--- title: AWS KMS로 CMEK 설정하기 url: https://platform.claude.com/docs/ko/manage-claude/cmek-aws-kms description: AWS KMS 키를 생성하고, Anthropic에 해당 키에 대한 액세스 권한을 부여한 다음, Claude Platform 또는 Claude Enterprise에서 사용하세요. --- Claude Code가 이 기능을 설정하도록 하세요 ```text /claude-api AWS KMS로 고객 관리형 암호화 키를 구성하도록 도와주세요 ``` Claude Console 사이드바에 **Account managed by AWS**가 표시되면 대신 [Claude Platform on AWS에서 CMEK 설정하기](https://platform.claude.com/docs/ko/manage-claude/cmek-claude-platform-on-aws)를 따르세요. ## 시작하기 전에 Claude에서: * 고객 관리형 암호화 키(CMEK)가 [조직에 대해 활성화되어 있습니다](https://platform.claude.com/docs/ko/manage-claude/cmek#availability). * Anthropic 조직 ID, 즉 `org_` 접두사가 없는 UUID를 가지고 있습니다. Claude Console의 [Organization](https://platform.claude.com/settings/organization)에서, 또는 claude.ai의 **Organization settings > Organization and access**에서 복사하세요. 키를 생성하는 사람에게 이 ID가 필요합니다. * Claude Platform의 Organization Admin이거나, Claude Enterprise의 Owner 또는 Primary Owner입니다. * Claude Platform에서 [데이터를 보존하는](https://platform.claude.com/docs/ko/manage-claude/cmek-data-retention#data-retention) 워크스페이스가 있으며, 가급적 새 워크스페이스가 좋습니다. [기존 데이터는 Anthropic의 키 아래에 유지되기](https://platform.claude.com/docs/ko/manage-claude/cmek-how-it-works#when-your-key-takes-effect) 때문입니다. * Claude Enterprise에서 [어떤 기능이 꺼지거나 변경되는지](https://platform.claude.com/docs/ko/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) 알고 있습니다. AWS에서: * AWS KMS 키를 생성하고 해당 키 정책을 설정할 수 있어야 합니다(`kms:CreateKey` 및 `kms:PutKeyPolicy`). * AWS KMS 액세스에 대한 IP 제한이 있다면 [Anthropic의 아웃바운드 IP 주소](https://platform.claude.com/docs/ko/api/ip-addresses#outbound-ip-addresses)를 허용해야 합니다. ## AWS에서: 키 생성하기 **Verify** 또는 **Add**가 실패한 후에는 [AWS KMS 관련 해결 방법](https://platform.claude.com/docs/ko/manage-claude/cmek-troubleshooting#aws-kms)을 참조하세요. ### 키 정책 작성하기 이 정책은 Anthropic의 IAM 역할에 고객의 키에 대한 액세스 권한을 부여합니다. 이 페이지에 게시된 역할 ARN만 사용하고, 이메일이나 채팅으로 전송된 역할 ARN은 절대 사용하지 마세요. 정책을 텍스트 편집기에 복사하세요: ```json key-policy.json { "Version": "2012-10-17", "Statement": [ { "Sid": "AccountRootAdmin", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam:::root" }, "Action": "kms:*", "Resource": "*" }, { "Sid": "AllowAnthropicCMEKCrypto", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": ["kms:Encrypt", "kms:Decrypt"], "Resource": "*", "Condition": { "StringEquals": { "kms:EncryptionContext:anthropic:org_uuid": [""] } } }, { "Sid": "AllowAnthropicCMEKDescribe", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": "kms:DescribeKey", "Resource": "*" } ] } ``` ``를 [AWS 계정 ID](https://docs.aws.amazon.com/IAM/latest/UserGuide/console-account-id.html)로, ``를 [Anthropic 조직 ID](https://platform.claude.com/docs/ko/manage-claude/cmek-aws-kms#prerequisites)로 바꾸세요. `kms:EncryptionContext:anthropic:org_uuid` 조건을 유지하세요. 