---
title: Configura CMEK con Azure Key Vault
url: https://platform.claude.com/docs/it/manage-claude/cmek-azure-key-vault
description: Crea una chiave di Azure Key Vault, concedi ad Anthropic l'accesso alla tua chiave e usala in Claude Platform o Claude Enterprise.
---

Lascia che Claude Code configuri questa funzionalità per te

```text
/claude-api aiutami a configurare una chiave di crittografia gestita dal cliente con Azure Key Vault
```

## Prima di iniziare

In Claude:

* Le chiavi di crittografia gestite dal cliente (CMEK) sono [attivate per la tua organizzazione](https://platform.claude.com/docs/it/manage-claude/cmek#availability).
* Hai l'ID della tua organizzazione Anthropic, l'UUID senza il prefisso `org_`. Copialo da [Organization](https://platform.claude.com/settings/organization) nella Claude Console, oppure da **Organization settings > Organization and access** su claude.ai. Serve a chi crea la chiave.
* Sei un Organization Admin su Claude Platform, oppure un Owner o Primary Owner su Claude Enterprise.
* Su Claude Platform, hai un workspace che [conserva i dati](https://platform.claude.com/docs/it/manage-claude/cmek-data-retention#data-retention), idealmente uno nuovo, perché [i dati esistenti restano sotto la chiave di Anthropic](https://platform.claude.com/docs/it/manage-claude/cmek-how-it-works#when-your-key-takes-effect).
* Su Claude Enterprise, sai [quali funzionalità vengono disattivate o cambiano](https://platform.claude.com/docs/it/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).

In Azure:

* Puoi creare chiavi nel tuo key vault e assegnare ruoli RBAC su di esso.
* Puoi creare service principal nel tuo tenant Entra (Application Administrator, Cloud Application Administrator o un ruolo personalizzato equivalente).
* Il vault ha un'impostazione di diagnostica per la categoria di log `AuditEvent`. Senza di essa, le operazioni di Anthropic sulla tua chiave non lasciano alcuna traccia di audit.

## In Azure: crea la chiave

Dopo un **Verify** o un **Add** non riuscito, consulta le [soluzioni per Azure Key Vault](https://platform.claude.com/docs/it/manage-claude/cmek-troubleshooting#azure-key-vault).

Questi passaggi concedono all'applicazione multitenant di Anthropic l'accesso alla tua chiave:

* **Nome:** `anthropic-cmek-client-us`
* **Client ID:** `8635ae1a-3e5d-44e8-a4ed-e0f614466f87`

Usa solo questo client ID e questo nome, mai quelli inviati tramite email o chat. L'applicazione non richiede alcuna autorizzazione Microsoft Graph.

### Controlla il vault

Per la latenza più bassa, usa un vault in `northcentralus` o `eastus2`. Esegui prima questo comando, nella Azure CLI o in Cloud Shell:

```bash
az keyvault show --name <your-vault-name> \
  --query "{rbac:properties.enableRbacAuthorization, purge:properties.enablePurgeProtection, pub:properties.publicNetworkAccess, net:properties.networkAcls.defaultAction, ipRules:properties.networkAcls.ipRules, uri:properties.vaultUri, tenantId:properties.tenantId}"
```

| Campo   | Deve essere                                                                                                                                                       |
| ------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `rbac`  | `true`                                                                                                                                                            |
| `purge` | `true`. Se è `false` o `null`, attiva prima la protezione dall'eliminazione definitiva. Non potrai più disattivarla.                                              |
| `pub`   | `"Enabled"`. Gli endpoint privati non sono supportati.                                                                                                            |
| `net`   | `"Allow"`, oppure `"Deny"` con gli [indirizzi IP in uscita di Anthropic](https://platform.claude.com/docs/it/api/ip-addresses#outbound-ip-addresses) in `ipRules` |

Copia `uri` (l'URI del vault) e `tenantId`.

### Crea la chiave e concedi l'accesso

In questa pagina, `<ORGANIZATION_UUID>` è il tuo [ID dell'organizzazione Anthropic](https://platform.claude.com/docs/it/manage-claude/cmek-azure-key-vault#prerequisites) in minuscolo. Per usare una chiave che hai già, [aggiungi prima il tag dell'organizzazione](https://platform.claude.com/docs/it/manage-claude/cmek-azure-key-vault#organization-tag).

<Tabs>
  <Tab title="Azure portal">
    <Steps>
      <Step title="Crea il service principal di Anthropic">
        Apri Cloud Shell dalla barra di navigazione superiore del portale. Esegui questo comando:

        ```bash
        az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87
        ```

        Se il service principal esiste già, passa al passaggio successivo.
      </Step>

      <Step title="Conferma che il service principal esista">
        Vai a **Microsoft Entra ID > Enterprise applications** e rimuovi il filtro predefinito sul tipo di applicazione. Cerca `anthropic-cmek-client-us`.

