고객 관리형 암호화 키

claude "/claude-api tell me about customer-managed encryption keys"

"Customer-managed encryption key"(고객 관리형 암호화 키), 즉 CMEK를 사용하면 자체 AWS KMS, Google Cloud KMS 또는 Azure Key Vault에서 암호화 키를 프로비저닝하고, Anthropic이 해당 키를 사용하여 특정 워크스페이스 저장 데이터를 암호화하도록 할 수 있습니다. 키 교체, 감사, 폐기를 포함하여 키에 대한 완전한 제어 권한을 유지하며, Anthropic이 해당 키에 대해 수행하는 키 작업은 클라우드 제공업체의 감사 로그에 기록됩니다.

조직은 Anthropic이 제공하는 기본 암호화 대신 고객 관리형 암호화 키를 사용하도록 옵트인할 수 있습니다.

작동 방식

CMEK는 워크스페이스별로 연결됩니다. 관리자만 구성할 수 있습니다. CMEK는 키가 활성화된 이후에 작성된 데이터를 보호합니다. 기존 데이터(이전 채팅, 파일, 세션)는 Anthropic 관리형 키로 암호화된 상태로 유지되며 사용자의 키로 다시 암호화되지 않습니다.

CMEK 관리자 구성 이벤트는 Compliance API Activity Feed에 표시됩니다. Anthropic이 사용자의 키에 대해 수행하는 키 작업(데이터 키 래핑 및 언래핑 등)은 Compliance API에 표시되지 않으며, 클라우드 제공업체의 감사 로그에 표시됩니다.

사전 요구 사항

• 암호화 키를 호스팅할 계정, 프로젝트 또는 구독에 대한 클라우드 관리자 액세스 권한.
• Anthropic Console 조직 관리자 역할(또는 소유자 / 기본 소유자).

가용성 및 리전

CMEK는 현재 미국 리전에서만 사용할 수 있으며, 모든 암호화 작업은 미국 리전에서 처리됩니다. 멀티 리전 키와 EU 키 상주는 아직 지원되지 않습니다.

Claude Platform on AWS에서는 CMEK가 AWS KMS 키로만 사용 가능하며, Google Cloud KMS 및 Azure Key Vault 키는 등록할 수 없습니다. Claude Console에서 키를 생성, 검증 및 연결하세요. external_keys API 엔드포인트는 현재 Claude Platform on AWS에서 사용할 수 없습니다. 키는 연결된 워크스페이스와 동일한 AWS 리전에 있어야 합니다.

지연 시간을 최소화하려면 Anthropic의 미국 인프라와 가까운 리전을 선택하세요.

CMEK가 보호하는 항목

암호화됨

• 요청과 함께 전송된 인라인 파일 첨부를 포함한 메시지 콘텐츠, MCP 및 도구 구성.
• 백업 및 스냅샷은 키를 상속합니다.

비활성화되거나 수정됨

CMEK가 활성화되면 일부 기능이 꺼지거나 크게 수정됩니다.

• 관리형 에이전트 메모리 및 에이전트 드리밍이 비활성화됩니다.
• 베타 및 리서치 프리뷰 기능은 CMEK의 적용 대상이 아닐 수 있습니다.

암호화되지 않음

다음 기능은 계속 사용할 수 있지만, 해당 데이터는 사용자의 키로 암호화되지 않습니다. 사용 사례에 적합하지 않은 기능은 설정에서 비활성화할 수 있습니다.

• Console의 Workbench.
• 저장 상태가 아닌 데이터(캐시 등) 및 TTL이 24시간 미만인 데이터.
• Activity Feed, 감사 로그 및 OTEL과 같은 텔레메트리 네트워크 트래픽. 이를 통해 키가 폐기되더라도 고객이 규정 준수를 유지할 수 있습니다.

기능 지원

CMEK가 활성화되면 다음 API, 관리형 에이전트 리소스 및 도구가 사용자의 키로 저장 데이터를 암호화합니다.

제한 사항

• 되돌릴 수 없는 작업: 키가 워크스페이스에 연결되면 분리하거나 교체할 수 없습니다. 동일한 키 내에서 키 자료를 교체하는 것(예: AWS KMS 자동 교체, Cloud KMS 교체 일정 또는 Azure Key Vault 교체 정책)은 투명하게 지원되며 Anthropic에서 변경이 필요하지 않습니다. 다른 키로 전환하려면 새 키로 새 워크스페이스를 생성하고 데이터를 마이그레이션해야 합니다. 키를 폐기하거나 비활성화하면 해당 워크스페이스의 모든 CMEK 보호 데이터에 영구적으로 액세스할 수 없게 되며, 되돌릴 방법이 없습니다.
• 소급 암호화 없음: CMEK는 키가 활성화된 이후에 작성된 데이터만 보호합니다.
• 지연 시간: 데이터 키를 래핑하거나 언래핑하는 작업은 키 관리 서비스로의 왕복이 필요하므로, 저장 데이터를 읽거나 쓰는 작업에 약간의 지연 시간이 추가될 수 있습니다.
• 폐기 지연: 키 폐기는 최대 1시간(캐시 TTL)이 소요될 수 있습니다. 해당 기간 동안 이미 진행 중인 요청은 계속 성공할 수 있습니다.

제공업체 구성

사용하는 키 관리 서비스에 대한 가이드를 따르세요.