---
title: Configurare CMEK con Google Cloud KMS
url: https://platform.claude.com/docs/it/manage-claude/cmek-google-cloud-kms
description: Crea una chiave Google Cloud KMS, concedi ad Anthropic l'accesso a essa e usala in Claude Platform o Claude Enterprise.
---

Lascia che Claude Code configuri questa funzionalità per te

```text
/claude-api aiutami a configurare una chiave di crittografia gestita dal cliente con Google Cloud KMS
```

## Prima di iniziare

In Claude:

* Le chiavi di crittografia gestite dal cliente (CMEK) sono [attivate per la tua organizzazione](https://platform.claude.com/docs/it/manage-claude/cmek#availability).
* Hai l'ID della tua organizzazione Anthropic, l'UUID senza il prefisso `org_`. Copialo da [Organization](https://platform.claude.com/settings/organization) nella Claude Console, oppure da **Organization settings > Organization and access** su claude.ai. Serve a chi crea la chiave.
* Sei un Organization Admin su Claude Platform, oppure un Owner o Primary Owner su Claude Enterprise.
* Su Claude Platform, hai un workspace che [conserva i dati](https://platform.claude.com/docs/it/manage-claude/cmek-data-retention#data-retention), idealmente uno nuovo, perché [i dati esistenti restano sotto la chiave di Anthropic](https://platform.claude.com/docs/it/manage-claude/cmek-how-it-works#when-your-key-takes-effect).
* Su Claude Enterprise, sai [quali funzionalità vengono disattivate o cambiano](https://platform.claude.com/docs/it/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).

In Google Cloud:

* L'API Cloud KMS è attivata.
* Puoi creare keyring e chiavi e impostare su di essi la policy IAM (`roles/cloudkms.admin` o equivalente).
* Gli [audit log Data Access](https://docs.cloud.google.com/logging/docs/audit/configure-data-access) di Cloud KMS (Data Read e Data Write) sono attivati, in modo che Cloud Logging registri l'uso della tua chiave da parte di Anthropic. Sono disattivati per impostazione predefinita.
* Se la tua organizzazione Google Cloud applica la condivisione limitata per dominio (`constraints/iam.allowedPolicyMemberDomains`), questa blocca la concessione all'account di servizio di Anthropic. Aggiungi un'eccezione a livello di progetto oppure consenti l'ID cliente Cloud Identity di Anthropic. Contatta Anthropic per ottenere l'ID.

## In Google Cloud: crea la chiave

Dopo un'operazione **Verify** o **Add** non riuscita, consulta le [soluzioni per Google Cloud KMS](https://platform.claude.com/docs/it/manage-claude/cmek-troubleshooting#google-cloud-kms).

Questi passaggi applicano alla chiave un'etichetta con l'ID della tua organizzazione Anthropic in minuscolo (`<ORGANIZATION_UUID>`) e concedono l'accesso all'account di servizio di Anthropic:

```text wrap
anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com
```

Usa solo questo indirizzo, mai uno inviato tramite email o chat.

Puoi usare qualsiasi località di Cloud KMS. Per la latenza più bassa, usa `us-east5` o `us-central1`. Anthropic consiglia vivamente la protezione HSM.

Per usare una chiave che hai già, [aggiungi prima l'etichetta dell'organizzazione](https://platform.claude.com/docs/it/manage-claude/cmek-google-cloud-kms#organization-label).

<Tabs>
  <Tab title="Google Cloud Console">
    <Steps>
      <Step title="Crea o scegli un keyring">
        Nella console Google Cloud, vai alla pagina [Key management](https://console.cloud.google.com/security/kms). Apri un keyring oppure creane uno in una località come `us-east5`.
      </Step>

      <Step title="Configura la chiave">
        Fai clic su **Create key** e inserisci un nome. Seleziona queste opzioni:

        * **Protection level:** HSM
        * **Key material:** Generated key
        * **Purpose:** Symmetric encrypt/decrypt
        * **Algorithm:** Google symmetric key
      </Step>

      <Step title="Aggiungi l'etichetta dell'organizzazione">
        Fai clic su **Additional settings**, poi su **Add label**. Inserisci l'etichetta dell'organizzazione:

        * **Key 1:** `anthropic-org-<ORGANIZATION_UUID>`
        * **Value 1:** `true`

        Fai clic su **Create**.

