--- title: AWS KMSでCMEKを設定する url: https://platform.claude.com/docs/ja/manage-claude/cmek-aws-kms description: AWS KMSキーを作成し、Anthropicにそのキーへのアクセスを付与して、Claude PlatformまたはClaude Enterpriseで使用します。 --- Claude Codeにこの機能を設定させる ```text /claude-api AWS KMSでカスタマー管理の暗号化キーを構成するのを手伝って ``` Claude Consoleのサイドバーに**Account managed by AWS**と表示されている場合は、代わりに[Claude Platform on AWSでCMEKを設定する](https://platform.claude.com/docs/ja/manage-claude/cmek-claude-platform-on-aws)に従ってください。 ## 始める前に Claudeで： * カスタマー管理の暗号化キー（CMEK）が[お客様の組織で有効になっている](https://platform.claude.com/docs/ja/manage-claude/cmek#availability)こと。 * Anthropicの組織ID（`org_` プレフィックスを除いたUUID）を把握していること。Claude Consoleの[Organization](https://platform.claude.com/settings/organization)、またはclaude.aiの **Organization settings > Organization and access** からコピーしてください。キーを作成する人がこのIDを必要とします。 * Claude PlatformのOrganization Admin、またはClaude EnterpriseのOwnerもしくはPrimary Ownerであること。 * Claude Platformでは、[データを保持する](https://platform.claude.com/docs/ja/manage-claude/cmek-data-retention#data-retention)ワークスペースがあること。[既存のデータはAnthropicのキーの下に残る](https://platform.claude.com/docs/ja/manage-claude/cmek-how-it-works#when-your-key-takes-effect)ため、できれば新しいワークスペースを用意してください。 * Claude Enterpriseでは、[どの機能がオフになる、または変更されるか](https://platform.claude.com/docs/ja/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed)を把握していること。 AWSで： * AWS KMSキーを作成し、そのキーポリシーを設定できること（`kms:CreateKey`および`kms:PutKeyPolicy`）。 * AWS KMSへのアクセスに対するIP制限がある場合は、[AnthropicのアウトバウンドIPアドレス](https://platform.claude.com/docs/ja/api/ip-addresses#outbound-ip-addresses)を許可していること。 ## AWSで：キーを作成する **Verify**または**Add**が失敗した場合は、[AWS KMSの修正方法](https://platform.claude.com/docs/ja/manage-claude/cmek-troubleshooting#aws-kms)を参照してください。 ### キーポリシーを作成する このポリシーは、AnthropicのIAMロールにお客様のキーへのアクセスを付与します。このページで公開されているロールARNのみを使用し、メールやチャットで送られてきたロールARNは決して使用しないでください。ポリシーをテキストエディタにコピーします： ```json key-policy.json { "Version": "2012-10-17", "Statement": [ { "Sid": "AccountRootAdmin", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam:::root" }, "Action": "kms:*", "Resource": "*" }, { "Sid": "AllowAnthropicCMEKCrypto", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": ["kms:Encrypt", "kms:Decrypt"], "Resource": "*", "Condition": { "StringEquals": { "kms:EncryptionContext:anthropic:org_uuid": [""] } } }, { "Sid": "AllowAnthropicCMEKDescribe", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": "kms:DescribeKey", "Resource": "*" } ] } ``` ``をお客様の[AWSアカウントID](https://docs.aws.amazon.com/IAM/latest/UserGuide/console-account-id.html)に、``をお客様の[Anthropic組織ID](https://platform.claude.com/docs/ja/manage-claude/cmek-aws-kms#prerequisites)に置き換えてください。`kms:EncryptionContext:anthropic:org_uuid`条件は残してください。残さないと検証が失敗します。 コンパートメントIDを列挙することで、[キーを特定のワークスペースに制限する](https://platform.claude.com/docs/ja/manage-claude/cmek-aws-kms-workspaces)こともできます。すでにClaudeのデータを保護しているキーのポリシーを置き換える場合は、[ポリシーステートメントをもう1つ追加してください](https://platform.claude.com/docs/ja/manage-claude/cmek-troubleshooting#existing-data)。 ### キーを作成する キーは任意のAWS商用リージョンで作成できます。レイテンシを最小にするには、`us-east-2`を使用してください。 AWS KMSにすでにあるキーを使用するには、[そのキーポリシーを置き換えてください](https://platform.claude.com/docs/ja/manage-claude/cmek-aws-kms-workspaces#replace-the-key-policy)。 [AWS KMSコンソール](https://console.aws.amazon.com/kms)を開き、キーを作成するリージョンに切り替えます。**Customer managed keys**に移動し、**Create key**をクリックします。 次のオプションが選択されていることを確認します。 * **Key type:** Symmetric * **Key usage:** Encrypt and decrypt * **Advanced options > Key material origin:** KMS * **Advanced options > Regionality:** Single-Region key **Next**をクリックします。 ![Symmetricキータイプ、Encrypt and decryptキー使用、Single-Region keyが選択されたAWS KMSのConfigure keyステップ。](https://platform.claude.com/docs/images/cmek/aws-configure-key.png) キーの**Alias**として、`anthropic-cmek`などを入力します。**Next**をクリックします。 ![エイリアスにanthropic-cmek、説明にAnthropic CMEKが入力されたAWS KMSのAdd labelsステップ。](https://platform.claude.com/docs/images/cmek/aws-add-labels.png) キー管理者は選択しないでください。お客様のキーポリシーにより、お客様のAWSアカウントにはすでに完全な管理権限が付与されています。**Next**をクリックします。 ![キーを管理できるIAMロールが一覧表示されたAWS KMSのDefine key administrative permissionsステップ。](https://platform.claude.com/docs/images/cmek/aws-admin-permissions.png) キーユーザーは選択せず、**Other AWS accounts**にも何も追加しないでください。必要なアクセス権はお客様のキーポリシーですでに付与されています。**Next**をクリックします。 **Edit**をクリックします。ポリシー全体をお客様のキーポリシーに置き換えてから、**Next**をクリックします。 **Finish**をクリックします。 **Customer managed keys**で新しいキーを開き、そのARNをコピーします。Claudeでキーを追加する担当者がこのARNを必要とします。 お客様のキーポリシーを`key-policy.json`として保存してから、キーを作成します。``をキーのリージョンに置き換えてください。 ```bash aws kms create-key \ --region \ --description "Anthropic CMEK" \ --key-usage ENCRYPT_DECRYPT \ --policy file://key-policy.json ``` 出力から`KeyMetadata.Arn`をコピーします。Claudeでキーを追加する担当者がこのARNを必要とします。 Claudeでキーをチェックするたびに、想定されるアクセス拒否エラーが4件CloudTrailに追加されます。これらは[除外する](https://platform.claude.com/docs/ja/manage-claude/cmek-troubleshooting#cloudtrail)ことができます。 ## Claudeで：キーを追加してアタッチする Claude Platformでこの部分をスクリプト化するには、代わりに[Admin APIを使用してください](https://platform.claude.com/docs/ja/manage-claude/cmek-admin-api)。 Claude Consoleで、Data retentionページの[Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys)を開きます。このセクションが表示されない場合は、上部のドロップダウンメニューから**Organization**を選択してください。 **Encryption keys**で**Add key**をクリックします。**Display name**を入力し、**AWS KMS**を選択して、**Continue**をクリックします。 お客様の[キーポリシー](https://platform.claude.com/docs/ja/manage-claude/cmek-aws-kms#key-policy)に、ダイアログボックスに表示される**Organization ID for the key policy**が含まれていることを確認します。キーARNを**KMS key ARN**に貼り付け、**Add**をクリックします。 **Encryption keys** リストで、キーの横にある **Verify** をクリックします。チェックに合格すると **Connected** が表示されます。代わりに **Connection failed** が表示された場合は、[CMEKのトラブルシューティング](https://platform.claude.com/docs/ja/manage-claude/cmek-troubleshooting)を参照してください。 キーのアタッチは[元に戻せません](https://platform.claude.com/docs/ja/manage-claude/cmek-key-lifecycle#what-each-action-does)。キーをワークスペースからデタッチしたり、別のキーに置き換えたりすることはできません。キーが削除された場合、Anthropicはそのキーで保護されているデータを復旧できません。 1. Data retention ページの上部で、ドロップダウンメニューからワークスペースを選択します。 2. **Encryption key** で、キーを選択して **Save** をクリックします。 3. CMEK のドキュメントを読んだことを確認するチェックボックスを選択し、**Confirm** をクリックします。 **Workspace settings updated.** と表示されます。キーが[有効になる](https://platform.claude.com/docs/ja/manage-claude/cmek-how-it-works#when-your-key-takes-effect)と、クラウドプロバイダーの監査ログにキーに対する Anthropic の呼び出しが表示されます。 [ZDR 組織](https://platform.claude.com/docs/ja/manage-claude/cmek-data-retention#zdr-organizations)では、ワークスペースを選択した後、**Standard data retention** を選択すると **Encryption key** が表示されます。**Save** をクリックした後、データ保持の規約で **Accept** をクリックします。 Claude Enterprise では、CMEK は組織全体に適用され、追加できるキーは1つだけです。 キーの追加は[元に戻すことができません](https://platform.claude.com/docs/ja/manage-claude/cmek-key-lifecycle#what-each-action-does)。組織からキーをデタッチしたり、別のキーに置き換えたりすることはできません。キーが削除された場合、Anthropicはそのキーが保護しているデータを復旧できません。 キーを追加すると、すべてのユーザーに対して[一部の機能がオフになるか変更されます](https://platform.claude.com/docs/ja/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed)。まず CMEK を試す場合は、別の組織を使用してください。 [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls)に移動し、**Encryption keys** を見つけます。 **Add key**をクリックします。**Display name**を入力し、**AWS KMS**を選択します。CMEKドキュメントを読んだことを確認するチェックボックスを選択してから、**Continue**をクリックします。 お客様の[キーポリシー](https://platform.claude.com/docs/ja/manage-claude/cmek-aws-kms#key-policy)に、ダイアログボックスに表示される**Organization ID for the key policy**が含まれていることを確認します。キーARNを**KMS key ARN**に貼り付け、**Add**をクリックします。 確認には最大30秒かかる場合があります。**Encryption key configured.** が表示されたら、**Done** をクリックします。代わりに **The encryption key couldn’t be added.** が表示された場合は、[原因を特定して再試行してください](https://platform.claude.com/docs/ja/manage-claude/cmek-troubleshooting#claude-ai-add-fails)。 それ以降に書き込まれたデータは、お客様のキーで保護されます。[どの機能が変更されたか](https://platform.claude.com/docs/ja/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed)をユーザーに伝えてください。