관리CMEK 설정

AWS KMS로 CMEK 설정하기

AWS KMS 키를 생성하고, Anthropic에 해당 키에 대한 액세스 권한을 부여한 다음, Claude Platform 또는 Claude Enterprise에서 사용하세요.

Claude Code

Claude Code가 이 기능을 설정하도록 하세요

❯/claude-api AWS KMS로 고객 관리형 암호화 키를 구성하도록 도와주세요

Claude Console 사이드바에 Account managed by AWS가 표시되면 대신 Claude Platform on AWS에서 CMEK 설정하기를 따르세요.

시작하기 전에

Claude에서:

고객 관리형 암호화 키(CMEK)가 조직에 대해 활성화되어 있습니다.
Anthropic 조직 ID, 즉 org_ 접두사가 없는 UUID를 가지고 있습니다. Claude Console의 Organization에서, 또는 claude.ai의 Organization settings > Organization and access에서 복사하세요. 키를 생성하는 사람에게 이 ID가 필요합니다.
Claude Platform의 Organization Admin이거나, Claude Enterprise의 Owner 또는 Primary Owner입니다.
Claude Platform에서 데이터를 보존하는 워크스페이스가 있으며, 가급적 새 워크스페이스가 좋습니다. 기존 데이터는 Anthropic의 키 아래에 유지되기 때문입니다.
Claude Enterprise에서 어떤 기능이 꺼지거나 변경되는지 알고 있습니다.

AWS에서:

AWS KMS 키를 생성하고 해당 키 정책을 설정할 수 있어야 합니다(kms:CreateKey 및 kms:PutKeyPolicy).
AWS KMS 액세스에 대한 IP 제한이 있다면 Anthropic의 아웃바운드 IP 주소를 허용해야 합니다.

AWS에서: 키 생성하기

Verify 또는 Add가 실패한 후에는 AWS KMS 관련 해결 방법을 참조하세요.

키 정책 작성하기

이 정책은 Anthropic의 IAM 역할에 고객의 키에 대한 액세스 권한을 부여합니다. 이 페이지에 게시된 역할 ARN만 사용하고, 이메일이나 채팅으로 전송된 역할 ARN은 절대 사용하지 마세요. 정책을 텍스트 편집기에 복사하세요:

key-policy.json

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AccountRootAdmin",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<AWS_ACCOUNT_ID>:root"
      },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "AllowAnthropicCMEKCrypto",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
      },
      "Action": ["kms:Encrypt", "kms:Decrypt"],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:anthropic:org_uuid": ["<ORGANIZATION_UUID>"]
        }
      }
    },
    {
      "Sid": "AllowAnthropicCMEKDescribe",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    }
  ]
}

<AWS_ACCOUNT_ID>를 AWS 계정 ID로, <ORGANIZATION_UUID>를 Anthropic 조직 ID로 바꾸세요. kms:EncryptionContext:anthropic:org_uuid 조건을 유지하세요. 그렇지 않으면 검증이 실패합니다.

컴파트먼트 ID를 나열하여 키를 특정 워크스페이스로 제한할 수도 있습니다. 이미 Claude 데이터를 보호하고 있는 키의 정책을 교체하는 경우 정책 구문을 하나 더 추가하세요.

키 생성하기

키는 모든 AWS 상용 리전에서 생성할 수 있습니다. 지연 시간을 가장 낮추려면 us-east-2를 사용하세요.

AWS KMS에 이미 있는 키를 사용하려면 해당 키 정책을 교체하세요.