        <Frame caption="Una chiave simmetrica di crittografia/decrittografia protetta da HSM con l'etichetta dell'organizzazione.">
          ![Pagina Create key di Google Cloud KMS con protezione HSM, crittografia/decrittografia simmetrica e l'etichetta anthropic-org impostata su true.](https://platform.claude.com/docs/images/cmek/gcp-create-key-label.png)
        </Frame>
      </Step>

      <Step title="Apri le autorizzazioni della chiave">
        Nella pagina dei dettagli del keyring, seleziona la casella di controllo accanto alla chiave. Apri il pannello **Permissions** e fai clic su **Grant access**.
      </Step>

      <Step title="Concedi all'account di servizio di Anthropic l'accesso alla chiave">
        Controlla che **Resource** mostri la chiave, non il keyring o il progetto. Inserisci questi valori:

        * **New principals:** `anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com`
        * **Role:** Cloud KMS CryptoKey Encrypter/Decrypter

        Fai clic su **Add another role** e seleziona **Cloud KMS Viewer**. Fai clic su **Save**.

        <Frame caption="Concedi all'account di servizio di Anthropic entrambi i ruoli, con ambito limitato alla chiave.">
          ![Finestra di dialogo Grant access con l'account di servizio di Anthropic a cui sono assegnati i ruoli Cloud KMS CryptoKey Encrypter/Decrypter e Viewer.](https://platform.claude.com/docs/images/cmek/gcp-grant-access.png)
        </Frame>
      </Step>

      <Step title="Copia il nome completo della risorsa della chiave">
        Nella pagina dei dettagli del keyring, apri il menu **Actions** della chiave e fai clic su **Copy resource name**.

        <Frame caption="Copia il nome completo della risorsa della chiave dal menu delle azioni.">
          ![Dettagli del keyring in Google Cloud con l'azione Copy resource name evidenziata nel menu delle azioni della chiave.](https://platform.claude.com/docs/images/cmek/gcp-copy-resource-name.png)
        </Frame>
      </Step>
    </Steps>
  </Tab>

  <Tab title="gcloud CLI">
    In ogni comando, sostituisci questi segnaposto:

    * **`<your-project-id>`:** l'ID del tuo progetto Google Cloud
    * **`<region>`:** la località della chiave, ad esempio `us-east5`
    * **`<your-keyring-name>`:** il nome del keyring
    * **`<your-key-name>`:** il nome della chiave
    * **`<ORGANIZATION_UUID>`:** l'ID della tua organizzazione Anthropic in minuscolo

    <Steps>
      <Step title="Crea o scegli un keyring">
        Salta questo passaggio se hai già un keyring da riutilizzare.

        ```bash
        gcloud kms keyrings create <your-keyring-name> \
          --project=<your-project-id> \
          --location=<region>
        ```
      </Step>

      <Step title="Crea la chiave">
        ```bash
        gcloud kms keys create <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --purpose=encryption \
          --protection-level=hsm \
          --labels=anthropic-org-<ORGANIZATION_UUID>=true
        ```

        Per la protezione software, ometti `--protection-level=hsm`.
      </Step>

      <Step title="Concedi all'account di servizio di Anthropic l'accesso alla chiave">
        Esegui entrambi i comandi:

        ```bash
        gcloud kms keys add-iam-policy-binding <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
          --role=roles/cloudkms.cryptoKeyEncrypterDecrypter
        ```

        ```bash
        gcloud kms keys add-iam-policy-binding <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
          --role=roles/cloudkms.viewer
        ```
      </Step>

      <Step title="Ottieni il nome completo della risorsa della chiave">
        ```bash
        gcloud kms keys describe <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --format="value(name)"
        ```
      </Step>
    </Steps>
  </Tab>
</Tabs>

Chi aggiunge la chiave in Claude ha bisogno del suo nome completo della risorsa, in questo formato:

```text wrap
projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>
```

### Aggiungi l'etichetta dell'organizzazione a una chiave che hai già

La verifica non riesce a meno che la chiave non abbia l'etichetta `anthropic-org-<ORGANIZATION_UUID>` impostata su `true`, con l'ID della tua organizzazione Anthropic in minuscolo. Per aggiungere l'etichetta, esegui:

```bash
gcloud kms keys update <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name> \
  --update-labels=anthropic-org-<ORGANIZATION_UUID>=true
```

Gli altri valori si trovano nel nome completo della risorsa della chiave e il comando mantiene le etichette esistenti. Poi passa direttamente [ai passaggi che concedono l'accesso](https://platform.claude.com/docs/it/manage-claude/cmek-google-cloud-kms#encryption-key-setup).

## In Claude: aggiungi e collega la chiave

Per automatizzare questa parte tramite script su Claude Platform, [usa invece l'Admin API](https://platform.claude.com/docs/it/manage-claude/cmek-admin-api).

