Claude Platform Docs
管理CMEK をセットアップする

Azure Key Vault で CMEK を設定する

Azure Key Vault キーを作成し、Anthropic にそのキーへのアクセスを付与して、Claude Platform または Claude Enterprise で使用します。

Claude Code

Claude Code にこの機能を設定させる

/claude-api Azure Key Vault でカスタマー管理の暗号化キーを設定するのを手伝ってください

始める前に

Claude で:

Azure で:

  • キーコンテナーでキーを作成し、そのキーコンテナーに RBAC ロールを割り当てることができること。
  • Entra テナントでサービスプリンシパルを作成できること（Application Administrator、Cloud Application Administrator、または同等のカスタムロール）。
  • キーコンテナーに AuditEvent ログカテゴリの診断設定があること。これがない場合、お客様のキーに対する Anthropic のキー操作は監査証跡に残りません。

Azure で: キーを作成する

Verify または Add が失敗した場合は、Azure Key Vault の修正方法を参照してください。

以下の手順により、Anthropic のマルチテナントアプリケーションにお客様のキーへのアクセスが付与されます:

  • Name: anthropic-cmek-client-us
  • Client ID: 8635ae1a-3e5d-44e8-a4ed-e0f614466f87

使用するのはこのクライアント ID と名前のみとし、メールやチャットで送られてきたものは決して使用しないでください。このアプリケーションは Microsoft Graph のアクセス許可を要求しません。

キーコンテナーを確認する

レイテンシを最小限に抑えるには、northcentralus または eastus2 のキーコンテナーを使用してください。まず、Azure CLI または Cloud Shell で次を実行します:

az keyvault show --name <your-vault-name> \
  --query "{rbac:properties.enableRbacAuthorization, purge:properties.enablePurgeProtection, pub:properties.publicNetworkAccess, net:properties.networkAcls.defaultAction, ipRules:properties.networkAcls.ipRules, uri:properties.vaultUri, tenantId:properties.tenantId}"
フィールド必要な値
rbactrue
purgetrue。false または null の場合は、先に消去保護を有効にしてください。一度有効にすると無効に戻すことはできません。
pub"Enabled"。プライベートエンドポイントはサポートされていません。
net"Allow"、または ipRules に Anthropic の送信 IP アドレスを含めた "Deny"

uri（キーコンテナー URI）と tenantId をコピーします。

キーを作成してアクセスを付与する

このページでは、<ORGANIZATION_UUID> は小文字で表記したAnthropic の組織 IDです。既存のキーを使用する場合は、先に組織タグを追加してください。

  1. Anthropic のサービスプリンシパルを作成する

    ポータルの上部ナビゲーションバーから Cloud Shell を開きます。次のコマンドを実行します:

    az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87

    サービスプリンシパルがすでに存在する場合は、次の手順に進みます。

  2. サービスプリンシパルが存在することを確認する

    Microsoft Entra ID > Enterprise applications に移動し、既定のアプリケーションの種類フィルターをクリアします。anthropic-cmek-client-us を検索します。

    anthropic-cmek-client-us の Microsoft Entra エンタープライズアプリケーションの概要。Application ID と Object ID が表示されています。

    Entra のエンタープライズアプリケーションに表示された anthropic-cmek-client-us サービスプリンシパル。

  3. Create a key ページを開く

    キーコンテナーを開き、Keys を選択します。Generate/Import をクリックします。

  4. キーコンテナーに RSA キーを作成する

    次の値を設定します:

    • Name: キーの名前
    • Key type: RSA
    • RSA key size: 3072 以上

    Tags の横にあるリンクをクリックします。

  5. 組織タグを追加する

    次の値を入力します:

    • Tag Name: anthropic-org-<ORGANIZATION_UUID>
    • Tag Value: true

    OK をクリックし、次に Create をクリックします。

    RSA、キーサイズ 3072、anthropic-org タグを true に設定した Azure Key Vault の Create a key ページ。

    サイズ 3072 以上の RSA キーを作成し、タグ anthropic-org-<ORGANIZATION_UUID> を true に設定します。

  6. 許可される操作を制限する

    新しいキーを開き、その現在のバージョンを開きます。Permitted operations で、Wrap Key と Unwrap Key 以外のすべてのチェックボックスをオフにします。Save をクリックします。

    タグが 1 つあり、Permitted operations が Wrap Key と Unwrap Key に制限された Azure Key Vault のキーバージョン。

    許可される操作を Wrap Key と Unwrap Key に制限します。キーバージョンには組織タグが表示されます。

  7. キーのアクセス制御を開く

    キーコンテナーではなく、キー自体を開きます。その Access control (IAM) タブを選択し、Add > Add role assignment をクリックします。

  8. ロールを選択する

    Role タブで Key Vault Crypto User を選択します。Next をクリックします。

  9. Anthropic のサービスプリンシパルを追加する

    Members タブで Select members をクリックします。anthropic-cmek-client-us を検索して選択します。Select をクリックし、次に Next をクリックします。

  10. 確認して割り当てる

    Review + assign タブで Review + assign をクリックします。

Claude でキーを追加する担当者には、キーコンテナー URI、キー名、テナント ID が必要です。

既存のキーに組織タグを追加する

組織タグがないと検証は失敗します。キーは 3072 ビット以上の RSA である必要があります。

キーを作成する代わりに、Azure CLI または Cloud Shell で次のコマンドを実行します。このコマンドはキーを wrapKey と unwrapKey に制限します。また、現在のバージョンのタグを置き換えるため、保持したいタグがあれば --tags に name=value の形式で列挙してください。

az keyvault key set-attributes \
  --vault-name <your-vault-name> \
  --name <your-key-name> \
  --ops wrapKey unwrapKey \
  --tags anthropic-org-<ORGANIZATION_UUID>=true

サービスプリンシパルとロール割り当ての手順は引き続き必要です。

Claude で: キーを追加してアタッチする

Claude Platform でこの部分をスクリプト化するには、代わりに Admin API を使用してください。

  1. 暗号化キーの設定を開く

    Claude Consoleで、Data retentionページのEncryption keysを開きます。このセクションが表示されない場合は、上部のドロップダウンメニューからOrganizationを選択してください。

  2. キーを追加する

    Encryption keys で Add key をクリックします。Display name を入力し、Azure Key Vault を選択して、Continue をクリックします。

  3. キーの詳細を入力する

    お客様のキーに、ダイアログボックスに表示される Organization tag があることを確認します。Vault URI、Key name、Tenant ID を入力し、Client ID は空のままにして、Add をクリックします。

  4. キーを検証する

    Encryption keys リストで、キーの横にある Verify をクリックします。チェックに合格すると Connected が表示されます。代わりに Connection failed が表示された場合は、CMEKのトラブルシューティングを参照してください。

  5. キーをワークスペースにアタッチする

    1. Data retention ページの上部で、ドロップダウンメニューからワークスペースを選択します。
    2. Encryption key で、キーを選択して Save をクリックします。
    3. CMEK のドキュメントを読んだことを確認するチェックボックスを選択し、Confirm をクリックします。

    Workspace settings updated. と表示されます。キーが有効になると、クラウドプロバイダーの監査ログにキーに対する Anthropic の呼び出しが表示されます。

    ZDR 組織では、ワークスペースを選択した後、Standard data retention を選択すると Encryption key が表示されます。Save をクリックした後、データ保持の規約で Accept をクリックします。

Was this page helpful?