--- title: CMEK 문제 해결 url: https://platform.claude.com/docs/ko/manage-claude/cmek-troubleshooting description: CMEK 오류 메시지, 실패한 검증 또는 예상치 못한 로그 항목의 원인과 해결 방법을 찾아보세요. --- Claude Console의 **Verify**, claude.ai의 **Add**, Admin API의 유효성 검사 호출은 모두 동일한 확인을 실행합니다. 확인이 실패하면(Claude Console에서는 **Connection failed**) [AWS KMS](https://platform.claude.com/docs/ko/manage-claude/cmek-troubleshooting#aws-kms), [Google Cloud KMS](https://platform.claude.com/docs/ko/manage-claude/cmek-troubleshooting#google-cloud-kms) 또는 [Azure Key Vault](https://platform.claude.com/docs/ko/manage-claude/cmek-troubleshooting#azure-key-vault)의 원인을 참조하세요. 기능이 작동을 멈췄다면 "customer-managed encryption keys"(고객 관리형 암호화 키), 즉 CMEK를 사용할 때 꺼지는 기능일 수 있습니다. [Claude Platform 목록](https://platform.claude.com/docs/ko/manage-claude/cmek-coverage-claude-platform#turned-off-or-changed) 또는 [Claude Enterprise 목록](https://platform.claude.com/docs/ko/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed)을 확인하세요. 여기에 해당하는 내용이 없다면 Anthropic 계정 팀에 문의하세요. ## 설정 후 요청이 실패하는 경우 ### `cmek_key_disabled` ```text wrap Customer-managed encryption key is disabled or revoked. Re-enable the key to restore access. ``` 이 400 오류는 고객의 키 관리 서비스가 Anthropic의 호출을 거부했음을 의미합니다. 다음 원인을 순서대로 확인하세요. 1. 키가 비활성화되었습니다. 2. 키에 대한 Anthropic의 액세스가 제거되었습니다. [해당 설정 페이지](https://platform.claude.com/docs/ko/manage-claude/cmek#set-it-up)에서 Anthropic에 필요한 액세스를 확인할 수 있습니다. 3. AWS KMS에서 키 정책이 [워크스페이스를 나열](https://platform.claude.com/docs/ko/manage-claude/cmek-aws-kms-workspaces)하지만 이 워크스페이스는 포함되어 있지 않습니다. 4. AWS KMS에서 IP 조건이 [Anthropic의 아웃바운드 IP 주소](https://platform.claude.com/docs/ko/api/ip-addresses#outbound-ip-addresses)를 차단합니다. 원인을 해결하세요. 액세스가 복원되면 [두 가지 제한이 적용됩니다](https://platform.claude.com/docs/ko/manage-claude/cmek-key-lifecycle#restore-access). ### `cmek_key_network_blocked` ```text wrap The request to your key management service was blocked by its network access controls (for example, a KMS firewall or IP allowlist). Verify that your KMS network rules allow requests from Anthropic's published IP addresses, or contact Anthropic support if your configuration looks correct. ``` 이는 400 오류입니다. 키 자체는 정상일 수 있습니다. 고객의 키 관리 서비스의 네트워크 규칙에서 [Anthropic이 공개한 IP 주소](https://platform.claude.com/docs/ko/api/ip-addresses)를 허용하세요. ### `cmek_key_unreachable` ```text wrap The workspace's customer-managed encryption key could not be reached. Try again shortly. If this continues, check that the key is available in your key management service, or contact Anthropic support. ``` 이 503 오류는 [Anthropic이 고객의 키에 도달할 수 없었음](https://platform.claude.com/docs/ko/manage-claude/cmek-key-lifecycle#unreachable-key)을 의미합니다. 