<Tabs>
  <Tab title="Claude Platform">
    <Steps>
      <Step title="Apri le impostazioni delle chiavi di crittografia">
        Nella Claude Console, apri la sezione [Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys) nella pagina Data retention. Se la sezione non è presente, seleziona **Organization** dal menu a discesa in alto.
      </Step>

      <Step title="Aggiungi la chiave">
        In **Encryption keys**, fai clic su **Add key**. Inserisci un **Display name**, seleziona **Google Cloud KMS** e fai clic su **Continue**.
      </Step>

      <Step title="Inserisci il nome della risorsa della chiave">
        Controlla che la tua chiave abbia l'**Organization label** mostrata nella finestra di dialogo. Incolla il nome completo della risorsa della chiave in **Key resource name** e fai clic su **Add**.
      </Step>

      <Step title="Verifica la chiave">
        Nell'elenco **Encryption keys**, fai clic su **Verify** accanto alla chiave. Quando il controllo ha esito positivo, viene visualizzato **Connected**. Se invece viene visualizzato **Connection failed**, consulta [Risolvere i problemi di CMEK](https://platform.claude.com/docs/it/manage-claude/cmek-troubleshooting).
      </Step>

      <Step title="Collega la chiave a un workspace">
        <Warning>
          Il collegamento di una chiave [non può essere annullato](https://platform.claude.com/docs/it/manage-claude/cmek-key-lifecycle#what-each-action-does). Non puoi rimuoverla dal workspace né sostituirla. Se la chiave viene eliminata, Anthropic non può recuperare i dati che protegge.
        </Warning>

        1. Nella parte superiore della pagina Data retention, seleziona il workspace dal menu a discesa.
        2. In **Encryption key**, seleziona la chiave e fai clic su **Save**.
        3. Seleziona la casella di controllo per confermare di aver letto la documentazione su CMEK, quindi fai clic su **Confirm**.

        Viene visualizzato **Workspace settings updated.** Una volta che la tua chiave [entra in vigore](https://platform.claude.com/docs/it/manage-claude/cmek-how-it-works#when-your-key-takes-effect), il log di audit del tuo provider cloud mostra le chiamate di Anthropic alla tua chiave.

        In un'[organizzazione ZDR](https://platform.claude.com/docs/it/manage-claude/cmek-data-retention#zdr-organizations), dopo aver selezionato il workspace, seleziona **Standard data retention** affinché venga visualizzato **Encryption key**. Dopo aver fatto clic su **Save**, fai clic su **Accept** sui termini di conservazione dei dati.
      </Step>
    </Steps>
  </Tab>

  <Tab title="Claude Enterprise">
    Su Claude Enterprise, CMEK si applica all'intera organizzazione e puoi aggiungere una sola chiave.

    <Warning>
      L'aggiunta di una chiave [non può essere annullata](https://platform.claude.com/docs/it/manage-claude/cmek-key-lifecycle#what-each-action-does). Non puoi rimuoverla dall'organizzazione né sostituirla. Se la chiave viene eliminata, Anthropic non può recuperare i dati che protegge.
    </Warning>

    L'aggiunta della chiave [disattiva o modifica alcune funzionalità](https://platform.claude.com/docs/it/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) per tutti gli utenti. Per provare prima CMEK, usa un'organizzazione separata.

    <Steps>
      <Step title="Apri le impostazioni delle chiavi di crittografia">
        Vai a [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls) e trova **Encryption keys**.
      </Step>

      <Step title="Aggiungi la chiave">
        Fai clic su **Add key**. Inserisci un **Display name** e seleziona **Google Cloud KMS**. Seleziona la casella di controllo per confermare di aver letto la documentazione su CMEK, poi fai clic su **Continue**.
      </Step>

      <Step title="Inserisci il nome della risorsa della chiave">
        Controlla che la tua chiave abbia l'**Organization label** mostrata nella finestra di dialogo. Incolla il nome completo della risorsa della chiave in **Key resource name** e fai clic su **Add**.
      </Step>

      <Step title="Conferma che la chiave è stata aggiunta">
        La verifica può richiedere fino a 30 secondi. Quando appare **Encryption key configured.**, fai clic su **Done**. Se invece appare **The encryption key couldn’t be added.**, [individua la causa e riprova](https://platform.claude.com/docs/it/manage-claude/cmek-troubleshooting#claude-ai-add-fails).

        La tua chiave protegge i dati scritti da quel momento in poi. Informa i tuoi utenti su [quali funzionalità sono cambiate](https://platform.claude.com/docs/it/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).
      </Step>
    </Steps>
  </Tab>
</Tabs>