        <Frame caption="Il service principal anthropic-cmek-client-us nelle applicazioni aziendali di Entra.">
          ![Panoramica dell'applicazione aziendale Microsoft Entra per anthropic-cmek-client-us, con il suo Application ID e Object ID.](https://platform.claude.com/docs/images/cmek/azure-service-principal.png)
        </Frame>
      </Step>

      <Step title="Apri la pagina Create a key">
        Apri il tuo key vault e seleziona **Keys**. Fai clic su **Generate/Import**.
      </Step>

      <Step title="Crea una chiave RSA nel tuo vault">
        Imposta questi valori:

        * **Name:** un nome per la chiave
        * **Key type:** RSA
        * **RSA key size:** 3072 o superiore

        Fai clic sul link accanto a **Tags**.
      </Step>

      <Step title="Aggiungi il tag dell'organizzazione">
        Inserisci questi valori:

        * **Tag Name:** `anthropic-org-<ORGANIZATION_UUID>`
        * **Tag Value:** `true`

        Fai clic su **OK**, quindi su **Create**.

        <Frame caption="Crea una chiave RSA di dimensione 3072 o superiore, con il tag anthropic-org-<ORGANIZATION_UUID> impostato su true.">
          ![Pagina Create a key di Azure Key Vault con RSA, dimensione della chiave 3072 e il tag anthropic-org impostato su true.](https://platform.claude.com/docs/images/cmek/azure-create-key-tag.png)
        </Frame>
      </Step>

      <Step title="Limita le operazioni consentite">
        Apri la nuova chiave, quindi apri la sua versione corrente. In **Permitted operations**, deseleziona tutte le caselle tranne **Wrap Key** e **Unwrap Key**. Fai clic su **Save**.

        <Frame caption="Limita le operazioni consentite a Wrap Key e Unwrap Key. La versione della chiave mostra il tag dell'organizzazione.">
          ![Versione della chiave di Azure Key Vault con 1 tag e Permitted operations limitate a Wrap Key e Unwrap Key.](https://platform.claude.com/docs/images/cmek/azure-permitted-operations-tag.png)
        </Frame>
      </Step>

      <Step title="Apri il controllo di accesso della chiave">
        Apri la chiave stessa, non il vault. Seleziona la sua scheda **Access control (IAM)** e fai clic su **Add > Add role assignment**.
      </Step>

      <Step title="Seleziona il ruolo">
        Nella scheda **Role**, seleziona **Key Vault Crypto User**. Fai clic su **Next**.
      </Step>

      <Step title="Aggiungi il service principal di Anthropic">
        Nella scheda **Members**, fai clic su **Select members**. Cerca `anthropic-cmek-client-us` e selezionalo. Fai clic su **Select**, quindi su **Next**.
      </Step>

      <Step title="Rivedi e assegna">
        Nella scheda **Review + assign**, fai clic su **Review + assign**.
      </Step>
    </Steps>
  </Tab>

  <Tab title="Azure CLI">
    <Steps>
      <Step title="Crea il service principal di Anthropic">
        ```bash
        az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87
        ```

        Copia il campo `id` dall'output.

        Se il comando termina con un errore "already exists", ottieni invece l'`id` con questo comando:

        ```bash
        az ad sp show --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87 --query id -o tsv
        ```
      </Step>

      <Step title="Crea una chiave RSA nel tuo vault">
        ```bash
        az keyvault key create \
          --vault-name <your-vault-name> \
          --name <your-key-name> \
          --kty RSA --size 3072 \
          --ops wrapKey unwrapKey \
          --tags anthropic-org-<ORGANIZATION_UUID>=true
        ```

        Sostituisci i segnaposto:

        * **`<your-vault-name>`:** il nome del tuo key vault
        * **`<your-key-name>`:** un nome per la chiave
        * **`<ORGANIZATION_UUID>`:** il tuo ID dell'organizzazione Anthropic in minuscolo

        Per una chiave basata su HSM, usa `--kty RSA-HSM`.
      </Step>

      <Step title="Concedi al service principal di Anthropic l'accesso alla tua chiave">
        ```bash
        VAULT_ID=$(az keyvault show --name <your-vault-name> --query id -o tsv)

        az role assignment create \
          --role "Key Vault Crypto User" \
          --assignee-object-id <sp-object-id> \
          --assignee-principal-type ServicePrincipal \
          --scope "${VAULT_ID}/keys/<your-key-name>"
        ```

        Sostituisci i segnaposto:

        * **`<your-vault-name>`:** il nome del tuo key vault
        * **`<sp-object-id>`:** il valore `id` del primo passaggio
        * **`<your-key-name>`:** il nome della chiave
      </Step>
    </Steps>
  </Tab>
</Tabs>

Chi aggiunge la chiave in Claude ha bisogno dell'URI del vault, del nome della chiave e del tenant ID.

### Aggiungi il tag dell'organizzazione a una chiave che hai già

La verifica non riesce senza il tag dell'organizzazione. La chiave deve essere RSA, a 3072 bit o superiore.

Invece di creare una chiave, esegui questo comando nella Azure CLI o in Cloud Shell. Limita la chiave a `wrapKey` e `unwrapKey`. Sovrascrive inoltre i tag della versione corrente, quindi elenca in `--tags` come `name=value` quelli che vuoi mantenere.

```bash
az keyvault key set-attributes \
  --vault-name <your-vault-name> \
  --name <your-key-name> \
  --ops wrapKey unwrapKey \
  --tags anthropic-org-<ORGANIZATION_UUID>=true
```

Devi comunque eseguire i passaggi relativi al service principal e all'assegnazione del ruolo.

