---
title: Azure Key Vault로 CMEK 설정하기
url: https://platform.claude.com/docs/ko/manage-claude/cmek-azure-key-vault
description: Azure Key Vault 키를 생성하고, Anthropic에 고객의 키에 대한 액세스 권한을 부여한 다음, Claude Platform 또는 Claude Enterprise에서 사용하세요.
---

Claude Code가 이 기능을 대신 설정하도록 하세요

```text
/claude-api Azure Key Vault로 고객 관리형 암호화 키를 구성하도록 도와줘
```

## 시작하기 전에

Claude에서:

* 고객 관리형 암호화 키(CMEK)가 [조직에 대해 활성화되어 있습니다](https://platform.claude.com/docs/ko/manage-claude/cmek#availability).
* Anthropic 조직 ID, 즉 `org_` 접두사가 없는 UUID를 가지고 있습니다. Claude Console의 [Organization](https://platform.claude.com/settings/organization)에서, 또는 claude.ai의 **Organization settings > Organization and access**에서 복사하세요. 키를 생성하는 사람에게 이 ID가 필요합니다.
* Claude Platform의 Organization Admin이거나, Claude Enterprise의 Owner 또는 Primary Owner입니다.
* Claude Platform에서 [데이터를 보존하는](https://platform.claude.com/docs/ko/manage-claude/cmek-data-retention#data-retention) 워크스페이스가 있으며, 가급적 새 워크스페이스가 좋습니다. [기존 데이터는 Anthropic의 키 아래에 유지되기](https://platform.claude.com/docs/ko/manage-claude/cmek-how-it-works#when-your-key-takes-effect) 때문입니다.
* Claude Enterprise에서 [어떤 기능이 꺼지거나 변경되는지](https://platform.claude.com/docs/ko/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) 알고 있습니다.

Azure에서:

* 키 자격 증명 모음에서 키를 생성하고 RBAC 역할을 할당할 수 있어야 합니다.
* Entra 테넌트에서 서비스 주체를 생성할 수 있어야 합니다(Application Administrator, Cloud Application Administrator 또는 이에 상응하는 사용자 지정 역할).
* 자격 증명 모음에 `AuditEvent` 로그 범주에 대한 진단 설정이 있어야 합니다. 진단 설정이 없으면 Anthropic이 고객의 키로 수행하는 키 작업에 대한 감사 기록이 남지 않습니다.

## Azure에서: 키 생성

**Verify** 또는 **Add**가 실패한 경우 [Azure Key Vault 문제 해결 방법](https://platform.claude.com/docs/ko/manage-claude/cmek-troubleshooting#azure-key-vault)을 참조하세요.

다음 단계에서는 Anthropic의 멀티테넌트 애플리케이션에 고객의 키에 대한 액세스 권한을 부여합니다:

* **Name:** `anthropic-cmek-client-us`
* **Client ID:** `8635ae1a-3e5d-44e8-a4ed-e0f614466f87`

이 클라이언트 ID와 이름만 사용하고, 이메일이나 채팅으로 전달된 값은 절대 사용하지 마세요. 이 애플리케이션은 Microsoft Graph 권한을 요청하지 않습니다.

### 자격 증명 모음 확인

지연 시간을 최소화하려면 `northcentralus` 또는 `eastus2`에 있는 자격 증명 모음을 사용하세요. Azure CLI 또는 Cloud Shell에서 먼저 다음을 실행하세요:

```bash
az keyvault show --name <your-vault-name> \
  --query "{rbac:properties.enableRbacAuthorization, purge:properties.enablePurgeProtection, pub:properties.publicNetworkAccess, net:properties.networkAcls.defaultAction, ipRules:properties.networkAcls.ipRules, uri:properties.vaultUri, tenantId:properties.tenantId}"
```

| 필드      | 필수 값                                                                                                                                        |
| ------- | ------------------------------------------------------------------------------------------------------------------------------------------- |
| `rbac`  | `true`                                                                                                                                      |
| `purge` | `true`. `false` 또는 `null`인 경우 먼저 purge protection을 켜세요. 한 번 켜면 다시 끌 수 없습니다.                                                                 |
| `pub`   | `"Enabled"`. 프라이빗 엔드포인트는 지원되지 않습니다.                                                                                                         |
| `net`   | `"Allow"`, 또는 `ipRules`에 [Anthropic의 아웃바운드 IP 주소](https://platform.claude.com/docs/ko/api/ip-addresses#outbound-ip-addresses)가 포함된 `"Deny"` |

`uri`(자격 증명 모음 URI)와 `tenantId`를 복사하세요.