Create key 마법사 열기
AWS KMS 콘솔을 열고 키를 생성할 리전으로 전환하세요. Customer managed keys로 이동한 다음 Create key를 클릭하세요.
2
Configure key
다음 옵션이 선택되어 있는지 확인하세요.
- Key type: Symmetric
- Key usage: Encrypt and decrypt
- Advanced options > Key material origin: KMS
- Advanced options > Regionality: Single-Region key
Next를 클릭하세요.
Symmetric, Encrypt and decrypt, Single-Region key로 설정된 키입니다.
Add labels
키의 Alias를 입력하세요(예: anthropic-cmek). Next를 클릭하세요.
키의 별칭입니다.
Define key administrative permissions
키 관리자를 선택하지 마세요. 고객의 키 정책이 이미 고객의 AWS 계정에 전체 관리 권한을 부여합니다. Next를 클릭하세요.
키 관리자를 비워 두세요.
Define key usage permissions
키 사용자를 선택하지 말고, Other AWS accounts 아래에도 아무것도 추가하지 마세요. 고객의 키 정책이 이미 필요한 액세스 권한을 부여합니다. Next를 클릭하세요.
Edit key policy
Edit를 클릭하세요. 전체 정책을 고객의 키 정책으로 교체한 다음 Next를 클릭하세요.
Review
Finish를 클릭하세요.
키 ARN 복사
Customer managed keys에서 새 키를 열고 해당 ARN을 복사하세요. Claude에서 키를 추가하는 사람에게 이 ARN이 필요합니다.

고객의 키 정책을 key-policy.json으로 저장한 다음 키를 생성하세요. <REGION>을 키의 리전으로 바꾸세요.

aws kms create-key \
  --region <REGION> \
  --description "Anthropic CMEK" \
  --key-usage ENCRYPT_DECRYPT \
  --policy file://key-policy.json

출력에서 KeyMetadata.Arn을 복사하세요. Claude에서 키를 추가하는 사람에게 이 ARN이 필요합니다.

Claude에서 키를 확인할 때마다 CloudTrail에 예상된 액세스 거부 오류가 네 개씩 추가됩니다. 이를 필터링할 수 있습니다.

Claude에서: 키 추가 및 연결하기

Claude Platform에서 이 부분을 스크립트로 처리하려면 대신 Admin API를 사용하세요.

암호화 키 설정 열기
Claude Console에서 Data retention 페이지의 Encryption keys를 여세요. 해당 섹션이 없으면 상단의 드롭다운 메뉴에서 Organization을 선택하세요.
키 추가하기
Encryption keys 아래에서 Add key를 클릭하세요. Display name을 입력하고 AWS KMS를 선택한 다음 Continue를 클릭하세요.
키 ARN 입력하기
키 정책에 대화 상자에 표시된 Organization ID for the key policy가 포함되어 있는지 확인하세요. 키 ARN을 KMS key ARN에 붙여 넣고 Add를 클릭하세요.
키 검증
Encryption keys 목록에서 키 옆의 Verify를 클릭하세요. 검사를 통과하면 Connected가 표시됩니다. 대신 Connection failed가 표시되면 CMEK 문제 해결을 참조하세요.
5
워크스페이스에 키 연결하기
키 연결은 되돌릴 수 없습니다. 워크스페이스에서 키를 분리하거나 교체할 수 없습니다. 키가 삭제되면 Anthropic은 해당 키가 보호하는 데이터를 복구할 수 없습니다.
1. Data retention 페이지 상단의 드롭다운 메뉴에서 워크스페이스를 선택하세요.
2. Encryption key에서 키를 선택하고 Save를 클릭하세요.
3. CMEK 문서를 읽었음을 확인하는 체크박스를 선택한 다음 Confirm을 클릭하세요.
Workspace settings updated. 메시지가 표시됩니다. 고객의 키가 적용되면, 클라우드 제공업체의 감사 로그에 Anthropic이 고객의 키를 호출한 기록이 표시됩니다.
ZDR 조직에서는 워크스페이스를 선택한 후 Encryption key가 표시되도록 Standard data retention을 선택하세요. Save를 클릭한 후 데이터 보존 약관에서 Accept를 클릭하세요.

시작하기 전에

AWS에서: 키 생성하기

키 정책 작성하기

키 생성하기

Create key 마법사 열기

Configure key

Add labels

Define key administrative permissions

Define key usage permissions

Edit key policy

Review

키 ARN 복사

Claude에서: 키 추가 및 연결하기

암호화 키 설정 열기

키 추가하기

키 ARN 입력하기

키 검증

워크스페이스에 키 연결하기