CMEK의 작동 방식
고객의 키가 저장된 데이터를 보호하는 방식, 하나의 키가 보호하는 범위, 키가 적용되는 시점, 확인할 수 있는 항목을 설명합니다.
고객의 키는 고객의 데이터를 암호화하는 키를 래핑합니다
Anthropic은 저장된 고객의 데이터를 데이터 키로 암호화합니다. "customer-managed encryption keys"(고객 관리형 암호화 키), 즉 CMEK를 사용하면 고객의 키가 이 데이터 키를 암호화, 즉 래핑합니다. 이를 봉투 암호화라고 합니다. 데이터를 쓰거나 읽으려면 Anthropic은 고객의 "key management service"(키 관리 서비스), 즉 KMS에 데이터 키를 래핑하거나 언래핑하도록 요청합니다.
데이터 키는 Anthropic과 고객의 클라우드 사이를 오갑니다. 고객의 키는 절대 고객의 KMS를 벗어나지 않습니다. 고객의 데이터는 절대 KMS로 전송되지 않습니다.
Anthropic은 고객의 키 사본을 보유하지 않으므로, 고객의 키가 없으면 Claude는 그 키가 보호하는 데이터를 읽을 수 없습니다.
하나의 키가 보호하는 범위
Claude Platform 및 Claude Platform on AWS에서는 키가 워크스페이스를 보호하며, 하나의 키로 여러 워크스페이스를 보호할 수 있습니다. Claude Enterprise에서는 키가 조직 전체를 보호하며, 조직에는 키를 단 하나만 둘 수 있습니다. 고객의 키가 보호하는 데이터는 사용하는 제품에 따라 다릅니다.
Claude Platform 및 Claude Enterprise에서는 고객의 키에 Anthropic 조직 ID가 포함되며, 이 ID가 키를 고객의 조직에 귀속시킵니다. 사용하는 KMS에 따라 ID는 키 정책 조건, 레이블 또는 태그에 들어갑니다. ID가 없는 키는 검증에 실패합니다. 여러 조직이 공유하는 키에는 각 조직의 ID가 포함됩니다.
AWS KMS 키 정책은 컴파트먼트 ID로 워크스페이스를 지정할 수 있습니다. 컴파트먼트 ID는 Anthropic이 암호화를 위해 각 워크스페이스에 부여하는 UUID이며, wrkspc_로 시작하는 워크스페이스 ID가 아닙니다.
고객의 키가 위치하는 곳
고객의 키는 AWS KMS, Google Cloud KMS 또는 Azure Key Vault에 위치합니다. 제공업체가 이에 대한 요금을 부과할 수 있습니다.
Claude Platform 및 Claude Enterprise에서 CMEK는 미국 리전에서 사용할 수 있으며, Anthropic은 모든 암호화 작업을 해당 리전에서 처리합니다. 각 설정 페이지에 지연 시간이 가장 짧은 리전이 나와 있습니다.
고객의 키가 적용되는 시점
고객의 키는 키가 적용된 후에 쓰인 데이터만 보호합니다. 기존 데이터(이전 채팅, 파일 및 세션)는 Anthropic의 키로 보호된 상태로 유지되며 다시 암호화되지 않습니다.
Claude Platform 및 Claude Platform on AWS에서는 워크스페이스의 첫 요청 전에 워크스페이스에 연결된 키가 그 요청부터 적용됩니다. 이미 사용 중인 워크스페이스에서는 고객의 키가 적용되기까지 최대 하루가 걸릴 수 있으며, 그동안 쓰인 데이터는 Anthropic의 키로 보호된 상태로 유지됩니다. 그래서 Anthropic은 새 워크스페이스를 사용할 것을 권장합니다.
확인할 수 있는 항목
고객 클라우드의 감사 로그는 Anthropic이 고객의 키로 수행하는 모든 작업을 기록할 수 있습니다. 이 로깅을 직접 켜야 하는 경우에는 설정 페이지에 사전 요구 사항으로 나와 있습니다. AWS CloudTrail에서는 일부 항목이 예상된 오류입니다.
CMEK 구성 변경 사항은 Compliance API Activity Feed에 표시됩니다. 고객의 키로 수행되는 작업은 표시되지 않습니다.
지연 시간 및 표준
각 래핑 또는 언래핑은 고객의 KMS까지 왕복하는 요청이므로, 저장된 데이터를 읽고 쓸 때 지연 시간이 약간 늘어날 수 있습니다. FIPS 같은 암호화 표준에 대해서는 Trust Center의 CMEK 백서를 참조하세요.
다음으로 각 키 작업의 기능을 읽어 보세요.
Was this page helpful?