그렇지 않으면 검증이 실패합니다. 컴파트먼트 ID를 나열하여 [키를 특정 워크스페이스로 제한](https://platform.claude.com/docs/ko/manage-claude/cmek-aws-kms-workspaces)할 수도 있습니다. 이미 Claude 데이터를 보호하고 있는 키의 정책을 교체하는 경우 [정책 구문을 하나 더 추가](https://platform.claude.com/docs/ko/manage-claude/cmek-troubleshooting#existing-data)하세요. ### 키 생성하기 키는 모든 AWS 상용 리전에서 생성할 수 있습니다. 지연 시간을 가장 낮추려면 `us-east-2`를 사용하세요. AWS KMS에 이미 있는 키를 사용하려면 [해당 키 정책을 교체](https://platform.claude.com/docs/ko/manage-claude/cmek-aws-kms-workspaces#replace-the-key-policy)하세요. [AWS KMS 콘솔](https://console.aws.amazon.com/kms)을 열고 키를 생성할 리전으로 전환하세요. **Customer managed keys**로 이동한 다음 **Create key**를 클릭하세요. 다음 옵션이 선택되어 있는지 확인하세요. * **Key type:** Symmetric * **Key usage:** Encrypt and decrypt * **Advanced options > Key material origin:** KMS * **Advanced options > Regionality:** Single-Region key **Next**를 클릭하세요. ![Symmetric 키 유형, Encrypt and decrypt 키 사용, Single-Region key가 선택된 AWS KMS Configure key 단계.](https://platform.claude.com/docs/images/cmek/aws-configure-key.png) 키의 **Alias**를 입력하세요(예: `anthropic-cmek`). **Next**를 클릭하세요. ![별칭이 anthropic-cmek이고 설명이 Anthropic CMEK인 AWS KMS Add labels 단계.](https://platform.claude.com/docs/images/cmek/aws-add-labels.png) 키 관리자를 선택하지 마세요. 고객의 키 정책이 이미 고객의 AWS 계정에 전체 관리 권한을 부여합니다. **Next**를 클릭하세요. ![키를 관리할 수 있는 IAM 역할 목록이 표시된 AWS KMS Define key administrative permissions 단계.](https://platform.claude.com/docs/images/cmek/aws-admin-permissions.png) 키 사용자를 선택하지 말고, **Other AWS accounts** 아래에도 아무것도 추가하지 마세요. 고객의 키 정책이 이미 필요한 액세스 권한을 부여합니다. **Next**를 클릭하세요. **Edit**를 클릭하세요. 전체 정책을 고객의 키 정책으로 교체한 다음 **Next**를 클릭하세요. **Finish**를 클릭하세요. **Customer managed keys**에서 새 키를 열고 해당 ARN을 복사하세요. Claude에서 키를 추가하는 사람에게 이 ARN이 필요합니다. 고객의 키 정책을 `key-policy.json`으로 저장한 다음 키를 생성하세요. ``을 키의 리전으로 바꾸세요. ```bash aws kms create-key \ --region \ --description "Anthropic CMEK" \ --key-usage ENCRYPT_DECRYPT \ --policy file://key-policy.json ``` 출력에서 `KeyMetadata.Arn`을 복사하세요. Claude에서 키를 추가하는 사람에게 이 ARN이 필요합니다. Claude에서 키를 확인할 때마다 CloudTrail에 예상된 액세스 거부 오류가 네 개씩 추가됩니다. [이를 필터링](https://platform.claude.com/docs/ko/manage-claude/cmek-troubleshooting#cloudtrail)할 수 있습니다. ## Claude에서: 키 추가 및 연결하기 Claude Platform에서 이 부분을 스크립트로 처리하려면 대신 [Admin API를 사용](https://platform.claude.com/docs/ko/manage-claude/cmek-admin-api)하세요. Claude Console에서 Data retention 페이지의 [Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys)를 여세요. 