Claude Platform Docs
管理CMEK をセットアップする

Google Cloud KMSでCMEKを設定する

Google Cloud KMSキーを作成し、Anthropicにそのキーへのアクセスを付与して、Claude PlatformまたはClaude Enterpriseで使用します。

Claude Code

Claude Codeにこの機能を設定してもらう

/claude-api Google Cloud KMSでカスタマー管理の暗号化キーを設定するのを手伝って

始める前に

Claudeで：

Google Cloudで：

  • Cloud KMS APIが有効になっていること。
  • キーリングとキーを作成し、それらにIAMポリシーを設定できること（roles/cloudkms.adminまたは同等のロール）。
  • Cloud KMSのData Access監査ログ（Data ReadとData Write）が有効になっており、Cloud LoggingがAnthropicによるお客様のキーの使用を記録すること。これらはデフォルトで無効です。
  • Google Cloud組織でドメイン制限付き共有（constraints/iam.allowedPolicyMemberDomains）が適用されている場合、Anthropicのサービスアカウントへの付与がブロックされます。プロジェクトレベルの例外を追加するか、AnthropicのCloud IdentityカスタマーIDを許可してください。IDについてはAnthropicにお問い合わせください。

Google Cloudで：キーを作成する

VerifyまたはAddが失敗した場合は、Google Cloud KMSの修正方法を参照してください。

以下の手順では、キーに小文字のAnthropic組織ID（<ORGANIZATION_UUID>）でラベルを付け、Anthropicのサービスアカウントにアクセスを付与します：

anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com

このアドレスのみを使用し、メールやチャットで送られてきたアドレスは決して使用しないでください。

任意のCloud KMSロケーションを使用できます。レイテンシを最小にするには、us-east5またはus-central1を使用してください。AnthropicはHSM保護を強く推奨します。

既存のキーを使用するには、まず組織ラベルを追加してください。

  1. キーリングを作成または選択する

    Google Cloudコンソールで、Key managementページに移動します。キーリングを開くか、us-east5などのロケーションにキーリングを作成します。

  2. キーを構成する

    Create keyをクリックし、名前を入力します。次のオプションを選択します：

    • Protection level: HSM
    • Key material: Generated key
    • Purpose: Symmetric encrypt/decrypt
    • Algorithm: Google symmetric key

  3. 組織ラベルを追加する

    Additional settingsをクリックし、次にAdd labelをクリックします。組織ラベルを入力します：

    • Key 1: anthropic-org-<ORGANIZATION_UUID>
    • Value 1: true

    Createをクリックします。

    HSM保護、対称暗号化/復号、およびtrueに設定されたanthropic-orgラベルを含むGoogle Cloud KMSのCreate keyページ。

    組織ラベルが付いた、HSMで保護された対称暗号化/復号キー。

  4. キーの権限を開く

    キーリングの詳細ページで、キーの横にあるチェックボックスを選択します。Permissionsパネルを開き、Grant accessをクリックします。

  5. Anthropicのサービスアカウントにキーへのアクセスを付与する

    Resourceにキーリングやプロジェクトではなく、キーが表示されていることを確認します。次の値を入力します：

    • New principals: anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com
    • Role: Cloud KMS CryptoKey Encrypter/Decrypter

    Add another roleをクリックし、Cloud KMS Viewerを選択します。Saveをクリックします。

    AnthropicのサービスアカウントにCloud KMS CryptoKey Encrypter/DecrypterロールとViewerロールが割り当てられたGrant accessダイアログ。

    キーを対象として、Anthropicのサービスアカウントに両方のロールを付与します。

  6. キーの完全なリソース名をコピーする

    キーリングの詳細ページで、キーのActionsメニューを開き、Copy resource nameをクリックします。

    キーのアクションメニューでCopy resource nameアクションが強調表示されたGoogle Cloudのキーリング詳細。

    アクションメニューからキーの完全なリソース名をコピーします。

Claudeでキーを追加する担当者には、次の形式のキーの完全なリソース名が必要です：

projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>

既存のキーに組織ラベルを追加する

キーに、小文字のAnthropic組織IDを含むラベルanthropic-org-<ORGANIZATION_UUID>がtrueに設定されていない限り、検証は失敗します。ラベルを追加するには、次を実行します：

gcloud kms keys update <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name> \
  --update-labels=anthropic-org-<ORGANIZATION_UUID>=true

その他の値はキーの完全なリソース名に含まれており、このコマンドは既存のラベルを保持します。その後、アクセスを付与する手順に進んでください。

Claudeで：キーを追加してアタッチする

Claude Platformでこの部分をスクリプト化するには、代わりにAdmin APIを使用してください。

  1. 暗号化キーの設定を開く

    Claude Consoleで、Data retentionページのEncryption keysを開きます。このセクションが表示されない場合は、上部のドロップダウンメニューからOrganizationを選択してください。

  2. キーを追加する

    Encryption keysの下で、Add keyをクリックします。Display nameを入力し、Google Cloud KMSを選択して、Continueをクリックします。

  3. キーのリソース名を入力する

    キーに、ダイアログボックスに表示されるOrganization labelが付いていることを確認します。キーの完全なリソース名をKey resource nameに貼り付け、Addをクリックします。

  4. キーを検証する

    Encryption keys リストで、キーの横にある Verify をクリックします。チェックに合格すると Connected が表示されます。代わりに Connection failed が表示された場合は、CMEKのトラブルシューティングを参照してください。

  5. キーをワークスペースにアタッチする

    1. Data retention ページの上部で、ドロップダウンメニューからワークスペースを選択します。
    2. Encryption key で、キーを選択して Save をクリックします。
    3. CMEK のドキュメントを読んだことを確認するチェックボックスを選択し、Confirm をクリックします。

    Workspace settings updated. と表示されます。キーが有効になると、クラウドプロバイダーの監査ログにキーに対する Anthropic の呼び出しが表示されます。

    ZDR 組織では、ワークスペースを選択した後、Standard data retention を選択すると Encryption key が表示されます。Save をクリックした後、データ保持の規約で Accept をクリックします。

Was this page helpful?