--- title: Configurare CMEK su Claude Platform on AWS url: https://platform.claude.com/docs/it/manage-claude/cmek-claude-platform-on-aws description: Usa una chiave AWS KMS come chiave di crittografia gestita dal cliente su Claude Platform on AWS. --- Questa guida mostra come usare una chiave [AWS KMS](https://aws.amazon.com/kms/) come [chiave di crittografia gestita dal cliente (CMEK)](https://platform.claude.com/docs/it/manage-claude/cmek) su [Claude Platform on AWS](https://platform.claude.com/docs/it/build-with-claude/claude-platform-on-aws). Per Claude Platform o Claude Enterprise, segui invece [Configurare AWS KMS per CMEK](https://platform.claude.com/docs/it/manage-claude/cmek-aws-kms). L'abilitazione di CMEK è permanente. Se la tua chiave KMS viene eliminata o disabilitata, Anthropic non può recuperare i dati crittografati con essa. Esamina le [avvertenze e limitazioni](https://platform.claude.com/docs/it/manage-claude/cmek) prima di iniziare. ## Prerequisiti * L'account AWS che ospita la tua organizzazione Claude Platform on AWS, con i permessi per creare chiavi KMS e impostare policy delle chiavi (`kms:CreateKey` e `kms:PutKeyPolicy`). * Per creare la chiave dalla riga di comando, la [AWS CLI](https://aws.amazon.com/cli/) installata e autenticata. * Il ruolo **Admin** nella Claude Console per Claude Platform on AWS. Vedi [Usare la Claude Console](https://platform.claude.com/docs/it/build-with-claude/claude-platform-on-aws#using-the-claude-console). * Questi permessi per il principal IAM con cui accedi alla Claude Console: * **Accedere:** `aws-external-anthropic:AssumeConsole` * **Registrare una chiave:** `aws-external-anthropic:RegisterKey` * **Visualizzare le chiavi registrate:** `aws-external-anthropic:ListKeys` e `aws-external-anthropic:GetKey` * **Collegare una chiave:** `aws-external-anthropic:UpdateWorkspace` o `aws-external-anthropic:CreateWorkspace`, più `kms:DescribeKey`, `kms:Encrypt` e `kms:Decrypt` sulla chiave * **Selezionare la chiave da un elenco (opzionale):** `kms:ListKeys` e `kms:DescribeKey` `aws-external-anthropic:RegisterKey`, `aws-external-anthropic:ListKeys`, `aws-external-anthropic:GetKey` e `aws-external-anthropic:CreateWorkspace` hanno ambito a livello di account. Concedile su `Resource: "*"`. Consulta [Azioni IAM](https://platform.claude.com/docs/it/api/claude-platform-on-aws-iam-actions#encryption-keys). ## Principal di servizio AWS per Anthropic La policy della chiave in questa guida concede al seguente principal di servizio AWS l'accesso alla tua chiave: ```text wrap aws-external-anthropic.amazonaws.com ``` Usa solo questo nome di principal di servizio pubblicato. Non fidarti mai di un identificatore fornito via email, chat o qualsiasi canale di onboarding. ## Configurazione della chiave di crittografia ### Prepara la policy della chiave Copia questa policy in un editor di testo: ```json key-policy.json { "Version": "2012-10-17", "Statement": [ { "Sid": "AccountRootAdmin", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam:::root" }, "Action": "kms:*", "Resource": "*" }, { "Sid": "AllowClaudePlatformOnAWSCrypto", "Effect": "Allow", "Principal": { "Service": "aws-external-anthropic.amazonaws.com" }, "Action": ["kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKey"], "Resource": "*", "Condition": { "StringEquals": { "kms:EncryptionContext:anthropic:compartment_uuid": [""] } } }, { "Sid": "AllowClaudePlatformOnAWSDescribe", "Effect": "Allow", "Principal": { "Service": "aws-external-anthropic.amazonaws.com" }, "Action": "kms:DescribeKey", "Resource": "*" } ] } ``` La condizione `EncryptionContext` è opzionale. Limita la chiave ai workspace che elenchi. Per rimuoverla, elimina il blocco `Condition` dalla dichiarazione `AllowClaudePlatformOnAWSCrypto`. Se mantieni la condizione, aggiungi l'ID di compartimento di ciascun workspace prima di collegare la chiave ad esso. Per un nuovo workspace: 1. Crea il workspace senza la chiave. 