## In Claude: aggiungi e collega la chiave

Per automatizzare questa parte tramite script su Claude Platform, [usa invece la Admin API](https://platform.claude.com/docs/it/manage-claude/cmek-admin-api).

<Tabs>
  <Tab title="Claude Platform">
    <Steps>
      <Step title="Apri le impostazioni delle chiavi di crittografia">
        Nella Claude Console, apri la sezione [Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys) nella pagina Data retention. Se la sezione non è presente, seleziona **Organization** dal menu a discesa in alto.
      </Step>

      <Step title="Aggiungi la chiave">
        In **Encryption keys**, fai clic su **Add key**. Inserisci un **Display name**, seleziona **Azure Key Vault** e fai clic su **Continue**.
      </Step>

      <Step title="Inserisci i dettagli della chiave">
        Verifica che la tua chiave abbia l'**Organization tag** mostrato nella finestra di dialogo. Inserisci **Vault URI**, **Key name** e **Tenant ID**, lascia vuoto **Client ID** e fai clic su **Add**.
      </Step>

      <Step title="Verifica la chiave">
        Nell'elenco **Encryption keys**, fai clic su **Verify** accanto alla chiave. Quando il controllo ha esito positivo, viene visualizzato **Connected**. Se invece viene visualizzato **Connection failed**, consulta [Risolvere i problemi di CMEK](https://platform.claude.com/docs/it/manage-claude/cmek-troubleshooting).
      </Step>

      <Step title="Collega la chiave a un workspace">
        <Warning>
          Il collegamento di una chiave [non può essere annullato](https://platform.claude.com/docs/it/manage-claude/cmek-key-lifecycle#what-each-action-does). Non puoi rimuoverla dal workspace né sostituirla. Se la chiave viene eliminata, Anthropic non può recuperare i dati che protegge.
        </Warning>

        1. Nella parte superiore della pagina Data retention, seleziona il workspace dal menu a discesa.
        2. In **Encryption key**, seleziona la chiave e fai clic su **Save**.
        3. Seleziona la casella di controllo per confermare di aver letto la documentazione su CMEK, quindi fai clic su **Confirm**.

        Viene visualizzato **Workspace settings updated.** Una volta che la tua chiave [entra in vigore](https://platform.claude.com/docs/it/manage-claude/cmek-how-it-works#when-your-key-takes-effect), il log di audit del tuo provider cloud mostra le chiamate di Anthropic alla tua chiave.

        In un'[organizzazione ZDR](https://platform.claude.com/docs/it/manage-claude/cmek-data-retention#zdr-organizations), dopo aver selezionato il workspace, seleziona **Standard data retention** affinché venga visualizzato **Encryption key**. Dopo aver fatto clic su **Save**, fai clic su **Accept** sui termini di conservazione dei dati.
      </Step>
    </Steps>
  </Tab>

  <Tab title="Claude Enterprise">
    Su Claude Enterprise, CMEK si applica all'intera organizzazione e puoi aggiungere una sola chiave.

    <Warning>
      L'aggiunta di una chiave [non può essere annullata](https://platform.claude.com/docs/it/manage-claude/cmek-key-lifecycle#what-each-action-does). Non puoi rimuoverla dall'organizzazione né sostituirla. Se la chiave viene eliminata, Anthropic non può recuperare i dati che protegge.
    </Warning>

    L'aggiunta della chiave [disattiva o modifica alcune funzionalità](https://platform.claude.com/docs/it/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) per tutti gli utenti. Per provare prima CMEK, usa un'organizzazione separata.

    <Steps>
      <Step title="Apri le impostazioni delle chiavi di crittografia">
        Vai a [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls) e trova **Encryption keys**.
      </Step>

      <Step title="Aggiungi la chiave">
        Fai clic su **Add key**. Inserisci un **Display name** e seleziona **Azure Key Vault**. Seleziona la casella di controllo per confermare di aver letto la documentazione su CMEK, quindi fai clic su **Continue**.
      </Step>

      <Step title="Inserisci i dettagli della chiave">
        Verifica che la tua chiave abbia l'**Organization tag** mostrato nella finestra di dialogo. Inserisci **Vault URI**, **Key name** e **Tenant ID**, lascia vuoto **Client ID** e fai clic su **Add**.
      </Step>

      <Step title="Conferma che la chiave è stata aggiunta">
        La verifica può richiedere fino a 30 secondi. Quando appare **Encryption key configured.**, fai clic su **Done**. Se invece appare **The encryption key couldn’t be added.**, [individua la causa e riprova](https://platform.claude.com/docs/it/manage-claude/cmek-troubleshooting#claude-ai-add-fails).

        La tua chiave protegge i dati scritti da quel momento in poi. Informa i tuoi utenti su [quali funzionalità sono cambiate](https://platform.claude.com/docs/it/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).
      </Step>
    </Steps>
  </Tab>
</Tabs>