--- title: Risoluzione dei problemi di CMEK url: https://platform.claude.com/docs/it/manage-claude/cmek-troubleshooting description: Trova la causa e la soluzione per un messaggio di errore CMEK, una verifica non riuscita o una voce di log imprevista. --- **Verify** nella Claude Console, **Add** su claude.ai e la chiamata di convalida dell'Admin API eseguono tutti lo stesso controllo. Quando non riesce (**Connection failed** nella Claude Console), consulta le cause per [AWS KMS](https://platform.claude.com/docs/it/manage-claude/cmek-troubleshooting#aws-kms), [Google Cloud KMS](https://platform.claude.com/docs/it/manage-claude/cmek-troubleshooting#google-cloud-kms) o [Azure Key Vault](https://platform.claude.com/docs/it/manage-claude/cmek-troubleshooting#azure-key-vault). Se una funzionalità ha smesso di funzionare, potrebbe essere una di quelle che le "customer-managed encryption keys" (chiavi di crittografia gestite dal cliente), o CMEK, disattivano. Controlla l'[elenco di Claude Platform](https://platform.claude.com/docs/it/manage-claude/cmek-coverage-claude-platform#turned-off-or-changed) o l'[elenco di Claude Enterprise](https://platform.claude.com/docs/it/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed). Se nessuna di queste indicazioni è pertinente, contatta il tuo team di account Anthropic. ## Le richieste non riescono dopo la configurazione ### `cmek_key_disabled` ```text wrap Customer-managed encryption key is disabled or revoked. Re-enable the key to restore access. ``` Questo errore 400 significa che il tuo servizio di gestione delle chiavi ha rifiutato la chiamata di Anthropic. Controlla queste cause nell'ordine: 1. La chiave è disabilitata. 2. L'accesso di Anthropic alla chiave è stato rimosso. [La tua pagina di configurazione](https://platform.claude.com/docs/it/manage-claude/cmek#set-it-up) mostra l'accesso di cui Anthropic ha bisogno. 3. Su AWS KMS, la policy della chiave [elenca dei workspace](https://platform.claude.com/docs/it/manage-claude/cmek-aws-kms-workspaces) ma non questo. 4. Su AWS KMS, una condizione IP blocca gli [indirizzi IP in uscita di Anthropic](https://platform.claude.com/docs/it/api/ip-addresses#outbound-ip-addresses). Correggi la causa. [Si applicano due limiti](https://platform.claude.com/docs/it/manage-claude/cmek-key-lifecycle#restore-access) quando l'accesso viene ripristinato. ### `cmek_key_network_blocked` ```text wrap The request to your key management service was blocked by its network access controls (for example, a KMS firewall or IP allowlist). Verify that your KMS network rules allow requests from Anthropic's published IP addresses, or contact Anthropic support if your configuration looks correct. ``` Questo è un errore 400. La chiave in sé potrebbe essere integra. Consenti gli [indirizzi IP pubblicati di Anthropic](https://platform.claude.com/docs/it/api/ip-addresses) nelle regole di rete del tuo servizio di gestione delle chiavi. ### `cmek_key_unreachable` ```text wrap The workspace's customer-managed encryption key could not be reached. Try again shortly. If this continues, check that the key is available in your key management service, or contact Anthropic support. ``` Questo errore 503 significa che [Anthropic non è riuscita a raggiungere la tua chiave](https://platform.claude.com/docs/it/manage-claude/cmek-key-lifecycle#unreachable-key). Riprova la richiesta. ## La verifica non riesce: AWS KMS | Causa | Soluzione | | ------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | ID dell'organizzazione errato | La condizione `org_uuid` deve elencare [l'ID della tua organizzazione Anthropic](https://platform.claude.com/docs/it/manage-claude/cmek-aws-kms#prerequisites), l'UUID senza il prefisso `org_`. | | Un workspace manca dalla policy | Una condizione `compartment_uuid` deve [elencare l'ID del compartimento](https://platform.claude.com/docs/it/manage-claude/cmek-aws-kms-workspaces) di ogni workspace a cui la chiave è collegata. | | Accesso concesso tramite IAM anziché tramite la policy della chiave | Il ruolo di Anthropic necessita dell'accesso nella [policy della chiave stessa](https://platform.claude.com/docs/it/manage-claude/cmek-aws-kms#key-policy). | Per stampare la policy della chiave, esegui: ```bash aws kms get-key-policy \ --region \ --key-id \ --policy-name default ``` ### Una chiave che protegge già dei dati Se stai [sostituendo la policy su una chiave](https://platform.claude.com/docs/it/manage-claude/cmek-aws-kms-workspaces#replace-the-key-policy) che protegge già dei dati, aggiungi questa istruzione della policy affinché Anthropic possa ancora decrittografare quei dati. Nella sua condizione, elenca l'ID del compartimento di ogni workspace a cui la chiave è o è stata collegata. ```json { "Sid": "AllowAnthropicCMEKDecryptExistingData", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": "kms:Decrypt", "Resource": "*", "Condition": { "StringEquals": { "kms:EncryptionContext:anthropic:compartment_uuid": [""] } } } ``` ## La verifica non riesce: Google Cloud KMS | Causa | Soluzione | | ---------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Etichetta dell'organizzazione errata | La chiave necessita dell'[etichetta dell'organizzazione](https://platform.claude.com/docs/it/manage-claude/cmek-google-cloud-kms#organization-label), con l'ID della tua organizzazione Anthropic