2. Aggiungi il suo ID di compartimento alla policy. 3. Collega la chiave. Se aggiungi la condizione in un secondo momento, elenca l'ID di compartimento di ogni workspace a cui la chiave è già collegata. Per limitare ulteriormente la policy della chiave, consulta la [condizione opzionale `aws:SourceArn`](https://platform.claude.com/docs/it/manage-claude/cmek-claude-platform-on-aws#source-arn-condition). Sostituisci i segnaposto: * **``:** il tuo [ID account AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/console-account-id.html). Per stamparlo con la AWS CLI, esegui `aws sts get-caller-identity --query Account --output text`. * **``:** l'ID di compartimento del workspace a cui colleghi la chiave **Trovare l'ID di compartimento:** Nella Claude Console, vai alla pagina [Data retention](https://platform.claude.com/settings/privacy) (`platform.claude.com/settings/privacy`). Seleziona il workspace dal menu a discesa nella parte superiore della pagina. L'ID si trova in **Encryption key**, nel campo **Compartment ID**. Puoi anche leggere il campo `compartment_id` restituito dall'endpoint [Get Workspace](https://platform.claude.com/docs/it/api/organization/workspaces/retrieve). ### Crea la chiave Crea la chiave nell'account AWS che ospita la tua organizzazione Claude Platform on AWS, nella stessa regione del workspace. Apri la [console AWS KMS](https://console.aws.amazon.com/kms) e passa alla regione della chiave. Vai su **Customer managed keys** e fai clic su **Create key**. Assicurati che queste opzioni siano selezionate: * **Key type:** Symmetric * **Key usage:** Encrypt and decrypt * **Advanced options > Key material origin:** KMS * **Advanced options > Regionality:** Single-Region key Fai clic su **Next**. ![Procedura guidata Create key di AWS KMS al passaggio Configure key, con il tipo di chiave simmetrica, l'uso chiave encrypt e decrypt e la chiave a regione singola selezionati.](https://platform.claude.com/docs/images/cmek/aws-configure-key.png) Inserisci un **Alias** per la chiave, ad esempio `anthropic-cmek`. Fai clic su **Next**. ![Passaggio Add labels di AWS KMS con l'alias anthropic-cmek e la descrizione Anthropic CMEK.](https://platform.claude.com/docs/images/cmek/aws-add-labels.png) Non selezionare alcun amministratore della chiave. La tua policy della chiave concede già al tuo account AWS il pieno controllo amministrativo. Fai clic su **Next**. ![Passaggio Define key administrative permissions di AWS KMS con l'elenco dei ruoli IAM che possono amministrare la chiave.](https://platform.claude.com/docs/images/cmek/aws-admin-permissions.png) Non selezionare alcun utente della chiave e non aggiungere nulla in **Other AWS accounts**. La tua policy della chiave concede già l'accesso necessario. Fai clic su **Next**. Fai clic su **Edit**. Sostituisci l'intera policy con la tua policy della chiave, quindi fai clic su **Next**. Fai clic su **Finish**. In **Customer managed keys**, apri la nuova chiave e copiane l'ARN. L'ARN ti serve per registrare la chiave. Per sostituire la policy di una chiave già esistente: 1. Apri la chiave e fai clic sulla scheda **Key policy**. 2. Se vedi **Switch to policy view**, fai clic su di esso. 3. Fai clic su **Edit**. 4. Sostituisci il JSON con la tua policy della chiave. 