---
title: Google Cloud KMSでCMEKを設定する
url: https://platform.claude.com/docs/ja/manage-claude/cmek-google-cloud-kms
description: Google Cloud KMSキーを作成し、Anthropicにそのキーへのアクセスを付与して、Claude PlatformまたはClaude Enterpriseで使用します。
---

Claude Codeにこの機能を設定してもらう

```text
/claude-api Google Cloud KMSでカスタマー管理の暗号化キーを設定するのを手伝って
```

## 始める前に

Claudeで：

* カスタマー管理の暗号化キー（CMEK）が[お客様の組織で有効になっている](https://platform.claude.com/docs/ja/manage-claude/cmek#availability)こと。
* Anthropicの組織ID（`org_` プレフィックスを除いたUUID）を把握していること。Claude Consoleの[Organization](https://platform.claude.com/settings/organization)、またはclaude.aiの **Organization settings > Organization and access** からコピーしてください。キーを作成する人がこのIDを必要とします。
* Claude PlatformのOrganization Admin、またはClaude EnterpriseのOwnerもしくはPrimary Ownerであること。
* Claude Platformでは、[データを保持する](https://platform.claude.com/docs/ja/manage-claude/cmek-data-retention#data-retention)ワークスペースがあること。[既存のデータはAnthropicのキーの下に残る](https://platform.claude.com/docs/ja/manage-claude/cmek-how-it-works#when-your-key-takes-effect)ため、できれば新しいワークスペースを用意してください。
* Claude Enterpriseでは、[どの機能がオフになる、または変更されるか](https://platform.claude.com/docs/ja/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed)を把握していること。

Google Cloudで：

* Cloud KMS APIが有効になっていること。
* キーリングとキーを作成し、それらにIAMポリシーを設定できること（`roles/cloudkms.admin`または同等のロール）。
* Cloud KMSの[Data Access監査ログ](https://docs.cloud.google.com/logging/docs/audit/configure-data-access)（Data ReadとData Write）が有効になっており、Cloud LoggingがAnthropicによるお客様のキーの使用を記録すること。これらはデフォルトで無効です。
* Google Cloud組織でドメイン制限付き共有（`constraints/iam.allowedPolicyMemberDomains`）が適用されている場合、Anthropicのサービスアカウントへの付与がブロックされます。プロジェクトレベルの例外を追加するか、AnthropicのCloud IdentityカスタマーIDを許可してください。IDについてはAnthropicにお問い合わせください。

## Google Cloudで：キーを作成する

**Verify**または**Add**が失敗した場合は、[Google Cloud KMSの修正方法](https://platform.claude.com/docs/ja/manage-claude/cmek-troubleshooting#google-cloud-kms)を参照してください。

以下の手順では、キーに小文字のAnthropic組織ID（`<ORGANIZATION_UUID>`）でラベルを付け、Anthropicのサービスアカウントにアクセスを付与します：

```text wrap
anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com
```

このアドレスのみを使用し、メールやチャットで送られてきたアドレスは決して使用しないでください。

任意のCloud KMSロケーションを使用できます。レイテンシを最小にするには、`us-east5`または`us-central1`を使用してください。AnthropicはHSM保護を強く推奨します。

既存のキーを使用するには、まず[組織ラベルを追加](https://platform.claude.com/docs/ja/manage-claude/cmek-google-cloud-kms#organization-label)してください。

<Tabs>
  <Tab title="Google Cloud Console">
    <Steps>
      <Step title="キーリングを作成または選択する">
        Google Cloudコンソールで、[Key management](https://console.cloud.google.com/security/kms)ページに移動します。キーリングを開くか、`us-east5`などのロケーションにキーリングを作成します。
      </Step>

      <Step title="キーを構成する">
        **Create key**をクリックし、名前を入力します。次のオプションを選択します：

        * **Protection level:** HSM
        * **Key material:** Generated key
        * **Purpose:** Symmetric encrypt/decrypt
        * **Algorithm:** Google symmetric key
      </Step>

      <Step title="組織ラベルを追加する">
        **Additional settings**をクリックし、次に**Add label**をクリックします。組織ラベルを入力します：

        * **Key 1:** `anthropic-org-<ORGANIZATION_UUID>`
        * **Value 1:** `true`

        **Create**をクリックします。

        <Frame caption="組織ラベルが付いた、HSMで保護された対称暗号化/復号キー。">
          ![HSM保護、対称暗号化/復号、およびtrueに設定されたanthropic-orgラベルを含むGoogle Cloud KMSのCreate keyページ。](https://platform.claude.com/docs/images/cmek/gcp-create-key-label.png)
        </Frame>
      </Step>

