관리CMEK 설정

Azure Key Vault로 CMEK 설정하기

Azure Key Vault 키를 생성하고, Anthropic에 고객의 키에 대한 액세스 권한을 부여한 다음, Claude Platform 또는 Claude Enterprise에서 사용하세요.

Claude Code

Claude Code가 이 기능을 대신 설정하도록 하세요

❯/claude-api Azure Key Vault로 고객 관리형 암호화 키를 구성하도록 도와줘

시작하기 전에

Claude에서:

고객 관리형 암호화 키(CMEK)가 조직에 대해 활성화되어 있습니다.
Anthropic 조직 ID, 즉 org_ 접두사가 없는 UUID를 가지고 있습니다. Claude Console의 Organization에서, 또는 claude.ai의 Organization settings > Organization and access에서 복사하세요. 키를 생성하는 사람에게 이 ID가 필요합니다.
Claude Platform의 Organization Admin이거나, Claude Enterprise의 Owner 또는 Primary Owner입니다.
Claude Platform에서 데이터를 보존하는 워크스페이스가 있으며, 가급적 새 워크스페이스가 좋습니다. 기존 데이터는 Anthropic의 키 아래에 유지되기 때문입니다.
Claude Enterprise에서 어떤 기능이 꺼지거나 변경되는지 알고 있습니다.

Azure에서:

키 자격 증명 모음에서 키를 생성하고 RBAC 역할을 할당할 수 있어야 합니다.
Entra 테넌트에서 서비스 주체를 생성할 수 있어야 합니다(Application Administrator, Cloud Application Administrator 또는 이에 상응하는 사용자 지정 역할).
자격 증명 모음에 AuditEvent 로그 범주에 대한 진단 설정이 있어야 합니다. 진단 설정이 없으면 Anthropic이 고객의 키로 수행하는 키 작업에 대한 감사 기록이 남지 않습니다.

Azure에서: 키 생성

Verify 또는 Add가 실패한 경우 Azure Key Vault 문제 해결 방법을 참조하세요.

다음 단계에서는 Anthropic의 멀티테넌트 애플리케이션에 고객의 키에 대한 액세스 권한을 부여합니다:

Name: anthropic-cmek-client-us
Client ID: 8635ae1a-3e5d-44e8-a4ed-e0f614466f87

이 클라이언트 ID와 이름만 사용하고, 이메일이나 채팅으로 전달된 값은 절대 사용하지 마세요. 이 애플리케이션은 Microsoft Graph 권한을 요청하지 않습니다.

자격 증명 모음 확인

지연 시간을 최소화하려면 northcentralus 또는 eastus2에 있는 자격 증명 모음을 사용하세요. Azure CLI 또는 Cloud Shell에서 먼저 다음을 실행하세요:

az keyvault show --name <your-vault-name> \
  --query "{rbac:properties.enableRbacAuthorization, purge:properties.enablePurgeProtection, pub:properties.publicNetworkAccess, net:properties.networkAcls.defaultAction, ipRules:properties.networkAcls.ipRules, uri:properties.vaultUri, tenantId:properties.tenantId}"

필드	필수 값
`rbac`	`true`
`purge`	`true`. `false` 또는 `null`인 경우 먼저 purge protection을 켜세요. 한 번 켜면 다시 끌 수 없습니다.
`pub`	`"Enabled"`. 프라이빗 엔드포인트는 지원되지 않습니다.
`net`	`"Allow"`, 또는 `ipRules`에 Anthropic의 아웃바운드 IP 주소가 포함된 `"Deny"`

uri(자격 증명 모음 URI)와 tenantId를 복사하세요.

키 생성 및 액세스 권한 부여

이 페이지에서 <ORGANIZATION_UUID>는 소문자로 된 Anthropic 조직 ID입니다. 이미 보유한 키를 사용하려면 먼저 조직 태그를 추가하세요.

1
Anthropic의 서비스 주체 생성
포털 상단 탐색 모음에서 Cloud Shell을 여세요. 다음 명령을 실행하세요:
az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87
서비스 주체가 이미 존재하는 경우 다음 단계로 진행하세요.
서비스 주체가 존재하는지 확인
Microsoft Entra ID > Enterprise applications로 이동하여 기본 애플리케이션 유형 필터를 해제하세요. anthropic-cmek-client-us를 검색하세요.
Entra 엔터프라이즈 애플리케이션의 anthropic-cmek-client-us 서비스 주체.
Create a key 페이지 열기
키 자격 증명 모음을 열고 Keys를 선택하세요. Generate/Import를 클릭하세요.
4
자격 증명 모음에 RSA 키 생성
다음 값을 설정하세요:
- Name: 키 이름
- Key type: RSA
- RSA key size: 3072 이상
Tags 옆의 링크를 클릭하세요.
5
조직 태그 추가
다음 값을 입력하세요:
- Tag Name: anthropic-org-<ORGANIZATION_UUID>
- Tag Value: true
OK를 클릭한 다음 Create를 클릭하세요.
크기가 3072 이상인 RSA 키를 생성하고, 태그 anthropic-org-<ORGANIZATION_UUID>를 true로 설정합니다.
허용되는 작업 제한
새 키를 연 다음 현재 버전을 여세요. Permitted operations에서 Wrap Key와 Unwrap Key를 제외한 모든 확인란의 선택을 해제하세요. Save를 클릭하세요.
허용되는 작업을 Wrap Key와 Unwrap Key로 제한합니다. 키 버전에 조직 태그가 표시됩니다.
키의 액세스 제어 열기
자격 증명 모음이 아니라 키 자체를 여세요. 키의 Access control (IAM) 탭을 선택하고 Add > Add role assignment를 클릭하세요.
역할 선택
Role 탭에서 Key Vault Crypto User를 선택하세요. Next를 클릭하세요.
Anthropic의 서비스 주체 추가
Members 탭에서 Select members를 클릭하세요. anthropic-cmek-client-us를 검색하여 선택하세요. Select를 클릭한 다음 Next를 클릭하세요.
검토 및 할당
Review + assign 탭에서 Review + assign을 클릭하세요.

