Claude Platform Docs
AmministrazioneConfigurare CMEK

Configura CMEK con Azure Key Vault

Crea una chiave di Azure Key Vault, concedi ad Anthropic l'accesso alla tua chiave e usala in Claude Platform o Claude Enterprise.

Claude Code

Lascia che Claude Code configuri questa funzionalità per te

/claude-api aiutami a configurare una chiave di crittografia gestita dal cliente con Azure Key Vault

Prima di iniziare

In Claude:

In Azure:

  • Puoi creare chiavi nel tuo key vault e assegnare ruoli RBAC su di esso.
  • Puoi creare service principal nel tuo tenant Entra (Application Administrator, Cloud Application Administrator o un ruolo personalizzato equivalente).
  • Il vault ha un'impostazione di diagnostica per la categoria di log AuditEvent. Senza di essa, le operazioni di Anthropic sulla tua chiave non lasciano alcuna traccia di audit.

In Azure: crea la chiave

Dopo un Verify o un Add non riuscito, consulta le soluzioni per Azure Key Vault.

Questi passaggi concedono all'applicazione multitenant di Anthropic l'accesso alla tua chiave:

  • Nome: anthropic-cmek-client-us
  • Client ID: 8635ae1a-3e5d-44e8-a4ed-e0f614466f87

Usa solo questo client ID e questo nome, mai quelli inviati tramite email o chat. L'applicazione non richiede alcuna autorizzazione Microsoft Graph.

Controlla il vault

Per la latenza più bassa, usa un vault in northcentralus o eastus2. Esegui prima questo comando, nella Azure CLI o in Cloud Shell:

az keyvault show --name <your-vault-name> \
  --query "{rbac:properties.enableRbacAuthorization, purge:properties.enablePurgeProtection, pub:properties.publicNetworkAccess, net:properties.networkAcls.defaultAction, ipRules:properties.networkAcls.ipRules, uri:properties.vaultUri, tenantId:properties.tenantId}"
CampoDeve essere
rbactrue
purgetrue. Se è false o null, attiva prima la protezione dall'eliminazione definitiva. Non potrai più disattivarla.
pub"Enabled". Gli endpoint privati non sono supportati.
net"Allow", oppure "Deny" con gli indirizzi IP in uscita di Anthropic in ipRules

Copia uri (l'URI del vault) e tenantId.

Crea la chiave e concedi l'accesso

In questa pagina, <ORGANIZATION_UUID> è il tuo ID dell'organizzazione Anthropic in minuscolo. Per usare una chiave che hai già, aggiungi prima il tag dell'organizzazione.

  1. Crea il service principal di Anthropic

    Apri Cloud Shell dalla barra di navigazione superiore del portale. Esegui questo comando:

    az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87

    Se il service principal esiste già, passa al passaggio successivo.

  2. Conferma che il service principal esista

    Vai a Microsoft Entra ID > Enterprise applications e rimuovi il filtro predefinito sul tipo di applicazione. Cerca anthropic-cmek-client-us.

    Panoramica dell'applicazione aziendale Microsoft Entra per anthropic-cmek-client-us, con il suo Application ID e Object ID.

    Il service principal anthropic-cmek-client-us nelle applicazioni aziendali di Entra.

  3. Apri la pagina Create a key

    Apri il tuo key vault e seleziona Keys. Fai clic su Generate/Import.

  4. Crea una chiave RSA nel tuo vault

    Imposta questi valori:

    • Name: un nome per la chiave
    • Key type: RSA
    • RSA key size: 3072 o superiore

    Fai clic sul link accanto a Tags.

  5. Aggiungi il tag dell'organizzazione

    Inserisci questi valori:

    • Tag Name: anthropic-org-<ORGANIZATION_UUID>
    • Tag Value: true

    Fai clic su OK, quindi su Create.

    Pagina Create a key di Azure Key Vault con RSA, dimensione della chiave 3072 e il tag anthropic-org impostato su true.

