CMEKのトラブルシューティング

Claude ConsoleのVerify、claude.aiのAdd、およびAdmin APIのvalidate呼び出しは、すべて同じチェックを実行します。チェックが失敗した場合（Claude ConsoleではConnection failed）は、AWS KMS、Google Cloud KMS、またはAzure Key Vaultの原因を参照してください。

機能が動作しなくなった場合、それは「customer-managed encryption keys」（カスタマー管理の暗号化キー）、すなわちCMEKによってオフになる機能である可能性があります。Claude PlatformのリストまたはClaude Enterpriseのリストを確認してください。

ここに該当するものがない場合は、Anthropicのアカウントチームにお問い合わせください。

セットアップ後にリクエストが失敗する

cmek_key_disabled

Customer-managed encryption key is disabled or revoked. Re-enable the key to restore access.

この400エラーは、キー管理サービスがAnthropicの呼び出しを拒否したことを意味します。次の原因を順番に確認してください。

1. キーが無効になっている。
2. キーへのAnthropicのアクセスが取り消された。お客様のセットアップページに、Anthropicが必要とするアクセスが示されています。
3. AWS KMSで、キーポリシーにワークスペースが列挙されているが、このワークスペースが含まれていない。
4. AWS KMSで、IP条件がAnthropicの送信IPアドレスをブロックしている。

原因を修正してください。アクセスが戻った際には2つの制限が適用されます。

cmek_key_network_blocked

The request to your key management service was blocked by its network access controls (for example, a KMS firewall or IP allowlist). Verify that your KMS network rules allow requests from Anthropic's published IP addresses, or contact Anthropic support if your configuration looks correct.

これは400エラーです。キー自体は正常である可能性があります。キー管理サービスのネットワークルールで、Anthropicが公開しているIPアドレスを許可してください。

cmek_key_unreachable

The workspace's customer-managed encryption key could not be reached. Try again shortly. If this continues, check that the key is available in your key management service, or contact Anthropic support.

この503エラーは、Anthropicがお客様のキーに到達できなかったことを意味します。リクエストを再試行してください。

検証の失敗：AWS KMS

キーポリシーを出力するには、次を実行します。

aws kms get-key-policy \
  --region <REGION> \
  --key-id <KEY_ARN> \
  --policy-name default

すでにデータを保護しているキー

すでにデータを保護しているキーのポリシーを置き換える場合は、Anthropicが引き続きそのデータを復号できるように、このポリシーステートメントを追加してください。その条件には、キーが現在アタッチされている、または過去にアタッチされていたすべてのワークスペースのコンパートメントIDを列挙します。

{
  "Sid": "AllowAnthropicCMEKDecryptExistingData",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
  },
  "Action": "kms:Decrypt",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
    }
  }
}

検証の失敗：Google Cloud KMS

付与を確認するには、次を実行します。

gcloud kms keys get-iam-policy <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name>

検証の失敗：Azure Key Vault

Claude Platform on AWSでのアタッチの失敗

Claude Platform on AWSにはVerifyステップがないため、キーの問題はキーをアタッチしたときに表示されます。

それでもアタッチが失敗する場合は、キーのアカウントのCloudTrailで拒否されたkms:イベントを見つけてください。このイベントには、呼び出し元のプリンシパルと、暗号化呼び出しの場合は暗号化コンテキストが表示されます。原因を修正してから、もう一度Saveをクリックしてください。

キーのアタッチまたは追加が拒否される

ワークスペースがデータを保持しない

CMEK keys can only be attached to workspaces in this organization that have inference data retention enabled.

お客様の組織はゼロデータ保持（ZDR）を使用しています。キーにはデータを保持するワークスペースが必要です。まずワークスペースをStandard data retentionに切り替えてください。

ワークスペースにEncryption keyの設定がない

この設定があるのはデータを保持するワークスペースのみであるため、まずワークスペースでStandard data retentionを選択してください。ZDR組織のデフォルトワークスペースは切り替えられないため、別のワークスペースを使用してください。

Encryption keysセクションがない

Claude Consoleで、Data retentionページ上部のドロップダウンメニューからOrganizationを選択してください。それでもセクションが表示されない場合は、お客様のロールにそのセクションが含まれていないか、お客様の組織でCMEKがオンになっていません。CMEKはAnthropicのアカウントチームがオンにします。

ワークスペースにすでにキーがある

This workspace already has a different external key attached.

ワークスペースのキーは置き換えられないため、別のキーを使用するには新しいワークスペースを作成してください。

claude.aiでのキーの追加が失敗する

The encryption key couldn’t be added.

お客様のキーのチェックが失敗しました。AWS KMS、Google Cloud KMS、またはAzure Key Vaultの原因を確認してください。再試行するには、もう一度Add keyをクリックします。ダイアログボックスが以前の詳細が入力された状態で開きます。チェックボックスを選択し、Continueをクリックしてから、Addをクリックしてください。

CloudTrailでの想定されるエラー

Claude PlatformおよびClaude Enterpriseでは、お客様がキーを検証したとき、ワークスペースにアタッチしたとき、またはclaude.aiで表示したときに、Anthropicがキーをチェックします。各チェックにより、想定されるアクセス拒否エラーが4件CloudTrailに追加されます。

これらを除外するには、次の3つの値すべてに一致させてください。

• requestParameters.encryptionContext.associatedData: Y21lay12YWxpZGF0aW9u
• userIdentity.accountId: 915198916910
• resources.ARN: arn:aws:kms:<REGION>:<AWS_ACCOUNT_ID>:key/<KEY_ID>

最初の値は任意の呼び出し元が設定できるため、それだけでは不十分です。