CMEKの仕組み
お客様のキーが保存データをどのように保護するか、1つのキーが何を対象とするか、いつ有効になるか、そして何を確認できるか。
お客様のキーは、お客様のデータを暗号化するキーをラップします
Anthropicは、お客様の保存データをデータキーで暗号化します。「customer-managed encryption keys」（カスタマー管理の暗号化キー）、すなわちCMEKを使用すると、お客様のキーがそれらのデータキーを暗号化、つまりラップします。これはエンベロープ暗号化です。データの書き込みまたは読み取りを行うために、Anthropicはお客様の「key management service」（キー管理サービス）、すなわちKMSに、データキーのラップまたはアンラップを要求します。
Anthropicとお客様のクラウドの間を行き来するのはデータキーです。お客様のキーがお客様のKMSの外に出ることはありません。お客様のデータがKMSに送られることもありません。
Anthropicはお客様のキーのコピーを保持しないため、お客様のキーがなければ、Claudeはそのキーが保護するデータを読み取ることができません。
1つのキーが保護するもの
Claude PlatformおよびClaude Platform on AWSでは、キーはワークスペースを保護し、1つのキーで複数のワークスペースに対応できます。Claude Enterpriseでは、キーは組織全体を保護し、組織が持てるキーは1つだけです。お客様のキーが保護するデータは、ご利用の製品によって異なります。
Claude PlatformおよびClaude Enterpriseでは、お客様のキーにはAnthropicの組織IDが含まれており、これによりキーがお客様の組織に結び付けられます。お客様のKMSに応じて、このIDはキーポリシーの条件、ラベル、またはタグに設定されます。IDを含まないキーは検証に失敗します。複数の組織間で共有されるキーには、各組織のIDが含まれます。
AWS KMSのキーポリシーでは、コンパートメントIDによってワークスペースを指定できます。コンパートメントIDとは、Anthropicが暗号化のために各ワークスペースに付与するUUIDであり、wrkspc_で始まるワークスペースIDではありません。
お客様のキーの保管場所
お客様のキーは、AWS KMS、Google Cloud KMS、またはAzure Key Vaultに保管されます。プロバイダーによっては料金が発生する場合があります。
Claude PlatformおよびClaude Enterpriseでは、CMEKは米国リージョンで利用可能であり、Anthropicはすべての暗号化操作をそこで処理します。各セットアップページに、レイテンシが最も低いリージョンが記載されています。
お客様のキーが有効になるタイミング
お客様のキーは、有効になった後に書き込まれたデータのみを保護します。既存のデータ（過去のチャット、ファイル、セッション）はAnthropicのキーの下に残り、再暗号化されません。
Claude PlatformおよびClaude Platform on AWSでは、最初のリクエストより前にワークスペースにアタッチされたキーは、そのリクエストの時点で有効になります。使用中のワークスペースでは、お客様のキーが有効になるまでに最大1日かかることがあり、その間に書き込まれたデータはAnthropicのキーの下に残ります。そのため、Anthropicは新しいワークスペースを推奨しています。
確認できること
お客様のクラウドの監査ログは、Anthropicがお客様のキーを使用して実行するすべての操作を記録できます。そのログ記録を有効にする必要がある場合は、セットアップページに前提条件として記載されています。AWS CloudTrailでは、一部のエントリが想定されたエラーです。
お客様のCMEK構成の変更は、Compliance API Activity Feedに表示されます。お客様のキーを使用したキー操作は表示されません。
レイテンシと標準
ラップまたはアンラップのたびにお客様のKMSとの往復が発生するため、保存データの読み取りと書き込みにわずかなレイテンシが加わる可能性があります。FIPSなどの暗号化標準については、Trust CenterのCMEKホワイトペーパーを参照してください。
次に、各キーアクションの内容をお読みください。
Was this page helpful?