### 키 생성 및 액세스 권한 부여

이 페이지에서 `<ORGANIZATION_UUID>`는 소문자로 된 [Anthropic 조직 ID](https://platform.claude.com/docs/ko/manage-claude/cmek-azure-key-vault#prerequisites)입니다. 이미 보유한 키를 사용하려면 먼저 [조직 태그를 추가](https://platform.claude.com/docs/ko/manage-claude/cmek-azure-key-vault#organization-tag)하세요.

<Tabs>
  <Tab title="Azure portal">
    <Steps>
      <Step title="Anthropic의 서비스 주체 생성">
        포털 상단 탐색 모음에서 Cloud Shell을 여세요. 다음 명령을 실행하세요:

        ```bash
        az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87
        ```

        서비스 주체가 이미 존재하는 경우 다음 단계로 진행하세요.
      </Step>

      <Step title="서비스 주체가 존재하는지 확인">
        **Microsoft Entra ID > Enterprise applications**로 이동하여 기본 애플리케이션 유형 필터를 해제하세요. `anthropic-cmek-client-us`를 검색하세요.

        <Frame caption="Entra 엔터프라이즈 애플리케이션의 anthropic-cmek-client-us 서비스 주체.">
          ![Application ID와 Object ID를 보여 주는 anthropic-cmek-client-us의 Microsoft Entra 엔터프라이즈 애플리케이션 개요.](https://platform.claude.com/docs/images/cmek/azure-service-principal.png)
        </Frame>
      </Step>

      <Step title="Create a key 페이지 열기">
        키 자격 증명 모음을 열고 **Keys**를 선택하세요. **Generate/Import**를 클릭하세요.
      </Step>

      <Step title="자격 증명 모음에 RSA 키 생성">
        다음 값을 설정하세요:

        * **Name:** 키 이름
        * **Key type:** RSA
        * **RSA key size:** 3072 이상

        **Tags** 옆의 링크를 클릭하세요.
      </Step>

      <Step title="조직 태그 추가">
        다음 값을 입력하세요:

        * **Tag Name:** `anthropic-org-<ORGANIZATION_UUID>`
        * **Tag Value:** `true`

        **OK**를 클릭한 다음 **Create**를 클릭하세요.

        <Frame caption="크기가 3072 이상인 RSA 키를 생성하고, 태그 anthropic-org-<ORGANIZATION_UUID>를 true로 설정합니다.">
          ![RSA, 3072 키 크기, true로 설정된 anthropic-org 태그가 표시된 Azure Key Vault의 Create a key 페이지.](https://platform.claude.com/docs/images/cmek/azure-create-key-tag.png)
        </Frame>
      </Step>

      <Step title="허용되는 작업 제한">
        새 키를 연 다음 현재 버전을 여세요. **Permitted operations**에서 **Wrap Key**와 **Unwrap Key**를 제외한 모든 확인란의 선택을 해제하세요. **Save**를 클릭하세요.

        <Frame caption="허용되는 작업을 Wrap Key와 Unwrap Key로 제한합니다. 키 버전에 조직 태그가 표시됩니다.">
          ![태그 1개가 있고 Permitted operations가 Wrap Key와 Unwrap Key로 제한된 Azure Key Vault 키 버전.](https://platform.claude.com/docs/images/cmek/azure-permitted-operations-tag.png)
        </Frame>
      </Step>

      <Step title="키의 액세스 제어 열기">
        자격 증명 모음이 아니라 키 자체를 여세요. 키의 **Access control (IAM)** 탭을 선택하고 **Add > Add role assignment**를 클릭하세요.
      </Step>

      <Step title="역할 선택">
        **Role** 탭에서 **Key Vault Crypto User**를 선택하세요. **Next**를 클릭하세요.
      </Step>

      <Step title="Anthropic의 서비스 주체 추가">
        **Members** 탭에서 **Select members**를 클릭하세요. `anthropic-cmek-client-us`를 검색하여 선택하세요. **Select**를 클릭한 다음 **Next**를 클릭하세요.
      </Step>

      <Step title="검토 및 할당">
        **Review + assign** 탭에서 **Review + assign**을 클릭하세요.
      </Step>
    </Steps>
  </Tab>

  <Tab title="Azure CLI">
    <Steps>
      <Step title="Anthropic의 서비스 주체 생성">
        ```bash
        az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87
        ```

        출력에서 `id` 필드를 복사하세요.