      <Step title="キーの権限を開く">
        キーリングの詳細ページで、キーの横にあるチェックボックスを選択します。**Permissions**パネルを開き、**Grant access**をクリックします。
      </Step>

      <Step title="Anthropicのサービスアカウントにキーへのアクセスを付与する">
        **Resource**にキーリングやプロジェクトではなく、キーが表示されていることを確認します。次の値を入力します：

        * **New principals:** `anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com`
        * **Role:** Cloud KMS CryptoKey Encrypter/Decrypter

        **Add another role**をクリックし、**Cloud KMS Viewer**を選択します。**Save**をクリックします。

        <Frame caption="キーを対象として、Anthropicのサービスアカウントに両方のロールを付与します。">
          ![AnthropicのサービスアカウントにCloud KMS CryptoKey Encrypter/DecrypterロールとViewerロールが割り当てられたGrant accessダイアログ。](https://platform.claude.com/docs/images/cmek/gcp-grant-access.png)
        </Frame>
      </Step>

      <Step title="キーの完全なリソース名をコピーする">
        キーリングの詳細ページで、キーの**Actions**メニューを開き、**Copy resource name**をクリックします。

        <Frame caption="アクションメニューからキーの完全なリソース名をコピーします。">
          ![キーのアクションメニューでCopy resource nameアクションが強調表示されたGoogle Cloudのキーリング詳細。](https://platform.claude.com/docs/images/cmek/gcp-copy-resource-name.png)
        </Frame>
      </Step>
    </Steps>
  </Tab>

  <Tab title="gcloud CLI">
    各コマンドで、次のプレースホルダーを置き換えてください：

    * **`<your-project-id>`:** お客様のGoogle CloudプロジェクトID
    * **`<region>`:** キーのロケーション（`us-east5`など）
    * **`<your-keyring-name>`:** キーリングの名前
    * **`<your-key-name>`:** キーの名前
    * **`<ORGANIZATION_UUID>`:** 小文字のAnthropic組織ID

    <Steps>
      <Step title="キーリングを作成または選択する">
        再利用するキーリングがすでにある場合は、この手順をスキップしてください。

        ```bash
        gcloud kms keyrings create <your-keyring-name> \
          --project=<your-project-id> \
          --location=<region>
        ```
      </Step>

      <Step title="キーを作成する">
        ```bash
        gcloud kms keys create <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --purpose=encryption \
          --protection-level=hsm \
          --labels=anthropic-org-<ORGANIZATION_UUID>=true
        ```

        ソフトウェア保護の場合は、`--protection-level=hsm`を省略してください。
      </Step>

      <Step title="Anthropicのサービスアカウントにキーへのアクセスを付与する">
        両方のコマンドを実行します：

        ```bash
        gcloud kms keys add-iam-policy-binding <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
          --role=roles/cloudkms.cryptoKeyEncrypterDecrypter
        ```

        ```bash
        gcloud kms keys add-iam-policy-binding <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
          --role=roles/cloudkms.viewer
        ```
      </Step>

      <Step title="キーの完全なリソース名を取得する">
        ```bash
        gcloud kms keys describe <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --format="value(name)"
        ```
      </Step>
    </Steps>
  </Tab>
</Tabs>

Claudeでキーを追加する担当者には、次の形式のキーの完全なリソース名が必要です：

```text wrap
projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>
```

### 既存のキーに組織ラベルを追加する

キーに、小文字のAnthropic組織IDを含むラベル`anthropic-org-<ORGANIZATION_UUID>`が`true`に設定されていない限り、検証は失敗します。ラベルを追加するには、次を実行します：

```bash
gcloud kms keys update <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name> \
  --update-labels=anthropic-org-<ORGANIZATION_UUID>=true
```

その他の値はキーの完全なリソース名に含まれており、このコマンドは既存のラベルを保持します。その後、[アクセスを付与する手順](https://platform.claude.com/docs/ja/manage-claude/cmek-google-cloud-kms#encryption-key-setup)に進んでください。

## Claudeで：キーを追加してアタッチする

Claude Platformでこの部分をスクリプト化するには、代わりに[Admin APIを使用](https://platform.claude.com/docs/ja/manage-claude/cmek-admin-api)してください。

