---
title: Google Cloud KMS로 CMEK 설정
url: https://platform.claude.com/docs/ko/manage-claude/cmek-google-cloud-kms
description: Google Cloud KMS 키를 생성하고, Anthropic에 해당 키에 대한 액세스 권한을 부여한 다음, Claude Platform 또는 Claude Enterprise에서 사용하세요.
---

Claude Code가 이 기능을 설정하도록 하세요

```text
/claude-api Google Cloud KMS로 고객 관리형 암호화 키를 구성하도록 도와줘
```

## 시작하기 전에

Claude에서:

* 고객 관리형 암호화 키(CMEK)가 [조직에 대해 활성화되어 있습니다](https://platform.claude.com/docs/ko/manage-claude/cmek#availability).
* Anthropic 조직 ID, 즉 `org_` 접두사가 없는 UUID를 가지고 있습니다. Claude Console의 [Organization](https://platform.claude.com/settings/organization)에서, 또는 claude.ai의 **Organization settings > Organization and access**에서 복사하세요. 키를 생성하는 사람에게 이 ID가 필요합니다.
* Claude Platform의 Organization Admin이거나, Claude Enterprise의 Owner 또는 Primary Owner입니다.
* Claude Platform에서 [데이터를 보존하는](https://platform.claude.com/docs/ko/manage-claude/cmek-data-retention#data-retention) 워크스페이스가 있으며, 가급적 새 워크스페이스가 좋습니다. [기존 데이터는 Anthropic의 키 아래에 유지되기](https://platform.claude.com/docs/ko/manage-claude/cmek-how-it-works#when-your-key-takes-effect) 때문입니다.
* Claude Enterprise에서 [어떤 기능이 꺼지거나 변경되는지](https://platform.claude.com/docs/ko/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) 알고 있습니다.

Google Cloud에서:

* Cloud KMS API가 사용 설정되어 있어야 합니다.
* 키링과 키를 생성하고 이에 대한 IAM 정책을 설정할 수 있어야 합니다(`roles/cloudkms.admin` 또는 이에 상응하는 역할).
* Cloud Logging이 Anthropic의 고객의 키 사용을 기록할 수 있도록 Cloud KMS [Data Access 감사 로그](https://docs.cloud.google.com/logging/docs/audit/configure-data-access)(Data Read 및 Data Write)가 켜져 있어야 합니다. 이 로그는 기본적으로 꺼져 있습니다.
* Google Cloud 조직에서 도메인 제한 공유(`constraints/iam.allowedPolicyMemberDomains`)를 적용하는 경우, Anthropic 서비스 계정에 대한 권한 부여가 차단됩니다. 프로젝트 수준 예외를 추가하거나 Anthropic의 Cloud Identity 고객 ID를 허용하세요. ID는 Anthropic에 문의하세요.

## Google Cloud에서: 키 생성

**Verify** 또는 **Add**가 실패한 경우 [Google Cloud KMS 해결 방법](https://platform.claude.com/docs/ko/manage-claude/cmek-troubleshooting#google-cloud-kms)을 참조하세요.

다음 단계에서는 키에 소문자로 된 Anthropic 조직 ID(`<ORGANIZATION_UUID>`)로 레이블을 지정하고 Anthropic 서비스 계정에 액세스 권한을 부여합니다:

```text wrap
anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com
```

이 주소만 사용하고, 이메일이나 채팅으로 전송된 주소는 절대 사용하지 마세요.

모든 Cloud KMS 위치를 사용할 수 있습니다. 지연 시간을 최소화하려면 `us-east5` 또는 `us-central1`을 사용하세요. Anthropic은 HSM 보호를 강력히 권장합니다.

이미 보유한 키를 사용하려면 먼저 [조직 레이블을 추가](https://platform.claude.com/docs/ko/manage-claude/cmek-google-cloud-kms#organization-label)하세요.

<Tabs>
  <Tab title="Google Cloud Console">
    <Steps>
      <Step title="키링 생성 또는 선택">
        Google Cloud 콘솔에서 [Key management](https://console.cloud.google.com/security/kms) 페이지로 이동하세요. 키링을 열거나 `us-east5`와 같은 위치에 키링을 생성하세요.
      </Step>

      <Step title="키 구성">
        **Create key**를 클릭하고 이름을 입력하세요. 다음 옵션을 선택하세요:

        * **Protection level:** HSM
        * **Key material:** Generated key
        * **Purpose:** Symmetric encrypt/decrypt
        * **Algorithm:** Google symmetric key
      </Step>

      <Step title="조직 레이블 추가">
        **Additional settings**를 클릭한 다음 **Add label**을 클릭하세요. 조직 레이블을 입력하세요:

