Google Cloud KMS로 CMEK 설정
Google Cloud KMS 키를 생성하고, Anthropic에 해당 키에 대한 액세스 권한을 부여한 다음, Claude Platform 또는 Claude Enterprise에서 사용하세요.
Claude Code
Claude Code가 이 기능을 설정하도록 하세요
/claude-api Google Cloud KMS로 고객 관리형 암호화 키를 구성하도록 도와줘시작하기 전에
Claude에서:
- 고객 관리형 암호화 키(CMEK)가 조직에 대해 활성화되어 있습니다.
- Anthropic 조직 ID, 즉
org_접두사가 없는 UUID를 가지고 있습니다. Claude Console의 Organization에서, 또는 claude.ai의 Organization settings > Organization and access에서 복사하세요. 키를 생성하는 사람에게 이 ID가 필요합니다. - Claude Platform의 Organization Admin이거나, Claude Enterprise의 Owner 또는 Primary Owner입니다.
- Claude Platform에서 데이터를 보존하는 워크스페이스가 있으며, 가급적 새 워크스페이스가 좋습니다. 기존 데이터는 Anthropic의 키 아래에 유지되기 때문입니다.
- Claude Enterprise에서 어떤 기능이 꺼지거나 변경되는지 알고 있습니다.
Google Cloud에서:
- Cloud KMS API가 사용 설정되어 있어야 합니다.
- 키링과 키를 생성하고 이에 대한 IAM 정책을 설정할 수 있어야 합니다(
roles/cloudkms.admin또는 이에 상응하는 역할). - Cloud Logging이 Anthropic의 고객의 키 사용을 기록할 수 있도록 Cloud KMS Data Access 감사 로그(Data Read 및 Data Write)가 켜져 있어야 합니다. 이 로그는 기본적으로 꺼져 있습니다.
- Google Cloud 조직에서 도메인 제한 공유(
constraints/iam.allowedPolicyMemberDomains)를 적용하는 경우, Anthropic 서비스 계정에 대한 권한 부여가 차단됩니다. 프로젝트 수준 예외를 추가하거나 Anthropic의 Cloud Identity 고객 ID를 허용하세요. ID는 Anthropic에 문의하세요.
Google Cloud에서: 키 생성
Verify 또는 Add가 실패한 경우 Google Cloud KMS 해결 방법을 참조하세요.
다음 단계에서는 키에 소문자로 된 Anthropic 조직 ID(<ORGANIZATION_UUID>)로 레이블을 지정하고 Anthropic 서비스 계정에 액세스 권한을 부여합니다:
anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com이 주소만 사용하고, 이메일이나 채팅으로 전송된 주소는 절대 사용하지 마세요.
모든 Cloud KMS 위치를 사용할 수 있습니다. 지연 시간을 최소화하려면 us-east5 또는 us-central1을 사용하세요. Anthropic은 HSM 보호를 강력히 권장합니다.
이미 보유한 키를 사용하려면 먼저 조직 레이블을 추가하세요.
키링 생성 또는 선택
Google Cloud 콘솔에서 Key management 페이지로 이동하세요. 키링을 열거나
us-east5와 같은 위치에 키링을 생성하세요.키 구성
Create key를 클릭하고 이름을 입력하세요. 다음 옵션을 선택하세요:
- Protection level: HSM
- Key material: Generated key
- Purpose: Symmetric encrypt/decrypt
- Algorithm: Google symmetric key
조직 레이블 추가
Additional settings를 클릭한 다음 Add label을 클릭하세요. 조직 레이블을 입력하세요:
- Key 1:
anthropic-org-<ORGANIZATION_UUID> - Value 1:
true
Create를 클릭하세요.
조직 레이블이 있는 HSM 보호 대칭 암호화/복호화 키. - Key 1:
키의 권한 열기
키링 세부정보 페이지에서 키 옆의 체크박스를 선택하세요. Permissions 패널을 열고 Grant access를 클릭하세요.
Anthropic 서비스 계정에 키 액세스 권한 부여
Resource에 키링이나 프로젝트가 아닌 키가 표시되는지 확인하세요. 다음 값을 입력하세요:
- New principals:
anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com - Role: Cloud KMS CryptoKey Encrypter/Decrypter
Add another role을 클릭하고 Cloud KMS Viewer를 선택하세요. Save를 클릭하세요.
키로 범위가 지정된 두 역할을 모두 Anthropic 서비스 계정에 부여합니다. - New principals:
전체 키 리소스 이름 복사
키링 세부정보 페이지에서 키의 Actions 메뉴를 열고 Copy resource name을 클릭하세요.
작업 메뉴에서 키의 전체 리소스 이름을 복사합니다.
