Claude Platform Docs
管理CMEK をセットアップする

AWS KMSキーを特定のワークスペースに制限する

お客様のAWS KMSキーの使用を許可するワークスペースを指定するキーポリシー条件を追加します。

セットアップ時のキーポリシーでは、組織内のすべてのワークスペースがキーを使用できます。このオプションの条件を追加すると、リストに含まれていないワークスペースはキーを使用できなくなります。

ワークスペースにキーをアタッチする前に、そのワークスペースのコンパートメントIDをポリシーに追加してください。新しいワークスペースの場合は、キーなしでワークスペースを作成することになります。

ワークスペースのコンパートメントIDをコピーする

Claude ConsoleでData retentionページを開き、上部のドロップダウンメニューからワークスペースを選択します。Encryption keyの下にあるCompartment IDをコピーします。Get Workspaceエンドポイントは、これをcompartment_idとして返します。

Claude Enterprise組織には、コンパートメントIDが1つあります。claude.ai > Organization settings > Data and privacyの Encryption keys にあるお客様のキーからコピーしてください。

キーポリシーに条件を追加する

AllowAnthropicCMEKCryptoポリシーステートメントを次のものに置き換えます。Anthropicの組織IDと、キーを使用するすべてのワークスペースのコンパートメントIDを入力してください。すでにデータを保護しているキーには、ポリシーステートメントがもう1つ必要です。

{
  "Sid": "AllowAnthropicCMEKCrypto",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
  },
  "Action": ["kms:Encrypt", "kms:Decrypt"],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:anthropic:org_uuid": ["<ORGANIZATION_UUID>"]
    },
    "StringEqualsIfExists": {
      "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
    }
  }
}

既存のキーのキーポリシーを置き換える

  1. AWS KMSコンソールでキーを開き、Key policy タブをクリックします。
  2. Switch to policy view が表示されている場合は、それをクリックします。
  3. Edit をクリックします。
  4. JSONをお客様のキーポリシーに置き換えます。
  5. Save changes をクリックします。

Was this page helpful?