        * **Key 1:** `anthropic-org-<ORGANIZATION_UUID>`
        * **Value 1:** `true`

        **Create**를 클릭하세요.

        <Frame caption="조직 레이블이 있는 HSM 보호 대칭 암호화/복호화 키.">
          ![HSM 보호, 대칭 암호화/복호화, 그리고 true로 설정된 anthropic-org 레이블이 있는 Google Cloud KMS Create key 페이지.](https://platform.claude.com/docs/images/cmek/gcp-create-key-label.png)
        </Frame>
      </Step>

      <Step title="키의 권한 열기">
        키링 세부정보 페이지에서 키 옆의 체크박스를 선택하세요. **Permissions** 패널을 열고 **Grant access**를 클릭하세요.
      </Step>

      <Step title="Anthropic 서비스 계정에 키 액세스 권한 부여">
        **Resource**에 키링이나 프로젝트가 아닌 키가 표시되는지 확인하세요. 다음 값을 입력하세요:

        * **New principals:** `anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com`
        * **Role:** Cloud KMS CryptoKey Encrypter/Decrypter

        **Add another role**을 클릭하고 **Cloud KMS Viewer**를 선택하세요. **Save**를 클릭하세요.

        <Frame caption="키로 범위가 지정된 두 역할을 모두 Anthropic 서비스 계정에 부여합니다.">
          ![Anthropic 서비스 계정에 Cloud KMS CryptoKey Encrypter/Decrypter 및 Viewer 역할이 할당된 Grant access 대화상자.](https://platform.claude.com/docs/images/cmek/gcp-grant-access.png)
        </Frame>
      </Step>

      <Step title="전체 키 리소스 이름 복사">
        키링 세부정보 페이지에서 키의 **Actions** 메뉴를 열고 **Copy resource name**을 클릭하세요.

        <Frame caption="작업 메뉴에서 키의 전체 리소스 이름을 복사합니다.">
          ![키의 작업 메뉴에서 Copy resource name 작업이 강조 표시된 Google Cloud 키링 세부정보.](https://platform.claude.com/docs/images/cmek/gcp-copy-resource-name.png)
        </Frame>
      </Step>
    </Steps>
  </Tab>

  <Tab title="gcloud CLI">
    각 명령에서 다음 자리 표시자를 바꾸세요:

    * **`<your-project-id>`:** Google Cloud 프로젝트 ID
    * **`<region>`:** `us-east5`와 같은 키의 위치
    * **`<your-keyring-name>`:** 키링의 이름
    * **`<your-key-name>`:** 키의 이름
    * **`<ORGANIZATION_UUID>`:** 소문자로 된 Anthropic 조직 ID

    <Steps>
      <Step title="키링 생성 또는 선택">
        재사용할 키링이 이미 있다면 이 단계를 건너뛰세요.

        ```bash
        gcloud kms keyrings create <your-keyring-name> \
          --project=<your-project-id> \
          --location=<region>
        ```
      </Step>

      <Step title="키 생성">
        ```bash
        gcloud kms keys create <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --purpose=encryption \
          --protection-level=hsm \
          --labels=anthropic-org-<ORGANIZATION_UUID>=true
        ```

        소프트웨어 보호를 사용하려면 `--protection-level=hsm`을 생략하세요.
      </Step>

      <Step title="Anthropic 서비스 계정에 키 액세스 권한 부여">
        두 명령을 모두 실행하세요:

        ```bash
        gcloud kms keys add-iam-policy-binding <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
          --role=roles/cloudkms.cryptoKeyEncrypterDecrypter
        ```

        ```bash
        gcloud kms keys add-iam-policy-binding <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
          --role=roles/cloudkms.viewer
        ```
      </Step>

      <Step title="전체 키 리소스 이름 가져오기">
        ```bash
        gcloud kms keys describe <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --format="value(name)"
        ```
      </Step>
    </Steps>
  </Tab>
</Tabs>

Claude에서 키를 추가하는 사람에게는 다음 형식의 전체 리소스 이름이 필요합니다:

```text wrap
projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>
```

### 이미 보유한 키에 조직 레이블 추가

키에 소문자로 된 Anthropic 조직 ID가 포함된 레이블 `anthropic-org-<ORGANIZATION_UUID>`가 `true`로 설정되어 있지 않으면 검증이 실패합니다. 레이블을 추가하려면 다음을 실행하세요:

```bash
gcloud kms keys update <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name> \
  --update-labels=anthropic-org-<ORGANIZATION_UUID>=true
```

다른 값은 키의 전체 리소스 이름에 있으며, 이 명령은 기존 레이블을 유지합니다. 그런 다음 [액세스 권한을 부여하는 단계](https://platform.claude.com/docs/ko/manage-claude/cmek-google-cloud-kms#encryption-key-setup)로 건너뛰세요.

## Claude에서: 키 추가 및 연결

Claude Platform에서 이 부분을 스크립트로 작성하려면 대신 [Admin API를 사용](https://platform.claude.com/docs/ko/manage-claude/cmek-admin-api)하세요.

