---
title: Azure Key Vault で CMEK を設定する
url: https://platform.claude.com/docs/ja/manage-claude/cmek-azure-key-vault
description: Azure Key Vault キーを作成し、Anthropic にそのキーへのアクセスを付与して、Claude Platform または Claude Enterprise で使用します。
---

Claude Code にこの機能を設定させる

```text
/claude-api Azure Key Vault でカスタマー管理の暗号化キーを設定するのを手伝ってください
```

## 始める前に

Claude で:

* カスタマー管理の暗号化キー（CMEK）が[お客様の組織で有効になっている](https://platform.claude.com/docs/ja/manage-claude/cmek#availability)こと。
* Anthropicの組織ID（`org_` プレフィックスを除いたUUID）を把握していること。Claude Consoleの[Organization](https://platform.claude.com/settings/organization)、またはclaude.aiの **Organization settings > Organization and access** からコピーしてください。キーを作成する人がこのIDを必要とします。
* Claude PlatformのOrganization Admin、またはClaude EnterpriseのOwnerもしくはPrimary Ownerであること。
* Claude Platformでは、[データを保持する](https://platform.claude.com/docs/ja/manage-claude/cmek-data-retention#data-retention)ワークスペースがあること。[既存のデータはAnthropicのキーの下に残る](https://platform.claude.com/docs/ja/manage-claude/cmek-how-it-works#when-your-key-takes-effect)ため、できれば新しいワークスペースを用意してください。
* Claude Enterpriseでは、[どの機能がオフになる、または変更されるか](https://platform.claude.com/docs/ja/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed)を把握していること。

Azure で:

* キーコンテナーでキーを作成し、そのキーコンテナーに RBAC ロールを割り当てることができること。
* Entra テナントでサービスプリンシパルを作成できること（Application Administrator、Cloud Application Administrator、または同等のカスタムロール）。
* キーコンテナーに `AuditEvent` ログカテゴリの診断設定があること。これがない場合、お客様のキーに対する Anthropic のキー操作は監査証跡に残りません。

## Azure で: キーを作成する

**Verify** または **Add** が失敗した場合は、[Azure Key Vault の修正方法](https://platform.claude.com/docs/ja/manage-claude/cmek-troubleshooting#azure-key-vault)を参照してください。

以下の手順により、Anthropic のマルチテナントアプリケーションにお客様のキーへのアクセスが付与されます:

* **Name:** `anthropic-cmek-client-us`
* **Client ID:** `8635ae1a-3e5d-44e8-a4ed-e0f614466f87`

使用するのはこのクライアント ID と名前のみとし、メールやチャットで送られてきたものは決して使用しないでください。このアプリケーションは Microsoft Graph のアクセス許可を要求しません。

### キーコンテナーを確認する

レイテンシを最小限に抑えるには、`northcentralus` または `eastus2` のキーコンテナーを使用してください。まず、Azure CLI または Cloud Shell で次を実行します:

```bash
az keyvault show --name <your-vault-name> \
  --query "{rbac:properties.enableRbacAuthorization, purge:properties.enablePurgeProtection, pub:properties.publicNetworkAccess, net:properties.networkAcls.defaultAction, ipRules:properties.networkAcls.ipRules, uri:properties.vaultUri, tenantId:properties.tenantId}"
```

| フィールド   | 必要な値                                                                                                                                       |
| ------- | ------------------------------------------------------------------------------------------------------------------------------------------ |
| `rbac`  | `true`                                                                                                                                     |
| `purge` | `true`。`false` または `null` の場合は、先に消去保護を有効にしてください。一度有効にすると無効に戻すことはできません。                                                                     |
| `pub`   | `"Enabled"`。プライベートエンドポイントはサポートされていません。                                                                                                     |
| `net`   | `"Allow"`、または `ipRules` に [Anthropic の送信 IP アドレス](https://platform.claude.com/docs/ja/api/ip-addresses#outbound-ip-addresses)を含めた `"Deny"` |

`uri`（キーコンテナー URI）と `tenantId` をコピーします。

### キーを作成してアクセスを付与する

このページでは、`<ORGANIZATION_UUID>` は小文字で表記した[Anthropic の組織 ID](https://platform.claude.com/docs/ja/manage-claude/cmek-azure-key-vault#prerequisites)です。既存のキーを使用する場合は、先に[組織タグを追加](https://platform.claude.com/docs/ja/manage-claude/cmek-azure-key-vault#organization-tag)してください。

<Tabs>
  <Tab title="Azure portal">
    <Steps>
      <Step title="Anthropic のサービスプリンシパルを作成する">
        ポータルの上部ナビゲーションバーから Cloud Shell を開きます。次のコマンドを実行します:

        ```bash
        az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87
        ```

        サービスプリンシパルがすでに存在する場合は、次の手順に進みます。
      </Step>

      <Step title="サービスプリンシパルが存在することを確認する">
        **Microsoft Entra ID > Enterprise applications** に移動し、既定のアプリケーションの種類フィルターをクリアします。`anthropic-cmek-client-us` を検索します。