각 명령에서 다음 자리 표시자를 바꾸세요:
<your-project-id>: Google Cloud 프로젝트 ID<region>:us-east5와 같은 키의 위치<your-keyring-name>: 키링의 이름<your-key-name>: 키의 이름<ORGANIZATION_UUID>: 소문자로 된 Anthropic 조직 ID
키링 생성 또는 선택
재사용할 키링이 이미 있다면 이 단계를 건너뛰세요.
gcloud kms keyrings create <your-keyring-name> \ --project=<your-project-id> \ --location=<region>키 생성
gcloud kms keys create <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --purpose=encryption \ --protection-level=hsm \ --labels=anthropic-org-<ORGANIZATION_UUID>=true소프트웨어 보호를 사용하려면
--protection-level=hsm을 생략하세요.Anthropic 서비스 계정에 키 액세스 권한 부여
두 명령을 모두 실행하세요:
gcloud kms keys add-iam-policy-binding <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \ --role=roles/cloudkms.cryptoKeyEncrypterDecryptergcloud kms keys add-iam-policy-binding <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \ --role=roles/cloudkms.viewer전체 키 리소스 이름 가져오기
gcloud kms keys describe <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --format="value(name)"
Claude에서 키를 추가하는 사람에게는 다음 형식의 전체 리소스 이름이 필요합니다:
projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>이미 보유한 키에 조직 레이블 추가
키에 소문자로 된 Anthropic 조직 ID가 포함된 레이블 anthropic-org-<ORGANIZATION_UUID>가 true로 설정되어 있지 않으면 검증이 실패합니다. 레이블을 추가하려면 다음을 실행하세요:
gcloud kms keys update <your-key-name> \
--project=<your-project-id> \
--location=<region> \
--keyring=<your-keyring-name> \
--update-labels=anthropic-org-<ORGANIZATION_UUID>=true다른 값은 키의 전체 리소스 이름에 있으며, 이 명령은 기존 레이블을 유지합니다. 그런 다음 액세스 권한을 부여하는 단계로 건너뛰세요.
Claude에서: 키 추가 및 연결
Claude Platform에서 이 부분을 스크립트로 작성하려면 대신 Admin API를 사용하세요.
암호화 키 설정 열기
Claude Console에서 Data retention 페이지의 Encryption keys를 여세요. 해당 섹션이 없으면 상단의 드롭다운 메뉴에서 Organization을 선택하세요.
키 추가
Encryption keys 아래에서 Add key를 클릭하세요. Display name을 입력하고 Google Cloud KMS를 선택한 다음 Continue를 클릭하세요.
키 리소스 이름 입력
고객의 키에 대화상자에 표시된 Organization label이 있는지 확인하세요. 키의 전체 리소스 이름을 Key resource name에 붙여넣고 Add를 클릭하세요.
키 검증
Encryption keys 목록에서 키 옆의 Verify를 클릭하세요. 검사를 통과하면 Connected가 표시됩니다. 대신 Connection failed가 표시되면 CMEK 문제 해결을 참조하세요.
워크스페이스에 키 연결
- Data retention 페이지 상단의 드롭다운 메뉴에서 워크스페이스를 선택하세요.
- Encryption key에서 키를 선택하고 Save를 클릭하세요.
- CMEK 문서를 읽었음을 확인하는 체크박스를 선택한 다음 Confirm을 클릭하세요.
Workspace settings updated. 메시지가 표시됩니다. 고객의 키가 적용되면, 클라우드 제공업체의 감사 로그에 Anthropic이 고객의 키를 호출한 기록이 표시됩니다.
ZDR 조직에서는 워크스페이스를 선택한 후 Encryption key가 표시되도록 Standard data retention을 선택하세요. Save를 클릭한 후 데이터 보존 약관에서 Accept를 클릭하세요.
Claude Enterprise에서는 CMEK가 조직 전체에 적용되며, 키는 하나만 추가할 수 있습니다.
키를 추가하면 모든 사용자에 대해 일부 기능이 꺼지거나 변경됩니다. CMEK를 먼저 사용해 보려면 별도의 조직을 사용하세요.
암호화 키 설정 열기
claude.ai > Organization settings > Data and privacy로 이동하여 Encryption keys를 찾으세요.
키 추가
Add key를 클릭하세요. Display name을 입력하고 Google Cloud KMS를 선택하세요. CMEK 문서를 읽었음을 확인하는 체크박스를 선택한 다음 Continue를 클릭하세요.
키 리소스 이름 입력
고객의 키에 대화상자에 표시된 Organization label이 있는지 확인하세요. 키의 전체 리소스 이름을 Key resource name에 붙여넣고 Add를 클릭하세요.
키가 추가되었는지 확인
확인에는 최대 30초가 걸릴 수 있습니다. Encryption key configured.가 표시되면 Done을 클릭하세요. 대신 The encryption key couldn’t be added.가 표시되면 원인을 찾아 다시 시도하세요.
고객의 키는 그 이후에 기록되는 데이터를 보호합니다. 사용자에게 어떤 기능이 변경되었는지 알려 주세요.
Was this page helpful?