<Tabs>
  <Tab title="Claude Platform">
    <Steps>
      <Step title="암호화 키 설정 열기">
        Claude Console에서 Data retention 페이지의 [Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys)를 여세요. 해당 섹션이 없으면 상단의 드롭다운 메뉴에서 **Organization**을 선택하세요.
      </Step>

      <Step title="키 추가">
        **Encryption keys** 아래에서 **Add key**를 클릭하세요. **Display name**을 입력하고 **Google Cloud KMS**를 선택한 다음 **Continue**를 클릭하세요.
      </Step>

      <Step title="키 리소스 이름 입력">
        고객의 키에 대화상자에 표시된 **Organization label**이 있는지 확인하세요. 키의 전체 리소스 이름을 **Key resource name**에 붙여넣고 **Add**를 클릭하세요.
      </Step>

      <Step title="키 검증">
        **Encryption keys** 목록에서 키 옆의 **Verify**를 클릭하세요. 검사를 통과하면 **Connected**가 표시됩니다. 대신 **Connection failed**가 표시되면 [CMEK 문제 해결](https://platform.claude.com/docs/ko/manage-claude/cmek-troubleshooting)을 참조하세요.
      </Step>

      <Step title="워크스페이스에 키 연결">
        <Warning>
          키 연결은 [되돌릴 수 없습니다](https://platform.claude.com/docs/ko/manage-claude/cmek-key-lifecycle#what-each-action-does). 워크스페이스에서 키를 분리하거나 교체할 수 없습니다. 키가 삭제되면 Anthropic은 해당 키가 보호하는 데이터를 복구할 수 없습니다.
        </Warning>

        1. Data retention 페이지 상단의 드롭다운 메뉴에서 워크스페이스를 선택하세요.
        2. **Encryption key**에서 키를 선택하고 **Save**를 클릭하세요.
        3. CMEK 문서를 읽었음을 확인하는 체크박스를 선택한 다음 **Confirm**을 클릭하세요.

        **Workspace settings updated.** 메시지가 표시됩니다. 고객의 키가 [적용되면](https://platform.claude.com/docs/ko/manage-claude/cmek-how-it-works#when-your-key-takes-effect), 클라우드 제공업체의 감사 로그에 Anthropic이 고객의 키를 호출한 기록이 표시됩니다.

        [ZDR 조직](https://platform.claude.com/docs/ko/manage-claude/cmek-data-retention#zdr-organizations)에서는 워크스페이스를 선택한 후 **Encryption key**가 표시되도록 **Standard data retention**을 선택하세요. **Save**를 클릭한 후 데이터 보존 약관에서 **Accept**를 클릭하세요.
      </Step>
    </Steps>
  </Tab>

  <Tab title="Claude Enterprise">
    Claude Enterprise에서는 CMEK가 조직 전체에 적용되며, 키는 하나만 추가할 수 있습니다.

    <Warning>
      키 추가는 [되돌릴 수 없습니다](https://platform.claude.com/docs/ko/manage-claude/cmek-key-lifecycle#what-each-action-does). 키를 조직에서 분리하거나 교체할 수 없습니다. 키가 삭제되면 Anthropic은 해당 키가 보호하는 데이터를 복구할 수 없습니다.
    </Warning>

    키를 추가하면 모든 사용자에 대해 [일부 기능이 꺼지거나 변경됩니다](https://platform.claude.com/docs/ko/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed). CMEK를 먼저 사용해 보려면 별도의 조직을 사용하세요.

    <Steps>
      <Step title="암호화 키 설정 열기">
        [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls)로 이동하여 **Encryption keys**를 찾으세요.
      </Step>

      <Step title="키 추가">
        **Add key**를 클릭하세요. **Display name**을 입력하고 **Google Cloud KMS**를 선택하세요. CMEK 문서를 읽었음을 확인하는 체크박스를 선택한 다음 **Continue**를 클릭하세요.
      </Step>

      <Step title="키 리소스 이름 입력">
        고객의 키에 대화상자에 표시된 **Organization label**이 있는지 확인하세요. 키의 전체 리소스 이름을 **Key resource name**에 붙여넣고 **Add**를 클릭하세요.
      </Step>

      <Step title="키가 추가되었는지 확인">
        확인에는 최대 30초가 걸릴 수 있습니다. **Encryption key configured.**&#xAC00; 표시되면 **Done**을 클릭하세요. 대신 **The encryption key couldn’t be added.**&#xAC00; 표시되면 [원인을 찾아 다시 시도하세요](https://platform.claude.com/docs/ko/manage-claude/cmek-troubleshooting#claude-ai-add-fails).

        고객의 키는 그 이후에 기록되는 데이터를 보호합니다. 사용자에게 [어떤 기능이 변경되었는지](https://platform.claude.com/docs/ko/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) 알려 주세요.
      </Step>
    </Steps>
  </Tab>
</Tabs>