        <Frame caption="Entra のエンタープライズアプリケーションに表示された anthropic-cmek-client-us サービスプリンシパル。">
          ![anthropic-cmek-client-us の Microsoft Entra エンタープライズアプリケーションの概要。Application ID と Object ID が表示されています。](https://platform.claude.com/docs/images/cmek/azure-service-principal.png)
        </Frame>
      </Step>

      <Step title="Create a key ページを開く">
        キーコンテナーを開き、**Keys** を選択します。**Generate/Import** をクリックします。
      </Step>

      <Step title="キーコンテナーに RSA キーを作成する">
        次の値を設定します:

        * **Name:** キーの名前
        * **Key type:** RSA
        * **RSA key size:** 3072 以上

        **Tags** の横にあるリンクをクリックします。
      </Step>

      <Step title="組織タグを追加する">
        次の値を入力します:

        * **Tag Name:** `anthropic-org-<ORGANIZATION_UUID>`
        * **Tag Value:** `true`

        **OK** をクリックし、次に **Create** をクリックします。

        <Frame caption="サイズ 3072 以上の RSA キーを作成し、タグ anthropic-org-<ORGANIZATION_UUID> を true に設定します。">
          ![RSA、キーサイズ 3072、anthropic-org タグを true に設定した Azure Key Vault の Create a key ページ。](https://platform.claude.com/docs/images/cmek/azure-create-key-tag.png)
        </Frame>
      </Step>

      <Step title="許可される操作を制限する">
        新しいキーを開き、その現在のバージョンを開きます。**Permitted operations** で、**Wrap Key** と **Unwrap Key** 以外のすべてのチェックボックスをオフにします。**Save** をクリックします。

        <Frame caption="許可される操作を Wrap Key と Unwrap Key に制限します。キーバージョンには組織タグが表示されます。">
          ![タグが 1 つあり、Permitted operations が Wrap Key と Unwrap Key に制限された Azure Key Vault のキーバージョン。](https://platform.claude.com/docs/images/cmek/azure-permitted-operations-tag.png)
        </Frame>
      </Step>

      <Step title="キーのアクセス制御を開く">
        キーコンテナーではなく、キー自体を開きます。その **Access control (IAM)** タブを選択し、**Add > Add role assignment** をクリックします。
      </Step>

      <Step title="ロールを選択する">
        **Role** タブで **Key Vault Crypto User** を選択します。**Next** をクリックします。
      </Step>

      <Step title="Anthropic のサービスプリンシパルを追加する">
        **Members** タブで **Select members** をクリックします。`anthropic-cmek-client-us` を検索して選択します。**Select** をクリックし、次に **Next** をクリックします。
      </Step>

      <Step title="確認して割り当てる">
        **Review + assign** タブで **Review + assign** をクリックします。
      </Step>
    </Steps>
  </Tab>

  <Tab title="Azure CLI">
    <Steps>
      <Step title="Anthropic のサービスプリンシパルを作成する">
        ```bash
        az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87
        ```

        出力から `id` フィールドをコピーします。

        コマンドが「already exists」エラーで終了した場合は、代わりに次のコマンドで `id` を取得します:

        ```bash
        az ad sp show --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87 --query id -o tsv
        ```
      </Step>

      <Step title="キーコンテナーに RSA キーを作成する">
        ```bash
        az keyvault key create \
          --vault-name <your-vault-name> \
          --name <your-key-name> \
          --kty RSA --size 3072 \
          --ops wrapKey unwrapKey \
          --tags anthropic-org-<ORGANIZATION_UUID>=true
        ```

        プレースホルダーを置き換えます:

        * **`<your-vault-name>`:** キーコンテナーの名前
        * **`<your-key-name>`:** キーの名前
        * **`<ORGANIZATION_UUID>`:** 小文字で表記した Anthropic の組織 ID

        HSM で保護されたキーの場合は、`--kty RSA-HSM` を使用します。
      </Step>

      <Step title="Anthropic のサービスプリンシパルにお客様のキーへのアクセスを付与する">
        ```bash
        VAULT_ID=$(az keyvault show --name <your-vault-name> --query id -o tsv)

        az role assignment create \
          --role "Key Vault Crypto User" \
          --assignee-object-id <sp-object-id> \
          --assignee-principal-type ServicePrincipal \
          --scope "${VAULT_ID}/keys/<your-key-name>"
        ```

        プレースホルダーを置き換えます:

        * **`<your-vault-name>`:** キーコンテナーの名前
        * **`<sp-object-id>`:** 最初の手順で取得した `id` の値
        * **`<your-key-name>`:** キーの名前
      </Step>
    </Steps>
  </Tab>
</Tabs>

Claude でキーを追加する担当者には、キーコンテナー URI、キー名、テナント ID が必要です。

### 既存のキーに組織タグを追加する

組織タグがないと検証は失敗します。キーは 3072 ビット以上の RSA である必要があります。

キーを作成する代わりに、Azure CLI または Cloud Shell で次のコマンドを実行します。このコマンドはキーを `wrapKey` と `unwrapKey` に制限します。また、現在のバージョンのタグを置き換えるため、保持したいタグがあれば `--tags` に `name=value` の形式で列挙してください。

```bash
az keyvault key set-attributes \
  --vault-name <your-vault-name> \
  --name <your-key-name> \
  --ops wrapKey unwrapKey \
  --tags anthropic-org-<ORGANIZATION_UUID>=true
```

