https://platform.claude.com/docs/it/manage-claude/cmek-troubleshooting#aws-kms). ### Scrivi la policy della chiave Questa policy concede al ruolo IAM di Anthropic l'accesso alla tua chiave. Usa solo l'ARN del ruolo pubblicato in questa pagina, mai uno inviato via email o chat. Copia la policy in un editor di testo: ```json key-policy.json { "Version": "2012-10-17", "Statement": [ { "Sid": "AccountRootAdmin", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam:::root" }, "Action": "kms:*", "Resource": "*" }, { "Sid": "AllowAnthropicCMEKCrypto", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": ["kms:Encrypt", "kms:Decrypt"], "Resource": "*", "Condition": { "StringEquals": { "kms:EncryptionContext:anthropic:org_uuid": [""] } } }, { "Sid": "AllowAnthropicCMEKDescribe", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": "kms:DescribeKey", "Resource": "*" } ] } ``` Sostituisci `` con il tuo [ID account AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/console-account-id.html) e `` con il tuo [ID dell'organizzazione Anthropic](https://platform.claude.com/docs/it/manage-claude/cmek-aws-kms#prerequisites). Mantieni la condizione `kms:EncryptionContext:anthropic:org_uuid`, altrimenti la verifica non riesce. Puoi anche [limitare la chiave a workspace specifici](https://platform.claude.com/docs/it/manage-claude/cmek-aws-kms-workspaces) elencandone gli ID del compartimento. Se stai sostituendo la policy su una chiave che protegge già dati di Claude, [aggiungi un'ulteriore istruzione della policy](https://platform.claude.com/docs/it/manage-claude/cmek-troubleshooting#existing-data). ### Crea la chiave Puoi creare la chiave in qualsiasi regione commerciale AWS. Per la latenza più bassa, usa `us-east-2`. Per usare una chiave che hai già in AWS KMS, [sostituisci la sua policy della chiave](https://platform.claude.com/docs/it/manage-claude/cmek-aws-kms-workspaces#replace-the-key-policy). Apri la [console AWS KMS](https://console.aws.amazon.com/kms) e passa alla regione della chiave. Vai a **Customer managed keys** e fai clic su **Create key**. Assicurati che siano selezionate queste opzioni: * **Key type:** Symmetric * **Key usage:** Encrypt and decrypt * **Advanced options > Key material origin:** KMS * **Advanced options > Regionality:** Single-Region key Fai clic su **Next**. ![Passaggio Configure key di AWS KMS con il tipo di chiave Symmetric, l'utilizzo della chiave Encrypt and decrypt e Single-Region key selezionati.](https://platform.claude.com/docs/images/cmek/aws-configure-key.png) Inserisci un **Alias** per la chiave, ad esempio `anthropic-cmek`. Fai clic su **Next**. ![Passaggio Add labels di AWS KMS con un alias anthropic-cmek e una descrizione Anthropic CMEK.](https://platform.claude.com/docs/images/cmek/aws-add-labels.png) Non selezionare alcun amministratore della chiave. La tua policy della chiave concede già il pieno controllo amministrativo al tuo account AWS. Fai clic su **Next**. ![Passaggio Define key administrative permissions di AWS KMS che elenca i ruoli IAM che possono amministrare la chiave.](https://platform.claude.com/docs/images/cmek/aws-admin-permissions.png) Non selezionare alcun utente della chiave e non aggiungere nulla in **Other AWS accounts**. La tua policy della chiave concede già l'accesso necessario. Fai clic su **Next**. Fai clic su **Edit**. Sostituisci l'intera policy con la tua policy della chiave, quindi fai clic su **Next**. Fai clic su **Finish**. In **Customer managed keys**, apri la nuova chiave e copiane l'ARN. Serve a chi aggiunge la chiave in Claude. Salva la tua policy della chiave come `key-policy.json`, quindi crea la chiave. Sostituisci `` con la regione della chiave. ```bash aws kms create-key \ --region \ --description "Anthropic CMEK" \ --key-usage ENCRYPT_DECRYPT \ --policy file://key-policy.json ``` Copia `KeyMetadata.Arn` dall'output. L'ARN serve a chi aggiunge la chiave in Claude. Ogni controllo della chiave in Claude aggiunge a CloudTrail quattro errori di accesso negato previsti. Puoi [escluderli con un