in minuscolo. | | Condivisione limitata per dominio | Questa policy dell'organizzazione blocca la concessione all'account di servizio di Anthropic. [Aggiungi un'eccezione](https://platform.claude.com/docs/it/manage-claude/cmek-google-cloud-kms#prerequisites). | | Versione della chiave disabilitata o distrutta | La versione primaria della chiave deve essere abilitata. | Per controllare la concessione, esegui: ```bash gcloud kms keys get-iam-policy \ --project= \ --location= \ --keyring= ``` ## La verifica non riesce: Azure Key Vault | Causa | Soluzione | | ---------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Tag dell'organizzazione errato | La versione corrente della chiave necessita del [tag dell'organizzazione](https://platform.claude.com/docs/it/manage-claude/cmek-azure-key-vault#organization-tag). | | Assegnazione del ruolo non ancora in vigore | Una nuova assegnazione del ruolo può richiedere alcuni minuti per entrare in vigore. Attendi, quindi riprova. | | Le regole di rete del vault bloccano Anthropic | Confronta le regole con le [impostazioni del vault di cui Anthropic ha bisogno](https://platform.claude.com/docs/it/manage-claude/cmek-azure-key-vault#check-your-vault-configuration). | ## Il collegamento non riesce su Claude Platform on AWS Claude Platform on AWS non ha un passaggio **Verify**, quindi un problema con la chiave si manifesta quando la colleghi. | Causa | Soluzione | | ------------------------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Mancata corrispondenza della policy della chiave | Stampa la policy della chiave con il [comando `get-key-policy`](https://platform.claude.com/docs/it/manage-claude/cmek-troubleshooting#aws-kms) e confrontala con la [policy nella pagina di configurazione](https://platform.claude.com/docs/it/manage-claude/cmek-claude-platform-on-aws#prepare-the-key-policy). | | Mancata corrispondenza delle condizioni | Qualsiasi condizione `EncryptionContext` o `aws:SourceArn` deve includere questo workspace. | | Stato o posizione della chiave | La chiave deve essere abilitata, a regione singola e nello stesso account AWS e nella stessa regione del workspace. | | Autorizzazioni mancanti | Il principal con cui hai effettuato l'accesso necessita di `kms:DescribeKey`, `kms:Encrypt` e `kms:Decrypt` sulla chiave. | Se il collegamento continua a non riuscire, trova l'evento `kms:` negato in CloudTrail nell'account della chiave. Mostra il principal chiamante e, per le chiamate crittografiche, il contesto di crittografia. Correggi la causa, quindi fai di nuovo clic su **Save**. ## Il collegamento o l'aggiunta di una chiave viene rifiutato ### Il workspace non conserva i dati ```text wrap CMEK keys can only be attached to workspaces in this organization that have inference data retention enabled. ``` [La tua organizzazione usa la "zero data retention" (conservazione zero dei dati), o ZDR](https://platform.claude.com/docs/it/manage-claude/cmek-data-retention#zdr-organizations), e una chiave necessita di un workspace che conservi i dati. Passa prima il workspace a **Standard data retention**. ### Il workspace non ha l'impostazione Encryption key Solo [un workspace che conserva i dati](https://platform.claude.com/docs/it/manage-claude/cmek-data-retention#data-retention) ha questa impostazione, quindi seleziona prima **Standard data retention** per il workspace. Il workspace predefinito di un'organizzazione ZDR non può essere modificato, quindi usane un altro. ### Non c'è la sezione Encryption keys Nella Claude Console, seleziona **Organization** dal menu a discesa nella parte superiore della pagina Data retention. Se la sezione continua a mancare, il tuo ruolo non la include oppure CMEK non è attivato per la tua organizzazione. È il tuo team di account Anthropic ad attivare CMEK. ### Il workspace ha già una chiave ```text wrap This workspace already has a different external key attached. ``` La chiave di un workspace non può essere sostituita, quindi [crea un nuovo workspace](https://platform.claude.com/docs/it/manage-claude/cmek-key-lifecycle#change-keys) per una chiave diversa. ### L'aggiunta di una chiave su claude.ai non riesce ```text wrap The encryption key couldn’t be added. ``` Il controllo sulla tua chiave non è riuscito. Trova la causa per [AWS KMS](https://platform.claude.com/docs/it/manage-claude/cmek-troubleshooting#aws-kms), [Google Cloud KMS](https://platform.claude.com/docs/it/manage-claude/cmek-troubleshooting#google-cloud-kms) o [Azure Key Vault](https://platform.claude.com/docs/it/manage-claude/cmek-troubleshooting#azure-key-vault). Per riprovare, fai di nuovo clic su **Add key**. La finestra di dialogo si apre con i dettagli inseriti in precedenza. Seleziona la casella di controllo, fai clic su **Continue**, quindi fai clic su **Add**. ## Errori previsti in CloudTrail Su Claude Platform e Claude Enterprise, Anthropic controlla la chiave ogni volta che la verifichi, la colleghi a un workspace o la visualizzi su claude.ai. Ogni controllo aggiunge a CloudTrail quattro errori di accesso negato previsti. Per filtrarli, fai corrispondere tutti e tre i valori: * `requestParameters.encryptionContext.associatedData`: `Y21lay12YWxpZGF0aW9u` * `userIdentity.accountId`: `915198916910` * `resources.ARN`: `arn:aws:kms:::key/` Il primo valore da solo non basta, perché qualsiasi chiamante può impostarlo.