Claude Platform Docs
管理AWS KMS

Claude Platform on AWSでCMEKを設定する

Claude Platform on AWSで、AWS KMSキーをカスタマー管理暗号化キーとして使用します。

このガイドでは、Claude Platform on AWSでAWS KMSキーを「customer-managed encryption key」（カスタマー管理暗号化キー）、すなわちCMEKとして使用する方法を説明します。Claude PlatformまたはClaude Enterpriseの場合は、代わりにCMEK用のAWS KMSを設定するの手順に従ってください。

前提条件

  • Claude Platform on AWS組織をホストするAWSアカウントで、KMSキーを作成しキーポリシーを設定する権限（kms:CreateKeyおよびkms:PutKeyPolicy）を持つもの。

  • コマンドラインからキーを作成する場合は、インストールおよび認証済みのAWS CLI。

  • Claude Platform on AWS用のClaude ConsoleのAdminロール。Claude Consoleの使用を参照してください。

  • Claude Consoleへのサインインに使用するIAMプリンシパルに対する以下の権限：

    • サインイン： aws-external-anthropic:AssumeConsole
    • キーの登録： aws-external-anthropic:RegisterKey
    • 登録済みキーの表示： aws-external-anthropic:ListKeysおよびaws-external-anthropic:GetKey
    • キーのアタッチ： aws-external-anthropic:UpdateWorkspaceまたはaws-external-anthropic:CreateWorkspace、およびキーに対するkms:DescribeKey、kms:Encrypt、kms:Decrypt
    • リストからのキーの選択（オプション）： kms:ListKeysおよびkms:DescribeKey

    aws-external-anthropic:RegisterKey、aws-external-anthropic:ListKeys、aws-external-anthropic:GetKey、aws-external-anthropic:CreateWorkspaceはアカウントスコープです。これらはResource: "*"に対して付与してください。IAMアクションを参照してください。

Anthropic用のAWSサービスプリンシパル

このガイドのキーポリシーは、以下のAWSサービスプリンシパルにキーへのアクセスを付与します。

aws-external-anthropic.amazonaws.com

暗号化キーのセットアップ

キーポリシーを準備する

このポリシーをテキストエディタにコピーします。

key-policy.json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AccountRootAdmin",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<AWS_ACCOUNT_ID>:root"
      },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "AllowClaudePlatformOnAWSCrypto",
      "Effect": "Allow",
      "Principal": {
        "Service": "aws-external-anthropic.amazonaws.com"
      },
      "Action": ["kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKey"],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
        }
      }
    },
    {
      "Sid": "AllowClaudePlatformOnAWSDescribe",
      "Effect": "Allow",
      "Principal": {
        "Service": "aws-external-anthropic.amazonaws.com"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    }
  ]
}

EncryptionContext条件はオプションです。この条件により、キーの使用はリストしたワークスペースに限定されます。削除するには、AllowClaudePlatformOnAWSCryptoステートメントからConditionブロックを削除してください。

条件を残す場合は、キーをアタッチする前に各ワークスペースのコンパートメントIDを追加してください。新しいワークスペースの場合：

  1. キーなしでワークスペースを作成します。
  2. そのコンパートメントIDをポリシーに追加します。
  3. キーをアタッチします。

後から条件を追加する場合は、キーがすでにアタッチされているすべてのワークスペースのコンパートメントIDをリストしてください。

キーポリシーをさらに制限するには、オプションのaws:SourceArn条件を参照してください。

プレースホルダーを置き換えます。

  • <AWS_ACCOUNT_ID>： AWSアカウントID。AWS CLIで表示するには、aws sts get-caller-identity --query Account --output textを実行します。
  • <COMPARTMENT_UUID>： キーをアタッチするワークスペースのコンパートメントID

キーを作成する

Claude Platform on AWS組織をホストするAWSアカウントで、ワークスペースと同じリージョンにキーを作成します。

  1. キー作成ウィザードを開く

    AWS KMSコンソールを開き、キーのリージョンに切り替えます。Customer managed keysに移動し、Create keyをクリックします。

  2. キーを設定する

    以下のオプションが選択されていることを確認してください。

    • Key type: Symmetric
    • Key usage: Encrypt and decrypt
    • Advanced options > Key material origin: KMS
    • Advanced options > Regionality: Single-Region key

