Come funziona CMEK
Come la tua chiave protegge i dati archiviati, cosa copre una chiave, quando entra in vigore e cosa puoi vedere.
La tua chiave esegue il wrapping delle chiavi che crittografano i tuoi dati
Anthropic crittografa i tuoi dati archiviati con chiavi dati. Con le "customer-managed encryption keys" (chiavi di crittografia gestite dal cliente), o CMEK, la tua chiave crittografa quelle chiavi dati, ovvero ne esegue il wrapping. Si tratta di crittografia a busta (envelope encryption). Per scrivere o leggere dati, Anthropic chiede al tuo "key management service" (servizio di gestione delle chiavi), o KMS, di eseguire il wrapping o l'unwrapping di una chiave dati.
Le chiavi dati transitano tra Anthropic e il tuo cloud. La tua chiave non lascia mai il tuo KMS. I tuoi dati non vi arrivano mai.
Anthropic non conserva alcuna copia della tua chiave, quindi senza di essa Claude non può leggere i dati che protegge.
Cosa protegge una chiave
Su Claude Platform e Claude Platform on AWS, una chiave protegge un workspace, e una chiave può servirne diversi. Su Claude Enterprise, una chiave protegge l'intera organizzazione, che può avere una sola chiave. Quali dati protegge la tua chiave dipende dal tuo prodotto.
Su Claude Platform e Claude Enterprise, la tua chiave riporta l'ID della tua organizzazione Anthropic, che lega la chiave alla tua organizzazione. A seconda del tuo KMS, l'ID va in una condizione della policy della chiave, in un'etichetta o in un tag. Una chiave senza l'ID non supera la verifica. Una chiave condivisa tra organizzazioni riporta ciascun ID.
Una policy della chiave di AWS KMS può indicare i workspace tramite i loro ID del compartimento. Un ID del compartimento è l'UUID che Anthropic assegna a ogni workspace per la crittografia, non l'ID del workspace che inizia con wrkspc_.
Dove risiede la tua chiave
La tua chiave risiede in AWS KMS, Google Cloud KMS o Azure Key Vault. Il tuo provider potrebbe addebitare un costo per essa.
Su Claude Platform e Claude Enterprise, CMEK è disponibile nelle regioni degli Stati Uniti, e Anthropic esegue lì tutte le operazioni di crittografia. Ogni pagina di configurazione indica le regioni con la latenza più bassa.
Quando la tua chiave entra in vigore
La tua chiave protegge solo i dati scritti dopo la sua entrata in vigore. I dati esistenti (chat, file e sessioni precedenti) restano sotto la chiave di Anthropic e non vengono ricrittografati.
Su Claude Platform e Claude Platform on AWS, una chiave collegata a un workspace prima della sua prima richiesta entra in vigore con quella richiesta. In un workspace già in uso, la tua chiave può impiegare fino a un giorno per entrare in vigore, e i dati scritti nel frattempo restano sotto la chiave di Anthropic. Per questo Anthropic consiglia un nuovo workspace.
Cosa puoi vedere
Il log di audit del tuo cloud può registrare ogni operazione che Anthropic esegue con la tua chiave. Dove devi attivare tale registrazione, la tua pagina di configurazione la elenca come prerequisito. In AWS CloudTrail, alcune voci sono errori previsti.
Le modifiche alla tua configurazione CMEK compaiono nel Compliance API Activity Feed. Le operazioni che Anthropic esegue con la tua chiave invece no.
Latenza e standard
Ogni wrapping o unwrapping è un viaggio di andata e ritorno verso il tuo KMS, che può aggiungere un po' di latenza alla lettura e alla scrittura dei dati archiviati. Per gli standard crittografici come FIPS, consulta il whitepaper su CMEK nel Trust Center.
Successivamente, leggi cosa fa ciascuna azione sulla chiave.
Was this page helpful?