        명령이 "already exists" 오류로 종료되면 대신 다음 명령으로 `id`를 가져오세요:

        ```bash
        az ad sp show --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87 --query id -o tsv
        ```
      </Step>

      <Step title="자격 증명 모음에 RSA 키 생성">
        ```bash
        az keyvault key create \
          --vault-name <your-vault-name> \
          --name <your-key-name> \
          --kty RSA --size 3072 \
          --ops wrapKey unwrapKey \
          --tags anthropic-org-<ORGANIZATION_UUID>=true
        ```

        자리 표시자를 바꾸세요:

        * **`<your-vault-name>`:** 키 자격 증명 모음의 이름
        * **`<your-key-name>`:** 키 이름
        * **`<ORGANIZATION_UUID>`:** 소문자로 된 Anthropic 조직 ID

        HSM 기반 키의 경우 `--kty RSA-HSM`을 사용하세요.
      </Step>

      <Step title="Anthropic 서비스 주체에 고객의 키에 대한 액세스 권한 부여">
        ```bash
        VAULT_ID=$(az keyvault show --name <your-vault-name> --query id -o tsv)

        az role assignment create \
          --role "Key Vault Crypto User" \
          --assignee-object-id <sp-object-id> \
          --assignee-principal-type ServicePrincipal \
          --scope "${VAULT_ID}/keys/<your-key-name>"
        ```

        자리 표시자를 바꾸세요:

        * **`<your-vault-name>`:** 키 자격 증명 모음의 이름
        * **`<sp-object-id>`:** 첫 번째 단계의 `id` 값
        * **`<your-key-name>`:** 키 이름
      </Step>
    </Steps>
  </Tab>
</Tabs>

Claude에서 키를 추가하는 사람에게는 자격 증명 모음 URI, 키 이름, 테넌트 ID가 필요합니다.

### 이미 보유한 키에 조직 태그 추가

조직 태그가 없으면 검증에 실패합니다. 키는 3072비트 이상의 RSA 키여야 합니다.

키를 생성하는 대신 Azure CLI 또는 Cloud Shell에서 다음 명령을 실행하세요. 이 명령은 키를 `wrapKey`와 `unwrapKey`로 제한합니다. 또한 현재 버전의 태그를 교체하므로, 유지하려는 태그가 있으면 `--tags`에 `name=value` 형식으로 나열하세요.

```bash
az keyvault key set-attributes \
  --vault-name <your-vault-name> \
  --name <your-key-name> \
  --ops wrapKey unwrapKey \
  --tags anthropic-org-<ORGANIZATION_UUID>=true
```

서비스 주체 및 역할 할당 단계는 여전히 수행해야 합니다.

## Claude에서: 키 추가 및 연결

Claude Platform에서 이 부분을 스크립트로 처리하려면 대신 [Admin API를 사용](https://platform.claude.com/docs/ko/manage-claude/cmek-admin-api)하세요.

<Tabs>
  <Tab title="Claude Platform">
    <Steps>
      <Step title="암호화 키 설정 열기">
        Claude Console에서 Data retention 페이지의 [Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys)를 여세요. 해당 섹션이 없으면 상단의 드롭다운 메뉴에서 **Organization**을 선택하세요.
      </Step>

      <Step title="키 추가">
        **Encryption keys**에서 **Add key**를 클릭하세요. **Display name**을 입력하고 **Azure Key Vault**를 선택한 다음 **Continue**를 클릭하세요.
      </Step>

      <Step title="키 세부 정보 입력">
        고객의 키에 대화 상자에 표시된 **Organization tag**가 있는지 확인하세요. **Vault URI**, **Key name**, **Tenant ID**를 입력하고, **Client ID**는 비워 둔 채 **Add**를 클릭하세요.
      </Step>

