Risoluzione dei problemi di CMEK

Verify nella Claude Console, Add su claude.ai e la chiamata di convalida dell'Admin API eseguono tutti lo stesso controllo. Quando non riesce (Connection failed nella Claude Console), consulta le cause per AWS KMS, Google Cloud KMS o Azure Key Vault.

Se una funzionalità ha smesso di funzionare, potrebbe essere una di quelle che le "customer-managed encryption keys" (chiavi di crittografia gestite dal cliente), o CMEK, disattivano. Controlla l'elenco di Claude Platform o l'elenco di Claude Enterprise.

Se nessuna di queste indicazioni è pertinente, contatta il tuo team di account Anthropic.

Le richieste non riescono dopo la configurazione

cmek_key_disabled

Customer-managed encryption key is disabled or revoked. Re-enable the key to restore access.

Questo errore 400 significa che il tuo servizio di gestione delle chiavi ha rifiutato la chiamata di Anthropic. Controlla queste cause nell'ordine:

1. La chiave è disabilitata.
2. L'accesso di Anthropic alla chiave è stato rimosso. La tua pagina di configurazione mostra l'accesso di cui Anthropic ha bisogno.
3. Su AWS KMS, la policy della chiave elenca dei workspace ma non questo.
4. Su AWS KMS, una condizione IP blocca gli indirizzi IP in uscita di Anthropic.

Correggi la causa. Si applicano due limiti quando l'accesso viene ripristinato.

cmek_key_network_blocked

The request to your key management service was blocked by its network access controls (for example, a KMS firewall or IP allowlist). Verify that your KMS network rules allow requests from Anthropic's published IP addresses, or contact Anthropic support if your configuration looks correct.

Questo è un errore 400. La chiave in sé potrebbe essere integra. Consenti gli indirizzi IP pubblicati di Anthropic nelle regole di rete del tuo servizio di gestione delle chiavi.

cmek_key_unreachable

The workspace's customer-managed encryption key could not be reached. Try again shortly. If this continues, check that the key is available in your key management service, or contact Anthropic support.

Questo errore 503 significa che Anthropic non è riuscita a raggiungere la tua chiave. Riprova la richiesta.

La verifica non riesce: AWS KMS

Per stampare la policy della chiave, esegui:

aws kms get-key-policy \
  --region <REGION> \
  --key-id <KEY_ARN> \
  --policy-name default

Una chiave che protegge già dei dati

Se stai sostituendo la policy su una chiave che protegge già dei dati, aggiungi questa istruzione della policy affinché Anthropic possa ancora decrittografare quei dati. Nella sua condizione, elenca l'ID del compartimento di ogni workspace a cui la chiave è o è stata collegata.

{
  "Sid": "AllowAnthropicCMEKDecryptExistingData",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
  },
  "Action": "kms:Decrypt",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
    }
  }
}

La verifica non riesce: Google Cloud KMS

Per controllare la concessione, esegui:

gcloud kms keys get-iam-policy <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name>

La verifica non riesce: Azure Key Vault

Il collegamento non riesce su Claude Platform on AWS

Claude Platform on AWS non ha un passaggio Verify, quindi un problema con la chiave si manifesta quando la colleghi.

Se il collegamento continua a non riuscire, trova l'evento kms: negato in CloudTrail nell'account della chiave. Mostra il principal chiamante e, per le chiamate crittografiche, il contesto di crittografia. Correggi la causa, quindi fai di nuovo clic su Save.

Il collegamento o l'aggiunta di una chiave viene rifiutato

Il workspace non conserva i dati

CMEK keys can only be attached to workspaces in this organization that have inference data retention enabled.

La tua organizzazione usa la "zero data retention" (conservazione zero dei dati), o ZDR, e una chiave necessita di un workspace che conservi i dati. Passa prima il workspace a Standard data retention.

Il workspace non ha l'impostazione Encryption key

Solo un workspace che conserva i dati ha questa impostazione, quindi seleziona prima Standard data retention per il workspace. Il workspace predefinito di un'organizzazione ZDR non può essere modificato, quindi usane un altro.

Non c'è la sezione Encryption keys

Nella Claude Console, seleziona Organization dal menu a discesa nella parte superiore della pagina Data retention. Se la sezione continua a mancare, il tuo ruolo non la include oppure CMEK non è attivato per la tua organizzazione. È il tuo team di account Anthropic ad attivare CMEK.

Il workspace ha già una chiave

This workspace already has a different external key attached.

La chiave di un workspace non può essere sostituita, quindi crea un nuovo workspace per una chiave diversa.

L'aggiunta di una chiave su claude.ai non riesce

The encryption key couldn’t be added.

Il controllo sulla tua chiave non è riuscito. Trova la causa per AWS KMS, Google Cloud KMS o Azure Key Vault. Per riprovare, fai di nuovo clic su Add key. La finestra di dialogo si apre con i dettagli inseriti in precedenza. Seleziona la casella di controllo, fai clic su Continue, quindi fai clic su Add.

Errori previsti in CloudTrail

Su Claude Platform e Claude Enterprise, Anthropic controlla la chiave ogni volta che la verifichi, la colleghi a un workspace o la visualizzi su claude.ai. Ogni controllo aggiunge a CloudTrail quattro errori di accesso negato previsti.

Per filtrarli, fai corrispondere tutti e tre i valori:

• requestParameters.encryptionContext.associatedData: Y21lay12YWxpZGF0aW9u
• userIdentity.accountId: 915198916910
• resources.ARN: arn:aws:kms:<REGION>:<AWS_ACCOUNT_ID>:key/<KEY_ID>

Il primo valore da solo non basta, perché qualsiasi chiamante può impostarlo.