Configurare CMEK con Google Cloud KMS
Crea una chiave Google Cloud KMS, concedi ad Anthropic l'accesso a essa e usala in Claude Platform o Claude Enterprise.
Claude Code
Lascia che Claude Code configuri questa funzionalità per te
/claude-api aiutami a configurare una chiave di crittografia gestita dal cliente con Google Cloud KMSPrima di iniziare
In Claude:
- Le chiavi di crittografia gestite dal cliente (CMEK) sono attivate per la tua organizzazione.
- Hai l'ID della tua organizzazione Anthropic, l'UUID senza il prefisso
org_. Copialo da Organization nella Claude Console, oppure da Organization settings > Organization and access su claude.ai. Serve a chi crea la chiave. - Sei un Organization Admin su Claude Platform, oppure un Owner o Primary Owner su Claude Enterprise.
- Su Claude Platform, hai un workspace che conserva i dati, idealmente uno nuovo, perché i dati esistenti restano sotto la chiave di Anthropic.
- Su Claude Enterprise, sai quali funzionalità vengono disattivate o cambiano.
In Google Cloud:
- L'API Cloud KMS è attivata.
- Puoi creare keyring e chiavi e impostare su di essi la policy IAM (
roles/cloudkms.admino equivalente). - Gli audit log Data Access di Cloud KMS (Data Read e Data Write) sono attivati, in modo che Cloud Logging registri l'uso della tua chiave da parte di Anthropic. Sono disattivati per impostazione predefinita.
- Se la tua organizzazione Google Cloud applica la condivisione limitata per dominio (
constraints/iam.allowedPolicyMemberDomains), questa blocca la concessione all'account di servizio di Anthropic. Aggiungi un'eccezione a livello di progetto oppure consenti l'ID cliente Cloud Identity di Anthropic. Contatta Anthropic per ottenere l'ID.
In Google Cloud: crea la chiave
Dopo un'operazione Verify o Add non riuscita, consulta le soluzioni per Google Cloud KMS.
Questi passaggi applicano alla chiave un'etichetta con l'ID della tua organizzazione Anthropic in minuscolo (<ORGANIZATION_UUID>) e concedono l'accesso all'account di servizio di Anthropic:
anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.comUsa solo questo indirizzo, mai uno inviato tramite email o chat.
Puoi usare qualsiasi località di Cloud KMS. Per la latenza più bassa, usa us-east5 o us-central1. Anthropic consiglia vivamente la protezione HSM.
Per usare una chiave che hai già, aggiungi prima l'etichetta dell'organizzazione.
Crea o scegli un keyring
Nella console Google Cloud, vai alla pagina Key management. Apri un keyring oppure creane uno in una località come
us-east5.Configura la chiave
Fai clic su Create key e inserisci un nome. Seleziona queste opzioni:
- Protection level: HSM
- Key material: Generated key
- Purpose: Symmetric encrypt/decrypt
- Algorithm: Google symmetric key
Aggiungi l'etichetta dell'organizzazione
Fai clic su Additional settings, poi su Add label. Inserisci l'etichetta dell'organizzazione:
- Key 1:
anthropic-org-<ORGANIZATION_UUID> - Value 1:
true
Fai clic su Create.
Una chiave simmetrica di crittografia/decrittografia protetta da HSM con l'etichetta dell'organizzazione. - Key 1:
Apri le autorizzazioni della chiave
Nella pagina dei dettagli del keyring, seleziona la casella di controllo accanto alla chiave. Apri il pannello Permissions e fai clic su Grant access.
Concedi all'account di servizio di Anthropic l'accesso alla chiave
Controlla che Resource mostri la chiave, non il keyring o il progetto. Inserisci questi valori:
- New principals:
anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com - Role: Cloud KMS CryptoKey Encrypter/Decrypter
Fai clic su Add another role e seleziona Cloud KMS Viewer. Fai clic su Save.
Concedi all'account di servizio di Anthropic entrambi i ruoli, con ambito limitato alla chiave. - New principals:
Copia il nome completo della risorsa della chiave
Nella pagina dei dettagli del keyring, apri il menu Actions della chiave e fai clic su Copy resource name.
Copia il nome completo della risorsa della chiave dal menu delle azioni.