해당 섹션이 없으면 상단의 드롭다운 메뉴에서 **Organization**을 선택하세요. **Encryption keys** 아래에서 **Add key**를 클릭하세요. **Display name**을 입력하고 **AWS KMS**를 선택한 다음 **Continue**를 클릭하세요. [키 정책](https://platform.claude.com/docs/ko/manage-claude/cmek-aws-kms#key-policy)에 대화 상자에 표시된 **Organization ID for the key policy**가 포함되어 있는지 확인하세요. 키 ARN을 **KMS key ARN**에 붙여 넣고 **Add**를 클릭하세요. **Encryption keys** 목록에서 키 옆의 **Verify**를 클릭하세요. 검사를 통과하면 **Connected**가 표시됩니다. 대신 **Connection failed**가 표시되면 [CMEK 문제 해결](https://platform.claude.com/docs/ko/manage-claude/cmek-troubleshooting)을 참조하세요. 키 연결은 [되돌릴 수 없습니다](https://platform.claude.com/docs/ko/manage-claude/cmek-key-lifecycle#what-each-action-does). 워크스페이스에서 키를 분리하거나 교체할 수 없습니다. 키가 삭제되면 Anthropic은 해당 키가 보호하는 데이터를 복구할 수 없습니다. 1. Data retention 페이지 상단의 드롭다운 메뉴에서 워크스페이스를 선택하세요. 2. **Encryption key**에서 키를 선택하고 **Save**를 클릭하세요. 3. CMEK 문서를 읽었음을 확인하는 체크박스를 선택한 다음 **Confirm**을 클릭하세요. **Workspace settings updated.** 메시지가 표시됩니다. 고객의 키가 [적용되면](https://platform.claude.com/docs/ko/manage-claude/cmek-how-it-works#when-your-key-takes-effect), 클라우드 제공업체의 감사 로그에 Anthropic이 고객의 키를 호출한 기록이 표시됩니다. [ZDR 조직](https://platform.claude.com/docs/ko/manage-claude/cmek-data-retention#zdr-organizations)에서는 워크스페이스를 선택한 후 **Encryption key**가 표시되도록 **Standard data retention**을 선택하세요. **Save**를 클릭한 후 데이터 보존 약관에서 **Accept**를 클릭하세요. Claude Enterprise에서는 CMEK가 조직 전체에 적용되며, 키는 하나만 추가할 수 있습니다. 키 추가는 [되돌릴 수 없습니다](https://platform.claude.com/docs/ko/manage-claude/cmek-key-lifecycle#what-each-action-does). 키를 조직에서 분리하거나 교체할 수 없습니다. 키가 삭제되면 Anthropic은 해당 키가 보호하는 데이터를 복구할 수 없습니다. 키를 추가하면 모든 사용자에 대해 [일부 기능이 꺼지거나 변경됩니다](https://platform.claude.com/docs/ko/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed). CMEK를 먼저 사용해 보려면 별도의 조직을 사용하세요. [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls)로 이동하여 **Encryption keys**를 찾으세요. **Add key**를 클릭하세요. **Display name**을 입력하고 **AWS KMS**를 선택하세요. CMEK 문서를 읽었음을 확인하는 체크박스를 선택한 다음 **Continue**를 클릭하세요. [키 정책](https://platform.claude.com/docs/ko/manage-claude/cmek-aws-kms#key-policy)에 대화 상자에 표시된 **Organization ID for the key policy**가 포함되어 있는지 확인하세요. 키 ARN을 **KMS key ARN**에 붙여 넣고 **Add**를 클릭하세요. 확인에는 최대 30초가 걸릴 수 있습니다. **Encryption key configured.**가 표시되면 **Done**을 클릭하세요. 대신 **The encryption key couldn’t be added.**가 표시되면 [원인을 찾아 다시 시도하세요](https://platform.claude.com/docs/ko/manage-claude/cmek-troubleshooting#claude-ai-add-fails). 고객의 키는 그 이후에 기록되는 데이터를 보호합니다. 사용자에게 [어떤 기능이 변경되었는지](https://platform.claude.com/docs/ko/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) 알려 주세요.