サービスプリンシパルとロール割り当ての手順は引き続き必要です。

## Claude で: キーを追加してアタッチする

Claude Platform でこの部分をスクリプト化するには、代わりに [Admin API を使用](https://platform.claude.com/docs/ja/manage-claude/cmek-admin-api)してください。

<Tabs>
  <Tab title="Claude Platform">
    <Steps>
      <Step title="暗号化キーの設定を開く">
        Claude Consoleで、Data retentionページの[Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys)を開きます。このセクションが表示されない場合は、上部のドロップダウンメニューから**Organization**を選択してください。
      </Step>

      <Step title="キーを追加する">
        **Encryption keys** で **Add key** をクリックします。**Display name** を入力し、**Azure Key Vault** を選択して、**Continue** をクリックします。
      </Step>

      <Step title="キーの詳細を入力する">
        お客様のキーに、ダイアログボックスに表示される **Organization tag** があることを確認します。**Vault URI**、**Key name**、**Tenant ID** を入力し、**Client ID** は空のままにして、**Add** をクリックします。
      </Step>

      <Step title="キーを検証する">
        **Encryption keys** リストで、キーの横にある **Verify** をクリックします。チェックに合格すると **Connected** が表示されます。代わりに **Connection failed** が表示された場合は、[CMEKのトラブルシューティング](https://platform.claude.com/docs/ja/manage-claude/cmek-troubleshooting)を参照してください。
      </Step>

      <Step title="キーをワークスペースにアタッチする">
        <Warning>
          キーのアタッチは[元に戻せません](https://platform.claude.com/docs/ja/manage-claude/cmek-key-lifecycle#what-each-action-does)。キーをワークスペースからデタッチしたり、別のキーに置き換えたりすることはできません。キーが削除された場合、Anthropicはそのキーで保護されているデータを復旧できません。
        </Warning>

        1. Data retention ページの上部で、ドロップダウンメニューからワークスペースを選択します。
        2. **Encryption key** で、キーを選択して **Save** をクリックします。
        3. CMEK のドキュメントを読んだことを確認するチェックボックスを選択し、**Confirm** をクリックします。

        **Workspace settings updated.** と表示されます。キーが[有効になる](https://platform.claude.com/docs/ja/manage-claude/cmek-how-it-works#when-your-key-takes-effect)と、クラウドプロバイダーの監査ログにキーに対する Anthropic の呼び出しが表示されます。

        [ZDR 組織](https://platform.claude.com/docs/ja/manage-claude/cmek-data-retention#zdr-organizations)では、ワークスペースを選択した後、**Standard data retention** を選択すると **Encryption key** が表示されます。**Save** をクリックした後、データ保持の規約で **Accept** をクリックします。
      </Step>
    </Steps>
  </Tab>

  <Tab title="Claude Enterprise">
    Claude Enterprise では、CMEK は組織全体に適用され、追加できるキーは1つだけです。

    <Warning>
      キーの追加は[元に戻すことができません](https://platform.claude.com/docs/ja/manage-claude/cmek-key-lifecycle#what-each-action-does)。組織からキーをデタッチしたり、別のキーに置き換えたりすることはできません。キーが削除された場合、Anthropicはそのキーが保護しているデータを復旧できません。
    </Warning>

    キーを追加すると、すべてのユーザーに対して[一部の機能がオフになるか変更されます](https://platform.claude.com/docs/ja/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed)。まず CMEK を試す場合は、別の組織を使用してください。

    <Steps>
      <Step title="暗号化キーの設定を開く">
        [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls)に移動し、**Encryption keys** を見つけます。
      </Step>

      <Step title="キーを追加する">
        **Add key** をクリックします。**Display name** を入力し、**Azure Key Vault** を選択します。CMEK のドキュメントを読んだことを確認するチェックボックスをオンにし、**Continue** をクリックします。
      </Step>

      <Step title="キーの詳細を入力する">
        お客様のキーに、ダイアログボックスに表示される **Organization tag** があることを確認します。**Vault URI**、**Key name**、**Tenant ID** を入力し、**Client ID** は空のままにして、**Add** をクリックします。
      </Step>

      <Step title="キーが追加されたことを確認する">
        確認には最大30秒かかる場合があります。**Encryption key configured.** が表示されたら、**Done** をクリックします。代わりに **The encryption key couldn’t be added.** が表示された場合は、[原因を特定して再試行してください](https://platform.claude.com/docs/ja/manage-claude/cmek-troubleshooting#claude-ai-add-fails)。

        それ以降に書き込まれたデータは、お客様のキーで保護されます。[どの機能が変更されたか](https://platform.claude.com/docs/ja/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed)をユーザーに伝えてください。
      </Step>
    </Steps>
  </Tab>
</Tabs>