Claude Platform Docs
管理CMEK をセットアップする

AWS KMSでCMEKを設定する

AWS KMSキーを作成し、Anthropicにそのキーへのアクセスを付与して、Claude PlatformまたはClaude Enterpriseで使用します。

Claude Code

Claude Codeにこの機能を設定させる

/claude-api AWS KMSでカスタマー管理の暗号化キーを構成するのを手伝って

Claude ConsoleのサイドバーにAccount managed by AWSと表示されている場合は、代わりにClaude Platform on AWSでCMEKを設定するに従ってください。

始める前に

Claudeで：

AWSで：

  • AWS KMSキーを作成し、そのキーポリシーを設定できること（kms:CreateKeyおよびkms:PutKeyPolicy）。
  • AWS KMSへのアクセスに対するIP制限がある場合は、AnthropicのアウトバウンドIPアドレスを許可していること。

AWSで：キーを作成する

VerifyまたはAddが失敗した場合は、AWS KMSの修正方法を参照してください。

キーポリシーを作成する

このポリシーは、AnthropicのIAMロールにお客様のキーへのアクセスを付与します。このページで公開されているロールARNのみを使用し、メールやチャットで送られてきたロールARNは決して使用しないでください。ポリシーをテキストエディタにコピーします：

key-policy.json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AccountRootAdmin",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<AWS_ACCOUNT_ID>:root"
      },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "AllowAnthropicCMEKCrypto",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
      },
      "Action": ["kms:Encrypt", "kms:Decrypt"],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:anthropic:org_uuid": ["<ORGANIZATION_UUID>"]
        }
      }
    },
    {
      "Sid": "AllowAnthropicCMEKDescribe",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    }
  ]
}

<AWS_ACCOUNT_ID>をお客様のAWSアカウントIDに、<ORGANIZATION_UUID>をお客様のAnthropic組織IDに置き換えてください。kms:EncryptionContext:anthropic:org_uuid条件は残してください。残さないと検証が失敗します。

コンパートメントIDを列挙することで、キーを特定のワークスペースに制限することもできます。すでにClaudeのデータを保護しているキーのポリシーを置き換える場合は、ポリシーステートメントをもう1つ追加してください。

キーを作成する

キーは任意のAWS商用リージョンで作成できます。レイテンシを最小にするには、us-east-2を使用してください。

AWS KMSにすでにあるキーを使用するには、そのキーポリシーを置き換えてください。

  1. Create keyウィザードを開く

    AWS KMSコンソールを開き、キーを作成するリージョンに切り替えます。Customer managed keysに移動し、Create keyをクリックします。

  2. Configure key

    次のオプションが選択されていることを確認します。

    • Key type: Symmetric
    • Key usage: Encrypt and decrypt
    • Advanced options > Key material origin: KMS
    • Advanced options > Regionality: Single-Region key

    Nextをクリックします。

    Symmetricキータイプ、Encrypt and decryptキー使用、Single-Region keyが選択されたAWS KMSのConfigure keyステップ。

    対称キー、暗号化と復号、単一リージョンキー。

  3. Add labels

    キーのAliasとして、anthropic-cmekなどを入力します。Nextをクリックします。

    エイリアスにanthropic-cmek、説明にAnthropic CMEKが入力されたAWS KMSのAdd labelsステップ。

    キーのエイリアス。

  4. Define key administrative permissions

    キー管理者は選択しないでください。お客様のキーポリシーにより、お客様のAWSアカウントにはすでに完全な管理権限が付与されています。Nextをクリックします。

    キーを管理できるIAMロールが一覧表示されたAWS KMSのDefine key administrative permissionsステップ。

    キー管理者は空のままにします。

  5. Define key usage permissions

    キーユーザーは選択せず、Other AWS accountsにも何も追加しないでください。必要なアクセス権はお客様のキーポリシーですでに付与されています。Nextをクリックします。

  6. Edit key policy

    Editをクリックします。ポリシー全体をお客様のキーポリシーに置き換えてから、Nextをクリックします。

  7. Review

    Finishをクリックします。

  8. キーのARNをコピーする

    Customer managed keysで新しいキーを開き、そのARNをコピーします。Claudeでキーを追加する担当者がこのARNを必要とします。

Claudeでキーをチェックするたびに、想定されるアクセス拒否エラーが4件CloudTrailに追加されます。これらは除外することができます。

Claudeで：キーを追加してアタッチする

Claude Platformでこの部分をスクリプト化するには、代わりにAdmin APIを使用してください。

  1. 暗号化キーの設定を開く

    Claude Consoleで、Data retentionページのEncryption keysを開きます。このセクションが表示されない場合は、上部のドロップダウンメニューからOrganizationを選択してください。

  2. キーを追加する

    Encryption keysでAdd keyをクリックします。Display nameを入力し、AWS KMSを選択して、Continueをクリックします。

  3. キーARNを入力する

    お客様のキーポリシーに、ダイアログボックスに表示されるOrganization ID for the key policyが含まれていることを確認します。キーARNをKMS key ARNに貼り付け、Addをクリックします。

  4. キーを検証する

    Encryption keys リストで、キーの横にある Verify をクリックします。チェックに合格すると Connected が表示されます。代わりに Connection failed が表示された場合は、CMEKのトラブルシューティングを参照してください。

  5. キーをワークスペースにアタッチする

    1. Data retention ページの上部で、ドロップダウンメニューからワークスペースを選択します。
    2. Encryption key で、キーを選択して Save をクリックします。
    3. CMEK のドキュメントを読んだことを確認するチェックボックスを選択し、Confirm をクリックします。

    Workspace settings updated. と表示されます。キーが有効になると、クラウドプロバイダーの監査ログにキーに対する Anthropic の呼び出しが表示されます。

    ZDR 組織では、ワークスペースを選択した後、Standard data retention を選択すると Encryption key が表示されます。Save をクリックした後、データ保持の規約で Accept をクリックします。

Was this page helpful?