    Crea una chiave RSA di dimensione 3072 o superiore, con il tag anthropic-org-<ORGANIZATION_UUID> impostato su true.

  6. Limita le operazioni consentite

    Apri la nuova chiave, quindi apri la sua versione corrente. In Permitted operations, deseleziona tutte le caselle tranne Wrap Key e Unwrap Key. Fai clic su Save.

    Versione della chiave di Azure Key Vault con 1 tag e Permitted operations limitate a Wrap Key e Unwrap Key.

    Limita le operazioni consentite a Wrap Key e Unwrap Key. La versione della chiave mostra il tag dell'organizzazione.

  7. Apri il controllo di accesso della chiave

    Apri la chiave stessa, non il vault. Seleziona la sua scheda Access control (IAM) e fai clic su Add > Add role assignment.

  8. Seleziona il ruolo

    Nella scheda Role, seleziona Key Vault Crypto User. Fai clic su Next.

  9. Aggiungi il service principal di Anthropic

    Nella scheda Members, fai clic su Select members. Cerca anthropic-cmek-client-us e selezionalo. Fai clic su Select, quindi su Next.

  10. Rivedi e assegna

    Nella scheda Review + assign, fai clic su Review + assign.

Chi aggiunge la chiave in Claude ha bisogno dell'URI del vault, del nome della chiave e del tenant ID.

Aggiungi il tag dell'organizzazione a una chiave che hai già

La verifica non riesce senza il tag dell'organizzazione. La chiave deve essere RSA, a 3072 bit o superiore.

Invece di creare una chiave, esegui questo comando nella Azure CLI o in Cloud Shell. Limita la chiave a wrapKey e unwrapKey. Sovrascrive inoltre i tag della versione corrente, quindi elenca in --tags come name=value quelli che vuoi mantenere.

az keyvault key set-attributes \
  --vault-name <your-vault-name> \
  --name <your-key-name> \
  --ops wrapKey unwrapKey \
  --tags anthropic-org-<ORGANIZATION_UUID>=true

Devi comunque eseguire i passaggi relativi al service principal e all'assegnazione del ruolo.

In Claude: aggiungi e collega la chiave

Per automatizzare questa parte tramite script su Claude Platform, usa invece la Admin API.

  1. Apri le impostazioni delle chiavi di crittografia

    Nella Claude Console, apri la sezione Encryption keys nella pagina Data retention. Se la sezione non è presente, seleziona Organization dal menu a discesa in alto.

  2. Aggiungi la chiave

    In Encryption keys, fai clic su Add key. Inserisci un Display name, seleziona Azure Key Vault e fai clic su Continue.

  3. Inserisci i dettagli della chiave

    Verifica che la tua chiave abbia l'Organization tag mostrato nella finestra di dialogo. Inserisci Vault URI, Key name e Tenant ID, lascia vuoto Client ID e fai clic su Add.

  4. Verifica la chiave

    Nell'elenco Encryption keys, fai clic su Verify accanto alla chiave. Quando il controllo ha esito positivo, viene visualizzato Connected. Se invece viene visualizzato Connection failed, consulta Risolvere i problemi di CMEK.

  5. Collega la chiave a un workspace

    1. Nella parte superiore della pagina Data retention, seleziona il workspace dal menu a discesa.
    2. In Encryption key, seleziona la chiave e fai clic su Save.
    3. Seleziona la casella di controllo per confermare di aver letto la documentazione su CMEK, quindi fai clic su Confirm.

    Viene visualizzato Workspace settings updated. Una volta che la tua chiave entra in vigore, il log di audit del tuo provider cloud mostra le chiamate di Anthropic alla tua chiave.

    In un'organizzazione ZDR, dopo aver selezionato il workspace, seleziona Standard data retention affinché venga visualizzato Encryption key. Dopo aver fatto clic su Save, fai clic su Accept sui termini di conservazione dei dati.

Was this page helpful?