<Tabs>
  <Tab title="Claude Platform">
    <Steps>
      <Step title="暗号化キーの設定を開く">
        Claude Consoleで、Data retentionページの[Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys)を開きます。このセクションが表示されない場合は、上部のドロップダウンメニューから**Organization**を選択してください。
      </Step>

      <Step title="キーを追加する">
        **Encryption keys**の下で、**Add key**をクリックします。**Display name**を入力し、**Google Cloud KMS**を選択して、**Continue**をクリックします。
      </Step>

      <Step title="キーのリソース名を入力する">
        キーに、ダイアログボックスに表示される**Organization label**が付いていることを確認します。キーの完全なリソース名を**Key resource name**に貼り付け、**Add**をクリックします。
      </Step>

      <Step title="キーを検証する">
        **Encryption keys** リストで、キーの横にある **Verify** をクリックします。チェックに合格すると **Connected** が表示されます。代わりに **Connection failed** が表示された場合は、[CMEKのトラブルシューティング](https://platform.claude.com/docs/ja/manage-claude/cmek-troubleshooting)を参照してください。
      </Step>

      <Step title="キーをワークスペースにアタッチする">
        <Warning>
          キーのアタッチは[元に戻せません](https://platform.claude.com/docs/ja/manage-claude/cmek-key-lifecycle#what-each-action-does)。キーをワークスペースからデタッチしたり、別のキーに置き換えたりすることはできません。キーが削除された場合、Anthropicはそのキーで保護されているデータを復旧できません。
        </Warning>

        1. Data retention ページの上部で、ドロップダウンメニューからワークスペースを選択します。
        2. **Encryption key** で、キーを選択して **Save** をクリックします。
        3. CMEK のドキュメントを読んだことを確認するチェックボックスを選択し、**Confirm** をクリックします。

        **Workspace settings updated.** と表示されます。キーが[有効になる](https://platform.claude.com/docs/ja/manage-claude/cmek-how-it-works#when-your-key-takes-effect)と、クラウドプロバイダーの監査ログにキーに対する Anthropic の呼び出しが表示されます。

        [ZDR 組織](https://platform.claude.com/docs/ja/manage-claude/cmek-data-retention#zdr-organizations)では、ワークスペースを選択した後、**Standard data retention** を選択すると **Encryption key** が表示されます。**Save** をクリックした後、データ保持の規約で **Accept** をクリックします。
      </Step>
    </Steps>
  </Tab>

  <Tab title="Claude Enterprise">
    Claude Enterprise では、CMEK は組織全体に適用され、追加できるキーは1つだけです。

    <Warning>
      キーの追加は[元に戻すことができません](https://platform.claude.com/docs/ja/manage-claude/cmek-key-lifecycle#what-each-action-does)。組織からキーをデタッチしたり、別のキーに置き換えたりすることはできません。キーが削除された場合、Anthropicはそのキーが保護しているデータを復旧できません。
    </Warning>

    キーを追加すると、すべてのユーザーに対して[一部の機能がオフになるか変更されます](https://platform.claude.com/docs/ja/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed)。まず CMEK を試す場合は、別の組織を使用してください。

    <Steps>
      <Step title="暗号化キーの設定を開く">
        [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls)に移動し、**Encryption keys** を見つけます。
      </Step>

      <Step title="キーを追加する">
        **Add key**をクリックします。**Display name**を入力し、**Google Cloud KMS**を選択します。CMEKのドキュメントを読んだことを確認するチェックボックスを選択し、**Continue**をクリックします。
      </Step>

      <Step title="キーのリソース名を入力する">
        キーに、ダイアログボックスに表示される**Organization label**が付いていることを確認します。キーの完全なリソース名を**Key resource name**に貼り付け、**Add**をクリックします。
      </Step>

      <Step title="キーが追加されたことを確認する">
        確認には最大30秒かかる場合があります。**Encryption key configured.** が表示されたら、**Done** をクリックします。代わりに **The encryption key couldn’t be added.** が表示された場合は、[原因を特定して再試行してください](https://platform.claude.com/docs/ja/manage-claude/cmek-troubleshooting#claude-ai-add-fails)。

        それ以降に書き込まれたデータは、お客様のキーで保護されます。[どの機能が変更されたか](https://platform.claude.com/docs/ja/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed)をユーザーに伝えてください。
      </Step>
    </Steps>
  </Tab>
</Tabs>