Configurare CMEK su Claude Platform on AWS

Questa guida mostra come usare una chiave AWS KMS come chiave di crittografia gestita dal cliente (CMEK) su Claude Platform on AWS. Per Claude Platform o Claude Enterprise, segui invece Configurare AWS KMS per CMEK.

Prerequisiti

• L'account AWS che ospita la tua organizzazione Claude Platform on AWS, con i permessi per creare chiavi KMS e impostare policy delle chiavi (kms:CreateKey e kms:PutKeyPolicy).

• Per creare la chiave dalla riga di comando, la AWS CLI installata e autenticata.

• Il ruolo Admin nella Claude Console per Claude Platform on AWS. Vedi Usare la Claude Console.

• Questi permessi per il principal IAM con cui accedi alla Claude Console:

  • Accedere: aws-external-anthropic:AssumeConsole
  • Registrare una chiave: aws-external-anthropic:RegisterKey
  • Visualizzare le chiavi registrate: aws-external-anthropic:ListKeys e aws-external-anthropic:GetKey
  • Collegare una chiave: aws-external-anthropic:UpdateWorkspace o aws-external-anthropic:CreateWorkspace, più kms:DescribeKey, kms:Encrypt e kms:Decrypt sulla chiave
  • Selezionare la chiave da un elenco (opzionale): kms:ListKeys e kms:DescribeKey

  aws-external-anthropic:RegisterKey, aws-external-anthropic:ListKeys, aws-external-anthropic:GetKey e aws-external-anthropic:CreateWorkspace hanno ambito a livello di account. Concedile su Resource: "*". Consulta Azioni IAM.

Principal di servizio AWS per Anthropic

La policy della chiave in questa guida concede al seguente principal di servizio AWS l'accesso alla tua chiave:

aws-external-anthropic.amazonaws.com

Configurazione della chiave di crittografia

Prepara la policy della chiave

Copia questa policy in un editor di testo:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AccountRootAdmin",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<AWS_ACCOUNT_ID>:root"
      },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "AllowClaudePlatformOnAWSCrypto",
      "Effect": "Allow",
      "Principal": {
        "Service": "aws-external-anthropic.amazonaws.com"
      },
      "Action": ["kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKey"],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
        }
      }
    },
    {
      "Sid": "AllowClaudePlatformOnAWSDescribe",
      "Effect": "Allow",
      "Principal": {
        "Service": "aws-external-anthropic.amazonaws.com"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    }
  ]
}

La condizione EncryptionContext è opzionale. Limita la chiave ai workspace che elenchi. Per rimuoverla, elimina il blocco Condition dalla dichiarazione AllowClaudePlatformOnAWSCrypto.

Se mantieni la condizione, aggiungi l'ID di compartimento di ciascun workspace prima di collegare la chiave ad esso. Per un nuovo workspace:

1. Crea il workspace senza la chiave.
2. Aggiungi il suo ID di compartimento alla policy.
3. Collega la chiave.

Se aggiungi la condizione in un secondo momento, elenca l'ID di compartimento di ogni workspace a cui la chiave è già collegata.

Per limitare ulteriormente la policy della chiave, consulta la condizione opzionale aws:SourceArn.

Sostituisci i segnaposto:

• <AWS_ACCOUNT_ID>: il tuo ID account AWS. Per stamparlo con la AWS CLI, esegui aws sts get-caller-identity --query Account --output text.
• <COMPARTMENT_UUID>: l'ID di compartimento del workspace a cui colleghi la chiave

Crea la chiave

Crea la chiave nell'account AWS che ospita la tua organizzazione Claude Platform on AWS, nella stessa regione del workspace.

aws kms create-key \
  --region <REGION> \
  --description "Anthropic CMEK" \
  --key-usage ENCRYPT_DECRYPT \
  --policy file://key-policy.json

Registra la chiave con Anthropic

Accedi alla Claude Console tramite AWS con il ruolo Admin.

1. 1

   Apri le impostazioni della chiave di crittografia

   Nella Claude Console, vai alla pagina Data retention (platform.claude.com/settings/privacy). Se non vedi Encryption keys, seleziona Organization dal menu a discesa nella parte superiore della pagina.

2. 2

   Aggiungi la chiave

   In Encryption keys, fai clic su Add key. Inserisci un Display name.

3. 3

   Inserisci l'ARN della chiave

   Anthropic rifiuta gli ARN di alias e le chiavi multi-regione.

   In KMS key ARN, incolla l'ARN della chiave. Se invece compare un elenco di chiavi, seleziona la tua chiave oppure fai clic su Enter ARN manually e incolla l'ARN. Fai clic su Add.

4. 4

   Collega la chiave a un workspace

   Il collegamento di una chiave non può essere annullato. Se possibile, collegala a un nuovo workspace prima che quel workspace riceva richieste. In un workspace che riceve già richieste, la chiave può impiegare fino a un giorno per avere effetto.

   Nella pagina Data retention, seleziona il workspace dal menu a discesa nella parte superiore della pagina. In Encryption key, seleziona la chiave e fai clic su Save.

5. 5

   Conferma la modifica

   Seleziona la casella di controllo per confermare di aver letto la documentazione CMEK, quindi fai clic su Confirm.

Il collegamento valida la chiave. Se fallisce con un errore di accesso KMS, consulta Risolvi i problemi di validazione.

Puoi anche selezionare una chiave quando crei un workspace nella Claude Console, se la tua policy della chiave non ha una condizione EncryptionContext.

Per registrare e collegare le chiavi tramite l'API, consulta invece Azioni IAM. L'API identifica una chiave tramite il suo ARN della chiave KMS.

Risolvi i problemi di validazione

Se la validazione fallisce, le cause comuni sono:

• Mancata corrispondenza della policy della chiave: assicurati che la policy della chiave corrisponda a quella in Prepara la policy della chiave. Per controllare la policy della chiave, esegui aws kms get-key-policy --region <REGION> --key-id <KEY_ARN> --policy-name default.
• Mancata corrispondenza della condizione: assicurati che qualsiasi condizione EncryptionContext o aws:SourceArn includa questo workspace.
• Stato o posizione della chiave: verifica che la chiave sia abilitata, a regione singola e nello stesso account AWS e nella stessa regione del workspace.
• Permessi mancanti: il principal con cui hai effettuato l'accesso necessita di kms:DescribeKey, kms:Encrypt e kms:Decrypt sulla chiave.
• Policy dell'organizzazione: assicurati che nessuna service control policy o resource control policy nella tua organizzazione AWS blocchi il principal di servizio o il tuo principal.

Se il collegamento continua a non riuscire, trova l'evento kms: negato in CloudTrail nell'account della chiave. Mostra il principal chiamante e, per le chiamate crittografiche, il contesto di crittografia. Dopo aver risolto la causa, fai di nuovo clic su Save.

Terraform

Per creare la chiave con Terraform, usa le risorse aws_kms_key e aws_kms_alias del provider aws.