CMEK 문제 해결

Claude Console의 Verify, claude.ai의 Add, Admin API의 유효성 검사 호출은 모두 동일한 확인을 실행합니다. 확인이 실패하면(Claude Console에서는 Connection failed) AWS KMS, Google Cloud KMS 또는 Azure Key Vault의 원인을 참조하세요.

기능이 작동을 멈췄다면 "customer-managed encryption keys"(고객 관리형 암호화 키), 즉 CMEK를 사용할 때 꺼지는 기능일 수 있습니다. Claude Platform 목록 또는 Claude Enterprise 목록을 확인하세요.

여기에 해당하는 내용이 없다면 Anthropic 계정 팀에 문의하세요.

설정 후 요청이 실패하는 경우

cmek_key_disabled

Customer-managed encryption key is disabled or revoked. Re-enable the key to restore access.

이 400 오류는 고객의 키 관리 서비스가 Anthropic의 호출을 거부했음을 의미합니다. 다음 원인을 순서대로 확인하세요.

1. 키가 비활성화되었습니다.
2. 키에 대한 Anthropic의 액세스가 제거되었습니다. 해당 설정 페이지에서 Anthropic에 필요한 액세스를 확인할 수 있습니다.
3. AWS KMS에서 키 정책이 워크스페이스를 나열하지만 이 워크스페이스는 포함되어 있지 않습니다.
4. AWS KMS에서 IP 조건이 Anthropic의 아웃바운드 IP 주소를 차단합니다.

원인을 해결하세요. 액세스가 복원되면 두 가지 제한이 적용됩니다.

cmek_key_network_blocked

The request to your key management service was blocked by its network access controls (for example, a KMS firewall or IP allowlist). Verify that your KMS network rules allow requests from Anthropic's published IP addresses, or contact Anthropic support if your configuration looks correct.

이는 400 오류입니다. 키 자체는 정상일 수 있습니다. 고객의 키 관리 서비스의 네트워크 규칙에서 Anthropic이 공개한 IP 주소를 허용하세요.

cmek_key_unreachable

The workspace's customer-managed encryption key could not be reached. Try again shortly. If this continues, check that the key is available in your key management service, or contact Anthropic support.

이 503 오류는 Anthropic이 고객의 키에 도달할 수 없었음을 의미합니다. 요청을 다시 시도하세요.

검증 실패: AWS KMS

키 정책을 출력하려면 다음을 실행하세요.

aws kms get-key-policy \
  --region <REGION> \
  --key-id <KEY_ARN> \
  --policy-name default

이미 데이터를 보호하고 있는 키

이미 데이터를 보호하고 있는 키의 정책을 교체하는 경우, Anthropic이 해당 데이터를 계속 복호화할 수 있도록 이 정책 문을 추가하세요. 해당 조건에는 키가 연결되어 있거나 연결되었던 모든 워크스페이스의 컴파트먼트 ID를 나열하세요.

{
  "Sid": "AllowAnthropicCMEKDecryptExistingData",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
  },
  "Action": "kms:Decrypt",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
    }
  }
}

검증 실패: Google Cloud KMS

권한 부여를 확인하려면 다음을 실행하세요.

gcloud kms keys get-iam-policy <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name>

검증 실패: Azure Key Vault

Claude Platform on AWS에서 연결이 실패하는 경우

Claude Platform on AWS에는 Verify 단계가 없으므로, 키에 문제가 있으면 키를 연결할 때 나타납니다.

그래도 연결이 실패하면 키가 속한 계정의 CloudTrail에서 거부된 kms: 이벤트를 찾으세요. 이 이벤트에는 호출한 주체와, 암호화 호출의 경우 암호화 컨텍스트가 표시됩니다. 원인을 해결한 다음 Save를 다시 클릭하세요.

키 연결 또는 추가가 거부되는 경우

워크스페이스가 데이터를 보존하지 않는 경우

CMEK keys can only be attached to workspaces in this organization that have inference data retention enabled.

조직이 제로 데이터 보존(ZDR)을 사용하고 있으며, 키에는 데이터를 보존하는 워크스페이스가 필요합니다. 먼저 워크스페이스를 Standard data retention으로 전환하세요.

워크스페이스에 Encryption key 설정이 없는 경우

데이터를 보존하는 워크스페이스에만 이 설정이 있으므로, 먼저 워크스페이스에 대해 Standard data retention을 선택하세요. ZDR 조직의 기본 워크스페이스는 전환할 수 없으므로 다른 워크스페이스를 사용하세요.

Encryption keys 섹션이 없는 경우

Claude Console에서 Data retention 페이지 상단의 드롭다운 메뉴에서 Organization을 선택하세요. 그래도 섹션이 보이지 않는다면 고객의 역할에 해당 섹션이 포함되어 있지 않거나 조직에 CMEK가 켜져 있지 않은 것입니다. CMEK는 Anthropic 계정 팀이 켭니다.

워크스페이스에 이미 키가 있는 경우

This workspace already has a different external key attached.

워크스페이스의 키는 교체할 수 없으므로, 다른 키를 사용하려면 새 워크스페이스를 생성하세요.

claude.ai에서 키 추가가 실패하는 경우

The encryption key couldn’t be added.

고객의 키에 대한 확인이 실패했습니다. AWS KMS, Google Cloud KMS 또는 Azure Key Vault의 원인을 찾아보세요. 다시 시도하려면 Add key를 다시 클릭하세요. 이전에 입력한 세부 정보와 함께 대화 상자가 열립니다. 체크박스를 선택하고 Continue를 클릭한 다음 Add를 클릭하세요.

CloudTrail의 예상 오류

Claude Platform 및 Claude Enterprise에서 Anthropic은 키를 검증하거나, 워크스페이스에 연결하거나, claude.ai에서 조회할 때마다 키를 확인합니다. 각 확인은 CloudTrail에 예상된 액세스 거부 오류 네 개를 추가합니다.

이를 필터링하려면 다음 세 값을 모두 일치시키세요.

• requestParameters.encryptionContext.associatedData: Y21lay12YWxpZGF0aW9u
• userIdentity.accountId: 915198916910
• resources.ARN: arn:aws:kms:<REGION>:<AWS_ACCOUNT_ID>:key/<KEY_ID>

첫 번째 값은 어떤 호출자든 설정할 수 있으므로 첫 번째 값만으로는 충분하지 않습니다.