--- title: CMEKのトラブルシューティング url: https://platform.claude.com/docs/ja/manage-claude/cmek-troubleshooting description: CMEKのエラーメッセージ、検証の失敗、または予期しないログエントリの原因と修正方法を見つけます。 --- Claude Consoleの**Verify**、claude.aiの**Add**、およびAdmin APIのvalidate呼び出しは、すべて同じチェックを実行します。チェックが失敗した場合（Claude Consoleでは**Connection failed**）は、[AWS KMS](https://platform.claude.com/docs/ja/manage-claude/cmek-troubleshooting#aws-kms)、[Google Cloud KMS](https://platform.claude.com/docs/ja/manage-claude/cmek-troubleshooting#google-cloud-kms)、または[Azure Key Vault](https://platform.claude.com/docs/ja/manage-claude/cmek-troubleshooting#azure-key-vault)の原因を参照してください。 機能が動作しなくなった場合、それは「customer-managed encryption keys」（カスタマー管理の暗号化キー）、すなわちCMEKによってオフになる機能である可能性があります。[Claude Platformのリスト](https://platform.claude.com/docs/ja/manage-claude/cmek-coverage-claude-platform#turned-off-or-changed)または[Claude Enterpriseのリスト](https://platform.claude.com/docs/ja/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed)を確認してください。 ここに該当するものがない場合は、Anthropicのアカウントチームにお問い合わせください。 ## セットアップ後にリクエストが失敗する ### `cmek_key_disabled` ```text wrap Customer-managed encryption key is disabled or revoked. Re-enable the key to restore access. ``` この400エラーは、キー管理サービスがAnthropicの呼び出しを拒否したことを意味します。次の原因を順番に確認してください。 1. キーが無効になっている。 2. キーへのAnthropicのアクセスが取り消された。[お客様のセットアップページ](https://platform.claude.com/docs/ja/manage-claude/cmek#set-it-up)に、Anthropicが必要とするアクセスが示されています。 3. AWS KMSで、キーポリシーに[ワークスペースが列挙されている](https://platform.claude.com/docs/ja/manage-claude/cmek-aws-kms-workspaces)が、このワークスペースが含まれていない。 4. AWS KMSで、IP条件が[Anthropicの送信IPアドレス](https://platform.claude.com/docs/ja/api/ip-addresses#outbound-ip-addresses)をブロックしている。 原因を修正してください。アクセスが戻った際には[2つの制限が適用されます](https://platform.claude.com/docs/ja/manage-claude/cmek-key-lifecycle#restore-access)。 ### `cmek_key_network_blocked` ```text wrap The request to your key management service was blocked by its network access controls (for example, a KMS firewall or IP allowlist). Verify that your KMS network rules allow requests from Anthropic's published IP addresses, or contact Anthropic support if your configuration looks correct. ``` これは400エラーです。キー自体は正常である可能性があります。キー管理サービスのネットワークルールで、[Anthropicが公開しているIPアドレス](https://platform.claude.com/docs/ja/api/ip-addresses)を許可してください。 ### `cmek_key_unreachable` ```text wrap The workspace's customer-managed encryption key could not be reached. Try again shortly. If this continues, check that the key is available in your key management service, or contact Anthropic support. ``` この503エラーは、[Anthropicがお客様のキーに到達できなかった](https://platform.claude.com/docs/ja/manage-claude/cmek-key-lifecycle#unreachable-key)ことを意味します。リクエストを再試行してください。 ## 検証の失敗：AWS KMS | 原因 | 修正方法 | | ----------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------- | | 組織IDが間違っている | `org_uuid`条件には、[お客様のAnthropic組織ID](https://platform.claude.com/docs/ja/manage-claude/cmek-aws-kms#prerequisites)（`org_`プレフィックスを除いたUUID）を列挙する必要があります。 | | ワークスペースがポリシーに含まれていない | `compartment_uuid`条件には、キーがアタッチされている各ワークスペースの[コンパートメントIDを列挙する](https://platform.claude.com/docs/ja/manage-claude/cmek-aws-kms-workspaces)必要があります。 | | キーポリシーではなくIAMを通じてアクセスが付与されている | Anthropicのロールには、[キーポリシー自体](https://platform.claude.com/docs/ja/manage-claude/cmek-aws-kms#key-policy)でのアクセスが必要です。 | キーポリシーを出力するには、次を実行します。 ```bash aws kms get-key-policy \ --region \ --key-id \ --policy-name default ``` ### すでにデータを保護しているキー すでにデータを保護しているキーの[ポリシーを置き換える](https://platform.claude.com/docs/ja/manage-claude/cmek-aws-kms-workspaces#replace-the-key-policy)場合は、Anthropicが引き続きそのデータを復号できるように、このポリシーステートメントを追加してください。その条件には、キーが現在アタッチされている、または過去にアタッチされていたすべてのワークスペースのコンパートメントIDを列挙します。 ```json { "Sid": "AllowAnthropicCMEKDecryptExistingData", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": "kms:Decrypt", "Resource": "*", "Condition": { "StringEquals": { "kms:EncryptionContext:anthropic:compartment_uuid": [""] } } } ``` ## 検証の失敗：Google Cloud KMS | 原因 | 修正方法 | | --------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------- | | 組織ラベルが間違っている | キーには、お客様のAnthropic組織IDを小文字で指定した[組織ラベル](https://platform.claude.com/docs/ja/manage-claude/cmek-google-cloud-kms#organization-label)が必要です。 | | ドメイン制限付き共有 | この組織ポリシーは、Anthropicのサービスアカウントへの付与をブロックします。[例外を追加してください](https://platform.claude.com/docs/ja/manage-claude/cmek-google-cloud-kms#prerequisites)。 | | キーバージョンが無効化または破棄されている | キーのプライマリバージョンが有効になっている必要があります。 | 付与を確認するには、次を実行します。 ```bash gcloud kms keys get-iam-policy \ --project= \ --location= \ --keyring= ``` ## 検証の失敗：Azure Key Vault | 原因 | 修正方法 | | ------------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------ | | 組織タグが間違っている | キーの現在のバージョンには[組織タグ](https://platform.claude.com/docs/ja/manage-claude/cmek-azure-key-vault#organization-tag)が必要です。 | | ロールの割り当てがまだ有効になっていない | 新しいロールの割り当てが有効になるまで数分かかることがあります。待ってから再試行してください。 | | キーコンテナーのネットワークルールがAnthropicをブロックしている | [Anthropicが必要とするキーコンテナーの設定](https://platform.claude.com/docs/ja/manage-claude/cmek-azure-key-vault#check-your-vault-configuration)とルールを照合してください。 | ## Claude Platform on AWSでのアタッチの失敗 Claude Platform on AWSには**Verify**ステップがないため、キーの問題はキーをアタッチしたときに表示されます。 | 原因 | 修正方法 | | ---------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | キーポリシーの不一致 | [`get-key-policy`コマンド](https://platform.claude.com/docs/ja/manage-claude/cmek-troubleshooting#aws-kms)でキーポリシーを出力し、[セットアップページのポリシー](https://platform.claude.com/docs/ja/manage-claude/cmek-claude-platform-on-aws#prepare-the-key-policy)と比較してください。 | | 条件の不一致 | `EncryptionContext`または`aws:SourceArn`の条件には、このワークスペースを含める必要があります。 | | キーの状態または場所 | キーは有効で、シングルリージョンであり、ワークスペースと同じAWSアカウントおよびリージョンにある必要があります。 | | 権限の不足 | サインインしているプリンシパルには、キーに対する`kms:DescribeKey`、`kms:Encrypt`、`kms:Decrypt`が必要です。 | それでもアタッチが失敗する場合は、キーのアカウントのCloudTrailで拒否された`kms:`イベントを見つけてください。このイベントには、呼び出し元のプリンシパルと、暗号化呼び出しの場合は暗号化コンテキストが表示されます。原因を修正してから、もう一度**Save**をクリックしてください。 ## キーのアタッチまたは追加が拒否される ### ワークスペースがデータを保持しない ```text wrap CMEK keys can only be attached to workspaces in this organization that have inference data retention enabled. ``` [お客様の組織はゼロデータ保持（ZDR）を使用しています](https://platform.claude.com/docs/ja/manage-claude/cmek-data-retention#zdr-organizations)。キーにはデータを保持するワークスペースが必要です。まずワークスペースを**Standard data retention**に切り替えてください。 ### ワークスペースにEncryption keyの設定がない この設定があるのは[データを保持するワークスペース](https://platform.claude.com/docs/ja/manage-claude/cmek-data-retention#data-retention)のみであるため、まずワークスペースで**Standard data retention**を選択してください。ZDR組織のデフォルトワークスペースは切り替えられないため、別のワークスペースを使用してください。 ### Encryption keysセクションがない Claude Consoleで、Data retentionページ上部のドロップダウンメニューから**Organization**を選択してください。それでもセクションが表示されない場合は、お客様のロールにそのセクションが含まれていないか、お客様の組織でCMEKがオンになっていません。CMEKはAnthropicのアカウントチームがオンにします。 ### ワークスペースにすでにキーがある ```text wrap This workspace already has a different external key attached. ``` ワークスペースのキーは置き換えられないため、別のキーを使用するには[新しいワークスペースを作成](https://platform.claude.com/docs/ja/manage-claude/cmek-key-lifecycle#change-keys)してください。 ### claude.aiでのキーの追加が失敗する ```text wrap The encryption key couldn’t be added. ``` お客様のキーのチェックが失敗しました。[AWS KMS](https://platform.claude.com/docs/ja/manage-claude/cmek-troubleshooting#aws-kms)、[Google Cloud KMS](https://platform.claude.com/docs/ja/manage-claude/cmek-troubleshooting#google-cloud-kms)、または[Azure Key Vault](https://platform.claude.com/docs/ja/manage-claude/cmek-troubleshooting#azure-key-vault)の原因を確認してください。再試行するには、もう一度**Add key**をクリックします。ダイアログボックスが以前の詳細が入力された状態で開きます。チェックボックスを選択し、**Continue**をクリックしてから、**Add**をクリックしてください。 ## CloudTrailでの想定されるエラー Claude PlatformおよびClaude Enterpriseでは、お客様がキーを検証したとき、ワークスペースにアタッチしたとき、またはclaude.aiで表示したときに、Anthropicがキーをチェックします。各チェックにより、想定されるアクセス拒否エラーが4件CloudTrailに追加されます。 これらを除外するには、次の3つの値すべてに一致させてください。 * `requestParameters.encryptionContext.associatedData`: `Y21lay12YWxpZGF0aW9u` * `userIdentity.accountId`: `915198916910` * `resources.ARN`: `arn:aws:kms:::key/` 最初の値は任意の呼び出し元が設定できるため、それだけでは不十分です。