    Nextをクリックします。

    AWS KMSのキー作成ウィザードのConfigure keyステップ。対称キータイプ、暗号化と復号のキー使用法、単一リージョンキーが選択されています。

    対称、暗号化と復号、単一リージョンキー。

  3. ラベルを追加する

    キーのAlias（anthropic-cmekなど）を入力します。Nextをクリックします。

    AWS KMSのAdd labelsステップ。エイリアスにanthropic-cmek、説明にAnthropic CMEKが入力されています。

    キーのエイリアス。

  4. キー管理権限を定義する

    キー管理者は選択しないでください。キーポリシーによって、すでにAWSアカウントに完全な管理権限が付与されています。Nextをクリックします。

    AWS KMSのDefine key administrative permissionsステップ。キーを管理できるIAMロールが一覧表示されています。

    キー管理者は空のままにします。

  5. キー使用権限を定義する

    キーユーザーは選択せず、Other AWS accountsにも何も追加しないでください。キーポリシーによって、必要なアクセスがすでに付与されています。Nextをクリックします。

  6. キーポリシーを編集する

    Editをクリックします。ポリシー全体を、準備したキーポリシーに置き換えてから、Nextをクリックします。

  7. 確認する

    Finishをクリックします。

  8. キーARNをコピーする

    Customer managed keysで新しいキーを開き、そのARNをコピーします。キーを登録するにはARNが必要です。

既存のキーのキーポリシーを置き換えるには、次の手順を実行します。

  1. キーを開き、Key policyタブをクリックします。
  2. Switch to policy viewが表示されている場合は、それをクリックします。
  3. Editをクリックします。
  4. JSONを、準備したキーポリシーに置き換えます。
  5. Save changesをクリックします。

Anthropicにキーを登録する

Adminロールを使用してAWS経由でClaude Consoleにサインインします。

  1. 暗号化キーの設定を開く

    Claude Consoleで、Data retentionページ（platform.claude.com/settings/privacy）に移動します。Encryption keysが表示されない場合は、ページ上部のドロップダウンメニューからOrganizationを選択してください。

  2. キーを追加する

    Encryption keysの下でAdd keyをクリックします。Display nameを入力します。

  3. キーARNを入力する

    AnthropicはエイリアスARNとマルチリージョンキーを拒否します。

    KMS key ARNにキーARNを貼り付けます。代わりにキーのリストが表示された場合は、キーを選択するか、Enter ARN manuallyをクリックしてARNを貼り付けます。Addをクリックします。

  4. キーをワークスペースにアタッチする

    キーのアタッチは元に戻せません。可能であれば、新しいワークスペースがリクエストを受信する前にキーをアタッチしてください。すでにリクエストを受信しているワークスペースでは、キーが有効になるまで最大1日かかることがあります。

    Data retentionページで、ページ上部のドロップダウンメニューからワークスペースを選択します。Encryption keyの下でキーを選択し、Saveをクリックします。

  5. 変更を確認する

    CMEKのドキュメントを読んだことを確認するチェックボックスを選択し、Confirmをクリックします。

アタッチ時にキーが検証されます。KMSアクセスエラーで失敗した場合は、検証のトラブルシューティングを参照してください。

キーポリシーにEncryptionContext条件がない場合は、Claude Consoleでワークスペースを作成する際にキーを選択することもできます。

代わりにAPIでキーを登録してアタッチするには、IAMアクションを参照してください。APIはKMSキーARNによってキーを識別します。

検証のトラブルシューティング

検証が失敗した場合、一般的な原因は次のとおりです。

  • キーポリシーの不一致： キーポリシーがキーポリシーを準備するのものと一致していることを確認してください。キーポリシーを確認するには、aws kms get-key-policy --region <REGION> --key-id <KEY_ARN> --policy-name defaultを実行します。
  • 条件の不一致： EncryptionContext条件またはaws:SourceArn条件を使用している場合は、その条件にこのワークスペースが含まれていることを確認してください。
  • キーの状態または場所： キーが有効で、単一リージョンであり、ワークスペースと同じAWSアカウントおよびリージョンにあることを確認してください。
  • 権限の不足： サインインしているプリンシパルには、キーに対するkms:DescribeKey、kms:Encrypt、kms:Decryptが必要です。
  • 組織ポリシー： AWS組織内のサービスコントロールポリシーまたはリソースコントロールポリシーが、サービスプリンシパルまたはご自身のプリンシパルをブロックしていないことを確認してください。

それでもアタッチが失敗する場合は、キーのアカウントのCloudTrailで拒否されたkms:イベントを見つけてください。そこには呼び出し元のプリンシパルと、暗号化呼び出しの場合は暗号化コンテキストが表示されます。原因を修正した後、再度Saveをクリックしてください。

Terraform

Terraformでキーを作成するには、awsプロバイダーのaws_kms_keyおよびaws_kms_aliasリソースを使用します。

Was this page helpful?