5. Fai clic su **Save changes**. Salva la tua policy della chiave come `key-policy.json`, quindi crea la chiave. Sostituisci `` con la regione della chiave. ```bash aws kms create-key \ --region \ --description "Anthropic CMEK" \ --key-usage ENCRYPT_DECRYPT \ --policy file://key-policy.json ``` Copia `KeyMetadata.Arn` dall'output. Ti serve per registrare la chiave. **Opzionale:** per limitare ulteriormente entrambe le dichiarazioni del principal di servizio, aggiungi una condizione `aws:SourceArn` a ciascuna. L'ARN di origine in ogni chiamata è l'[ARN del workspace](https://platform.claude.com/docs/it/api/claude-platform-on-aws-iam-actions#service-details), nel formato `arn:aws:aws-external-anthropic:::workspace/`. * **Tutti i workspace nel tuo account AWS:** `"ArnLike": {"aws:SourceArn": "arn:aws:aws-external-anthropic:*::workspace/*"}` * **Workspace specifici:** la stessa condizione, con un elenco di ARN completi dei workspace al posto del wildcard ## Registra la chiave con Anthropic Accedi alla Claude Console tramite AWS con il ruolo Admin. Nella Claude Console, vai alla pagina [Data retention](https://platform.claude.com/settings/privacy#encryption-keys) (`platform.claude.com/settings/privacy`). Se non vedi **Encryption keys**, seleziona **Organization** dal menu a discesa nella parte superiore della pagina. In **Encryption keys**, fai clic su **Add key**. Inserisci un **Display name**. Anthropic rifiuta gli ARN di alias e le chiavi multi-regione. In **KMS key ARN**, incolla l'ARN della chiave. Se invece compare un elenco di chiavi, seleziona la tua chiave oppure fai clic su **Enter ARN manually** e incolla l'ARN. Fai clic su **Add**. Il collegamento di una chiave non può essere annullato. Se possibile, collegala a un nuovo workspace prima che quel workspace riceva richieste. In un workspace che riceve già richieste, la chiave può impiegare [fino a un giorno per avere effetto](https://platform.claude.com/docs/it/manage-claude/cmek#how-it-works). Nella pagina Data retention, seleziona il workspace dal menu a discesa nella parte superiore della pagina. In **Encryption key**, seleziona la chiave e fai clic su **Save**. Seleziona la casella di controllo per confermare di aver letto la documentazione CMEK, quindi fai clic su **Confirm**. Il collegamento valida la chiave. Se fallisce con un errore di accesso KMS, consulta [Risolvi i problemi di validazione](https://platform.claude.com/docs/it/manage-claude/cmek-claude-platform-on-aws#troubleshoot-validation). Puoi anche selezionare una chiave quando crei un workspace nella Claude Console, se la tua policy della chiave non ha una condizione `EncryptionContext`. Per registrare e collegare le chiavi tramite l'API, consulta invece [Azioni IAM](https://platform.claude.com/docs/it/api/claude-platform-on-aws-iam-actions#encryption-keys). L'API identifica una chiave tramite il suo ARN della chiave KMS. ## Risolvi i problemi di validazione Se la validazione fallisce, le cause comuni sono: * **Mancata corrispondenza della policy della chiave:** assicurati che la policy della chiave corrisponda a quella in [Prepara la policy della chiave](https://platform.claude.com/docs/it/manage-claude/cmek-claude-platform-on-aws#prepare-the-key-policy). Per controllare la policy della chiave, esegui `aws kms get-key-policy --region --key-id --policy-name default`. * **Mancata corrispondenza della condizione:** assicurati che qualsiasi condizione `EncryptionContext` o `aws:SourceArn` includa questo workspace. * **Stato o posizione della chiave:** verifica che la chiave sia abilitata, a regione singola e nello stesso account AWS e nella stessa regione del workspace. * **Permessi mancanti:** il principal con cui hai effettuato l'accesso necessita di `kms:DescribeKey`, `kms:Encrypt` e `kms:Decrypt` sulla chiave. * **Policy dell'organizzazione:** assicurati che nessuna service control policy o resource control policy nella tua organizzazione AWS blocchi il principal di servizio o il tuo principal. Se il collegamento continua a non riuscire, trova l'evento `kms:` negato in CloudTrail nell'account della chiave. Mostra il principal chiamante e, per le chiamate crittografiche, il contesto di crittografia. Dopo aver risolto la causa, fai di nuovo clic su **Save**. ## Terraform Per creare la chiave con Terraform, usa le risorse `aws_kms_key` e `aws_kms_alias` del provider `aws`.