In ogni comando, sostituisci questi segnaposto:
<your-project-id>: l'ID del tuo progetto Google Cloud<region>: la località della chiave, ad esempious-east5<your-keyring-name>: il nome del keyring<your-key-name>: il nome della chiave<ORGANIZATION_UUID>: l'ID della tua organizzazione Anthropic in minuscolo
Crea o scegli un keyring
Salta questo passaggio se hai già un keyring da riutilizzare.
gcloud kms keyrings create <your-keyring-name> \ --project=<your-project-id> \ --location=<region>Crea la chiave
gcloud kms keys create <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --purpose=encryption \ --protection-level=hsm \ --labels=anthropic-org-<ORGANIZATION_UUID>=truePer la protezione software, ometti
--protection-level=hsm.Concedi all'account di servizio di Anthropic l'accesso alla chiave
Esegui entrambi i comandi:
gcloud kms keys add-iam-policy-binding <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \ --role=roles/cloudkms.cryptoKeyEncrypterDecryptergcloud kms keys add-iam-policy-binding <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \ --role=roles/cloudkms.viewerOttieni il nome completo della risorsa della chiave
gcloud kms keys describe <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --format="value(name)"
Chi aggiunge la chiave in Claude ha bisogno del suo nome completo della risorsa, in questo formato:
projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>Aggiungi l'etichetta dell'organizzazione a una chiave che hai già
La verifica non riesce a meno che la chiave non abbia l'etichetta anthropic-org-<ORGANIZATION_UUID> impostata su true, con l'ID della tua organizzazione Anthropic in minuscolo. Per aggiungere l'etichetta, esegui:
gcloud kms keys update <your-key-name> \
--project=<your-project-id> \
--location=<region> \
--keyring=<your-keyring-name> \
--update-labels=anthropic-org-<ORGANIZATION_UUID>=trueGli altri valori si trovano nel nome completo della risorsa della chiave e il comando mantiene le etichette esistenti. Poi passa direttamente ai passaggi che concedono l'accesso.
In Claude: aggiungi e collega la chiave
Per automatizzare questa parte tramite script su Claude Platform, usa invece l'Admin API.
Apri le impostazioni delle chiavi di crittografia
Nella Claude Console, apri la sezione Encryption keys nella pagina Data retention. Se la sezione non è presente, seleziona Organization dal menu a discesa in alto.
Aggiungi la chiave
In Encryption keys, fai clic su Add key. Inserisci un Display name, seleziona Google Cloud KMS e fai clic su Continue.
Inserisci il nome della risorsa della chiave
Controlla che la tua chiave abbia l'Organization label mostrata nella finestra di dialogo. Incolla il nome completo della risorsa della chiave in Key resource name e fai clic su Add.
Verifica la chiave
Nell'elenco Encryption keys, fai clic su Verify accanto alla chiave. Quando il controllo ha esito positivo, viene visualizzato Connected. Se invece viene visualizzato Connection failed, consulta Risolvere i problemi di CMEK.
Collega la chiave a un workspace
- Nella parte superiore della pagina Data retention, seleziona il workspace dal menu a discesa.
- In Encryption key, seleziona la chiave e fai clic su Save.
- Seleziona la casella di controllo per confermare di aver letto la documentazione su CMEK, quindi fai clic su Confirm.
Viene visualizzato Workspace settings updated. Una volta che la tua chiave entra in vigore, il log di audit del tuo provider cloud mostra le chiamate di Anthropic alla tua chiave.
In un'organizzazione ZDR, dopo aver selezionato il workspace, seleziona Standard data retention affinché venga visualizzato Encryption key. Dopo aver fatto clic su Save, fai clic su Accept sui termini di conservazione dei dati.
Su Claude Enterprise, CMEK si applica all'intera organizzazione e puoi aggiungere una sola chiave.
L'aggiunta della chiave disattiva o modifica alcune funzionalità per tutti gli utenti. Per provare prima CMEK, usa un'organizzazione separata.
Apri le impostazioni delle chiavi di crittografia
Vai a claude.ai > Organization settings > Data and privacy e trova Encryption keys.
Aggiungi la chiave
Fai clic su Add key. Inserisci un Display name e seleziona Google Cloud KMS. Seleziona la casella di controllo per confermare di aver letto la documentazione su CMEK, poi fai clic su Continue.
Inserisci il nome della risorsa della chiave
Controlla che la tua chiave abbia l'Organization label mostrata nella finestra di dialogo. Incolla il nome completo della risorsa della chiave in Key resource name e fai clic su Add.
Conferma che la chiave è stata aggiunta
La verifica può richiedere fino a 30 secondi. Quando appare Encryption key configured., fai clic su Done. Se invece appare The encryption key couldn’t be added., individua la causa e riprova.
La tua chiave protegge i dati scritti da quel momento in poi. Informa i tuoi utenti su quali funzionalità sono cambiate.
Was this page helpful?