filtro](https://platform.claude.com/docs/it/manage-claude/cmek-troubleshooting#cloudtrail). ## In Claude: aggiungi e collega la chiave Per eseguire questa parte tramite script su Claude Platform, [usa invece l'Admin API](https://platform.claude.com/docs/it/manage-claude/cmek-admin-api). Nella Claude Console, apri la sezione [Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys) nella pagina Data retention. Se la sezione non è presente, seleziona **Organization** dal menu a discesa in alto. In **Encryption keys**, fai clic su **Add key**. Inserisci un **Display name**, seleziona **AWS KMS** e fai clic su **Continue**. Verifica che la tua [policy della chiave](https://platform.claude.com/docs/it/manage-claude/cmek-aws-kms#key-policy) contenga l'**Organization ID for the key policy** mostrato nella finestra di dialogo. Incolla l'ARN della chiave in **KMS key ARN** e fai clic su **Add**. Nell'elenco **Encryption keys**, fai clic su **Verify** accanto alla chiave. Quando il controllo ha esito positivo, viene visualizzato **Connected**. Se invece viene visualizzato **Connection failed**, consulta [Risolvere i problemi di CMEK](https://platform.claude.com/docs/it/manage-claude/cmek-troubleshooting). Il collegamento di una chiave [non può essere annullato](https://platform.claude.com/docs/it/manage-claude/cmek-key-lifecycle#what-each-action-does). Non puoi rimuoverla dal workspace né sostituirla. Se la chiave viene eliminata, Anthropic non può recuperare i dati che protegge. 1. Nella parte superiore della pagina Data retention, seleziona il workspace dal menu a discesa. 2. In **Encryption key**, seleziona la chiave e fai clic su **Save**. 3. Seleziona la casella di controllo per confermare di aver letto la documentazione su CMEK, quindi fai clic su **Confirm**. Viene visualizzato **Workspace settings updated.** Una volta che la tua chiave [entra in vigore](https://platform.claude.com/docs/it/manage-claude/cmek-how-it-works#when-your-key-takes-effect), il log di audit del tuo provider cloud mostra le chiamate di Anthropic alla tua chiave. In un'[organizzazione ZDR](https://platform.claude.com/docs/it/manage-claude/cmek-data-retention#zdr-organizations), dopo aver selezionato il workspace, seleziona **Standard data retention** affinché venga visualizzato **Encryption key**. Dopo aver fatto clic su **Save**, fai clic su **Accept** sui termini di conservazione dei dati. Su Claude Enterprise, CMEK si applica all'intera organizzazione e puoi aggiungere una sola chiave. L'aggiunta di una chiave [non può essere annullata](https://platform.claude.com/docs/it/manage-claude/cmek-key-lifecycle#what-each-action-does). Non puoi rimuoverla dall'organizzazione né sostituirla. Se la chiave viene eliminata, Anthropic non può recuperare i dati che protegge. L'aggiunta della chiave [disattiva o modifica alcune funzionalità](https://platform.claude.com/docs/it/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) per tutti gli utenti. Per provare prima CMEK, usa un'organizzazione separata. Vai a [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls) e trova **Encryption keys**. Fai clic su **Add key**. Inserisci un **Display name** e seleziona **AWS KMS**. Seleziona la casella di controllo per confermare di aver letto la documentazione CMEK, quindi fai clic su **Continue**. Verifica che la tua [policy della chiave](https://platform.claude.com/docs/it/manage-claude/cmek-aws-kms#key-policy) contenga l'**Organization ID for the key policy** mostrato nella finestra di dialogo. Incolla l'ARN della chiave in **KMS key ARN** e fai clic su **Add**. La verifica può richiedere fino a 30 secondi. Quando appare **Encryption key configured.**, fai clic su **Done**. Se invece appare **The encryption key couldn’t be added.**, [individua la causa e riprova](https://platform.claude.com/docs/it/manage-claude/cmek-troubleshooting#claude-ai-add-fails). La tua chiave protegge i dati scritti da quel momento in poi. Informa i tuoi utenti su [quali funzionalità sono cambiate](https://platform.claude.com/docs/it/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).