      <Step title="키 검증">
        **Encryption keys** 목록에서 키 옆의 **Verify**를 클릭하세요. 검사를 통과하면 **Connected**가 표시됩니다. 대신 **Connection failed**가 표시되면 [CMEK 문제 해결](https://platform.claude.com/docs/ko/manage-claude/cmek-troubleshooting)을 참조하세요.
      </Step>

      <Step title="워크스페이스에 키 연결">
        <Warning>
          키 연결은 [되돌릴 수 없습니다](https://platform.claude.com/docs/ko/manage-claude/cmek-key-lifecycle#what-each-action-does). 워크스페이스에서 키를 분리하거나 교체할 수 없습니다. 키가 삭제되면 Anthropic은 해당 키가 보호하는 데이터를 복구할 수 없습니다.
        </Warning>

        1. Data retention 페이지 상단의 드롭다운 메뉴에서 워크스페이스를 선택하세요.
        2. **Encryption key**에서 키를 선택하고 **Save**를 클릭하세요.
        3. CMEK 문서를 읽었음을 확인하는 체크박스를 선택한 다음 **Confirm**을 클릭하세요.

        **Workspace settings updated.** 메시지가 표시됩니다. 고객의 키가 [적용되면](https://platform.claude.com/docs/ko/manage-claude/cmek-how-it-works#when-your-key-takes-effect), 클라우드 제공업체의 감사 로그에 Anthropic이 고객의 키를 호출한 기록이 표시됩니다.

        [ZDR 조직](https://platform.claude.com/docs/ko/manage-claude/cmek-data-retention#zdr-organizations)에서는 워크스페이스를 선택한 후 **Encryption key**가 표시되도록 **Standard data retention**을 선택하세요. **Save**를 클릭한 후 데이터 보존 약관에서 **Accept**를 클릭하세요.
      </Step>
    </Steps>
  </Tab>

  <Tab title="Claude Enterprise">
    Claude Enterprise에서는 CMEK가 조직 전체에 적용되며, 키는 하나만 추가할 수 있습니다.

    <Warning>
      키 추가는 [되돌릴 수 없습니다](https://platform.claude.com/docs/ko/manage-claude/cmek-key-lifecycle#what-each-action-does). 키를 조직에서 분리하거나 교체할 수 없습니다. 키가 삭제되면 Anthropic은 해당 키가 보호하는 데이터를 복구할 수 없습니다.
    </Warning>

    키를 추가하면 모든 사용자에 대해 [일부 기능이 꺼지거나 변경됩니다](https://platform.claude.com/docs/ko/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed). CMEK를 먼저 사용해 보려면 별도의 조직을 사용하세요.

    <Steps>
      <Step title="암호화 키 설정 열기">
        [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls)로 이동하여 **Encryption keys**를 찾으세요.
      </Step>

      <Step title="키 추가">
        **Add key**를 클릭하세요. **Display name**을 입력하고 **Azure Key Vault**를 선택하세요. CMEK 문서를 읽었음을 확인하는 확인란을 선택한 다음 **Continue**를 클릭하세요.
      </Step>

      <Step title="키 세부 정보 입력">
        고객의 키에 대화 상자에 표시된 **Organization tag**가 있는지 확인하세요. **Vault URI**, **Key name**, **Tenant ID**를 입력하고, **Client ID**는 비워 둔 채 **Add**를 클릭하세요.
      </Step>

      <Step title="키가 추가되었는지 확인">
        확인에는 최대 30초가 걸릴 수 있습니다. **Encryption key configured.**&#xAC00; 표시되면 **Done**을 클릭하세요. 대신 **The encryption key couldn’t be added.**&#xAC00; 표시되면 [원인을 찾아 다시 시도하세요](https://platform.claude.com/docs/ko/manage-claude/cmek-troubleshooting#claude-ai-add-fails).

        고객의 키는 그 이후에 기록되는 데이터를 보호합니다. 사용자에게 [어떤 기능이 변경되었는지](https://platform.claude.com/docs/ko/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) 알려 주세요.
      </Step>
    </Steps>
  </Tab>
</Tabs>