요청을 다시 시도하세요. ## 검증 실패: AWS KMS | 원인 | 해결 방법 | | ----------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------- | | 잘못된 조직 ID | `org_uuid` 조건에는 `org_` 접두사를 제외한 UUID인 [고객의 Anthropic 조직 ID](https://platform.claude.com/docs/ko/manage-claude/cmek-aws-kms#prerequisites)가 나열되어야 합니다. | | 정책에 워크스페이스가 누락됨 | `compartment_uuid` 조건에는 키가 연결된 각 워크스페이스의 [컴파트먼트 ID가 나열](https://platform.claude.com/docs/ko/manage-claude/cmek-aws-kms-workspaces)되어야 합니다. | | 키 정책 대신 IAM을 통해 부여된 액세스 | Anthropic의 역할에는 [키 정책 자체](https://platform.claude.com/docs/ko/manage-claude/cmek-aws-kms#key-policy)에서의 액세스가 필요합니다. | 키 정책을 출력하려면 다음을 실행하세요. ```bash aws kms get-key-policy \ --region \ --key-id \ --policy-name default ``` ### 이미 데이터를 보호하고 있는 키 이미 데이터를 보호하고 있는 [키의 정책을 교체하는](https://platform.claude.com/docs/ko/manage-claude/cmek-aws-kms-workspaces#replace-the-key-policy) 경우, Anthropic이 해당 데이터를 계속 복호화할 수 있도록 이 정책 문을 추가하세요. 해당 조건에는 키가 연결되어 있거나 연결되었던 모든 워크스페이스의 컴파트먼트 ID를 나열하세요. ```json { "Sid": "AllowAnthropicCMEKDecryptExistingData", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": "kms:Decrypt", "Resource": "*", "Condition": { "StringEquals": { "kms:EncryptionContext:anthropic:compartment_uuid": [""] } } } ``` ## 검증 실패: Google Cloud KMS | 원인 | 해결 방법 | | ----------------- | ------------------------------------------------------------------------------------------------------------------------------------------------ | | 잘못된 조직 레이블 | 키에는 고객의 Anthropic 조직 ID를 소문자로 포함한 [조직 레이블](https://platform.claude.com/docs/ko/manage-claude/cmek-google-cloud-kms#organization-label)이 필요합니다. | | 도메인 제한 공유 | 이 조직 정책이 Anthropic의 서비스 계정에 대한 권한 부여를 차단합니다. [예외를 추가하세요](https://platform.claude.com/docs/ko/manage-claude/cmek-google-cloud-kms#prerequisites). | | 비활성화되었거나 파기된 키 버전 | 키의 기본 버전이 활성화되어 있어야 합니다. | 권한 부여를 확인하려면 다음을 실행하세요. ```bash gcloud kms keys get-iam-policy \ --project= \ --location= \ --keyring= ``` ## 검증 실패: Azure Key Vault | 원인 | 해결 방법 | | ----------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------ | | 잘못된 조직 태그 | 키의 현재 버전에는 [조직 태그](https://platform.claude.com/docs/ko/manage-claude/cmek-azure-key-vault#organization-tag)가 필요합니다. | | 역할 할당이 아직 적용되지 않음 | 새 역할 할당이 적용되는 데 몇 분이 걸릴 수 있습니다. 잠시 기다린 후 다시 시도하세요. | | 키 자격 증명 모음의 네트워크 규칙이 Anthropic을 차단함 | [Anthropic에 필요한 키 자격 증명 모음 설정](https://platform.claude.com/docs/ko/manage-claude/cmek-azure-key-vault#check-your-vault-configuration)과 규칙을 비교하여 확인하세요. | ## Claude Platform on AWS에서 연결이 실패하는 경우 Claude Platform on AWS에는 **Verify** 단계가 없으므로, 키에 문제가 있으면 키를 연결할 때 나타납니다. | 원인 | 해결 방법 | | ---------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 키 정책 불일치 | [`get-key-policy` 명령](https://platform.claude.com/docs/ko/manage-claude/cmek-troubleshooting#aws-kms)으로 키 정책을 출력하고 [설정 페이지의 정책](https://platform.claude.com/docs/ko/manage-claude/cmek-claude-platform-on-aws#prepare-the-key-policy)과 비교하세요. | | 조건 불일치 | 모든 `EncryptionContext` 또는 `aws:SourceArn` 조건에 이 워크스페이스가 포함되어야 합니다. | | 키 상태 또는 위치 | 키는 활성화되어 있고 단일 리전이어야 하며, 워크스페이스와 동일한 AWS 계정 및 리전에 있어야 합니다. | | 누락된 권한 | 로그인한 주체에게 키에 대한 `kms:DescribeKey`, `kms:Encrypt`, `kms:Decrypt` 권한이 필요합니다. | 그래도 연결이 실패하면 키가 속한 계정의 CloudTrail에서 거부된 `kms:` 이벤트를 찾으세요. 이 이벤트에는 호출한 주체와, 암호화 호출의 경우 암호화 컨텍스트가 표시됩니다. 원인을 해결한 다음 **Save**를 다시 클릭하세요. ## 키 연결 또는 추가가 거부되는 경우 ### 워크스페이스가 데이터를 보존하지 않는 경우 ```text wrap CMEK keys can only be attached to workspaces in this organization that have inference data retention enabled. ``` [조직이 제로 데이터 보존(ZDR)을 사용하고 있으며](https://platform.claude.com/docs/ko/manage-claude/cmek-data-retention#zdr-organizations), 키에는 데이터를 보존하는 워크스페이스가 필요합니다. 먼저 워크스페이스를 **Standard data retention**으로 전환하세요. ### 워크스페이스에 Encryption key 설정이 없는 경우 [데이터를 보존하는 워크스페이스](https://platform.claude.com/docs/ko/manage-claude/cmek-data-retention#data-retention)에만 이 설정이 있으므로, 먼저 워크스페이스에 대해 **Standard data retention**을 선택하세요. ZDR 조직의 기본 워크스페이스는 전환할 수 없으므로 다른 워크스페이스를 사용하세요. ### Encryption keys 섹션이 없는 경우 Claude Console에서 Data retention 페이지 상단의 드롭다운 메뉴에서 **Organization**을 선택하세요. 그래도 섹션이 보이지 않는다면 고객의 역할에 해당 섹션이 포함되어 있지 않거나 조직에 CMEK가 켜져 있지 않은 것입니다. CMEK는 Anthropic 계정 팀이 켭니다. ### 워크스페이스에 이미 키가 있는 경우 ```text wrap This workspace already has a different external key attached. ``` 워크스페이스의 키는 교체할 수 없으므로, 다른 키를 사용하려면 [새 워크스페이스를 생성하세요](https://platform.claude.com/docs/ko/manage-claude/cmek-key-lifecycle#change-keys). ### claude.ai에서 키 추가가 실패하는 경우 ```text wrap The encryption key couldn’t be added. ``` 고객의 키에 대한 확인이 실패했습니다. [AWS KMS](https://platform.claude.com/docs/ko/manage-claude/cmek-troubleshooting#aws-kms), [Google Cloud KMS](https://platform.claude.com/docs/ko/manage-claude/cmek-troubleshooting#google-cloud-kms) 또는 [Azure Key Vault](https://platform.claude.com/docs/ko/manage-claude/cmek-troubleshooting#azure-key-vault)의 원인을 찾아보세요. 다시 시도하려면 **Add key**를 다시 클릭하세요. 이전에 입력한 세부 정보와 함께 대화 상자가 열립니다. 체크박스를 선택하고 **Continue**를 클릭한 다음 **Add**를 클릭하세요. ## CloudTrail의 예상 오류 Claude Platform 및 Claude Enterprise에서 Anthropic은 키를 검증하거나, 워크스페이스에 연결하거나, claude.ai에서 조회할 때마다 키를 확인합니다. 각 확인은 CloudTrail에 예상된 액세스 거부 오류 네 개를 추가합니다. 이를 필터링하려면 다음 세 값을 모두 일치시키세요. * `requestParameters.encryptionContext.associatedData`: `Y21lay12YWxpZGF0aW9u` * `userIdentity.accountId`: `915198916910` * `resources.ARN`: `arn:aws:kms:::key/` 첫 번째 값은 어떤 호출자든 설정할 수 있으므로 첫 번째 값만으로는 충분하지 않습니다.