CMEK用にAWS KMSを設定する

claude "/claude-api help me configure a customer-managed encryption key with AWS KMS"

このガイドでは、AWS KMSキーを、Anthropic組織の「customer-managed encryption key」（顧客管理暗号化キー）、すなわちCMEKとして設定する手順を説明します。

前提条件

• KMSキーの作成とキーポリシーの設定を行う権限（kms:CreateKeyおよびkms:PutKeyPolicy）を持つAWSアカウント。
• 組織のAnthropic Admin APIキー。
• インストールおよび認証済みのAWS CLI。

Anthropic用のAmazon Resource Name（ARN）

Anthropicに暗号化キーを使用させるには、AnthropicのIAMロールに、データの暗号化に使用できるKMSキーを付与する必要があります。Anthropic CMEKのARNは次のとおりです。

arn:aws:iam::915198916910:role/anthropic-cmek-client-us

暗号化キーのセットアップ

1. 1

   クロスアカウントキーポリシーを使用してKMSキーを作成する

   キーポリシーは、AnthropicのIAMロールにクロスアカウントアクセスを付与します。3つのステートメントが必要です。

   1. アカウントルート管理者： 標準的なKMSパターンです。お客様のアカウントが完全な管理制御を保持します。
   2. Anthropicの暗号化と復号： kms:Encryptおよびkms:Decryptアクション。Anthropicはこれらを使用して、ワークスペースデータを保護するデータキーを暗号化および復号します（エンベロープ暗号化）。
   3. Anthropicのdescribe： Anthropicが起動時に実行するメタデータの読み取りです。DescribeKeyにはEncryptionContextパラメータがないため、このアクションにEncryptionContext条件を付けると常に拒否されてしまうことから、別途付与されます。

   export YOUR_ACCOUNT=$(aws sts get-caller-identity --query Account --output text)
   
   aws kms create-key \
     --region <region> \
     --description "Anthropic CMEK" \
     --key-usage ENCRYPT_DECRYPT \
     --policy "{
       \"Version\": \"2012-10-17\",
       \"Statement\": [
         {
           \"Sid\": \"AccountRootAdmin\",
           \"Effect\": \"Allow\",
           \"Principal\": {\"AWS\": \"arn:aws:iam::${YOUR_ACCOUNT}:root\"},
           \"Action\": \"kms:*\",
           \"Resource\": \"*\"
         },
         {
           \"Sid\": \"AllowAnthropicCMEKCrypto\",
           \"Effect\": \"Allow\",
           \"Principal\": {\"AWS\": \"arn:aws:iam::915198916910:role/anthropic-cmek-client-us\"},
           \"Action\": [\"kms:Encrypt\", \"kms:Decrypt\"],
           \"Resource\": \"*\",
           \"Condition\": {
             \"StringEquals\": {
               \"kms:EncryptionContext:anthropic:compartment_uuid\": [
                 \"00000000-0000-0000-0000-000000000000\",
                 \"<compartment-uuid>\"
               ]
             }
           }
         },
         {
           \"Sid\": \"AllowAnthropicCMEKDescribe\",
           \"Effect\": \"Allow\",
           \"Principal\": {\"AWS\": \"arn:aws:iam::915198916910:role/anthropic-cmek-client-us\"},
           \"Action\": \"kms:DescribeKey\",
           \"Resource\": \"*\"
         }
       ]
     }"

   

   出力からKeyMetadata.Arnを取得してください。次のステップでキーを登録する際に必要になります。

   EncryptionContext条件は推奨されますが、任意です。Anthropicは常にワークスペースのコンパートメントIDを暗号化コンテキストに含めるため、いずれにしても暗号文はそのコンパートメントに暗号学的にバインドされます。条件を追加すると、IAMレイヤーでの多層防御が提供されます。条件なしで開始するには、AllowAnthropicCMEKCryptoステートメントからConditionブロックを省略し、後でkms:PutKeyPolicyを使用して追加してください。

   AWSコンソールからキーを作成することもできます。暗号化と復号のキー用途を持つ対称キー、単一リージョンキー、およびKMSキーマテリアルオリジンを選択してください。キー作成ウィザードはReview（確認）ステップでキーポリシーをコミットします。そこでキー使用権限にAnthropicのアカウントID 915198916910を追加すると、生成されるポリシーはEncryptionContext条件なしでAnthropicアカウント全体により広範なアクション（kms:ReEncrypt*やkms:GenerateDataKey*など）を付与し、それに対しても検証は成功してしまいます。過剰に許可されたキーを残さないようにするには、管理権限のみでウィザードを完了し、その後キーのKey policy（キーポリシー）タブを開いて、JSONを前述のロールスコープのポリシー（anthropic-cmek-client-usロールにスコープされた3つのステートメントとEncryptionContext条件）に置き換えてください。

   

   

   

   

Anthropicにキーを登録する

キーの登録方法は、使用する製品によって異なります。

Terraform

Infrastructure as Codeによるデプロイの場合、同じ手順はawsプロバイダーのaws_kms_keyおよびaws_kms_aliasリソースに対応します。