1
Anthropic의 서비스 주체 생성
az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87
출력에서 id 필드를 복사하세요.
명령이 "already exists" 오류로 종료되면 대신 다음 명령으로 id를 가져오세요:
az ad sp show --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87 --query id -o tsv
2
자격 증명 모음에 RSA 키 생성
az keyvault key create \ --vault-name <your-vault-name> \ --name <your-key-name> \ --kty RSA --size 3072 \ --ops wrapKey unwrapKey \ --tags anthropic-org-<ORGANIZATION_UUID>=true
자리 표시자를 바꾸세요:
- <your-vault-name>: 키 자격 증명 모음의 이름
- <your-key-name>: 키 이름
- <ORGANIZATION_UUID>: 소문자로 된 Anthropic 조직 ID
HSM 기반 키의 경우 --kty RSA-HSM을 사용하세요.

Anthropic 서비스 주체에 고객의 키에 대한 액세스 권한 부여

VAULT_ID=$(az keyvault show --name <your-vault-name> --query id -o tsv)

az role assignment create \
  --role "Key Vault Crypto User" \
  --assignee-object-id <sp-object-id> \
  --assignee-principal-type ServicePrincipal \
  --scope "${VAULT_ID}/keys/<your-key-name>"

자리 표시자를 바꾸세요:

<your-vault-name>: 키 자격 증명 모음의 이름
<sp-object-id>: 첫 번째 단계의 id 값
<your-key-name>: 키 이름

Claude에서 키를 추가하는 사람에게는 자격 증명 모음 URI, 키 이름, 테넌트 ID가 필요합니다.

이미 보유한 키에 조직 태그 추가

조직 태그가 없으면 검증에 실패합니다. 키는 3072비트 이상의 RSA 키여야 합니다.

키를 생성하는 대신 Azure CLI 또는 Cloud Shell에서 다음 명령을 실행하세요. 이 명령은 키를 wrapKey와 unwrapKey로 제한합니다. 또한 현재 버전의 태그를 교체하므로, 유지하려는 태그가 있으면 --tags에 name=value 형식으로 나열하세요.

az keyvault key set-attributes \
  --vault-name <your-vault-name> \
  --name <your-key-name> \
  --ops wrapKey unwrapKey \
  --tags anthropic-org-<ORGANIZATION_UUID>=true

서비스 주체 및 역할 할당 단계는 여전히 수행해야 합니다.

Claude에서: 키 추가 및 연결

Claude Platform에서 이 부분을 스크립트로 처리하려면 대신 Admin API를 사용하세요.

암호화 키 설정 열기
Claude Console에서 Data retention 페이지의 Encryption keys를 여세요. 해당 섹션이 없으면 상단의 드롭다운 메뉴에서 Organization을 선택하세요.
키 추가
Encryption keys에서 Add key를 클릭하세요. Display name을 입력하고 Azure Key Vault를 선택한 다음 Continue를 클릭하세요.
키 세부 정보 입력
고객의 키에 대화 상자에 표시된 Organization tag가 있는지 확인하세요. Vault URI, Key name, Tenant ID를 입력하고, Client ID는 비워 둔 채 Add를 클릭하세요.
키 검증
Encryption keys 목록에서 키 옆의 Verify를 클릭하세요. 검사를 통과하면 Connected가 표시됩니다. 대신 Connection failed가 표시되면 CMEK 문제 해결을 참조하세요.
5
워크스페이스에 키 연결
키 연결은 되돌릴 수 없습니다. 워크스페이스에서 키를 분리하거나 교체할 수 없습니다. 키가 삭제되면 Anthropic은 해당 키가 보호하는 데이터를 복구할 수 없습니다.
1. Data retention 페이지 상단의 드롭다운 메뉴에서 워크스페이스를 선택하세요.
2. Encryption key에서 키를 선택하고 Save를 클릭하세요.
3. CMEK 문서를 읽었음을 확인하는 체크박스를 선택한 다음 Confirm을 클릭하세요.
Workspace settings updated. 메시지가 표시됩니다. 고객의 키가 적용되면, 클라우드 제공업체의 감사 로그에 Anthropic이 고객의 키를 호출한 기록이 표시됩니다.
ZDR 조직에서는 워크스페이스를 선택한 후 Encryption key가 표시되도록 Standard data retention을 선택하세요. Save를 클릭한 후 데이터 보존 약관에서 Accept를 클릭하세요.

시작하기 전에

Azure에서: 키 생성

자격 증명 모음 확인

키 생성 및 액세스 권한 부여

Anthropic의 서비스 주체 생성

서비스 주체가 존재하는지 확인

Create a key 페이지 열기

자격 증명 모음에 RSA 키 생성

조직 태그 추가

허용되는 작업 제한

키의 액세스 제어 열기

역할 선택

Anthropic의 서비스 주체 추가

검토 및 할당

Anthropic의 서비스 주체 생성

자격 증명 모음에 RSA 키 생성

Anthropic 서비스 주체에 고객의 키에 대한 액세스 권한 부여

이미 보유한 키에 조직 태그 추가

Claude에서: 키 추가 및 연결

암호화 키 설정 열기

키 추가

키 세부 정보 입력

키 검증

워크스페이스에 키 연결