Adicionar e anexar uma chave de criptografia com a Admin API

Crie, valide e anexe uma chave de criptografia gerenciada pelo cliente com três chamadas da Admin API.

Essas chamadas funcionam no Claude Platform. No Claude Enterprise ou no Claude Platform on AWS, siga sua página de configuração.

Criar uma chave externa é o que Add key faz no Claude Console, e validá-la é o que Verify faz.

Antes de começar

As "customer-managed encryption keys" (chaves de criptografia gerenciadas pelo cliente), ou CMEK, estão ativadas para a sua organização.
Você tem uma chave da Admin API. Os exemplos a leem de ANTHROPIC_API_KEY.
Você criou sua chave no AWS KMS, no Google Cloud KMS ou no Azure Key Vault, e guardou os valores que as etapas de configuração pedem que você copie.
Você tem um workspace que retém dados, de preferência um novo, porque os dados existentes permanecem sob a chave da Anthropic.

Criar, validar e anexar a chave

Criar a chave externa

Substitua <friendly-name> por um nome de exibição e <key-arn-from-create-key-step> pelo ARN da chave.

client = anthropic.Anthropic()

external_key = client.organization.external_keys.create(
    display_name="<friendly-name>",
    geo="us",
    provider_config={"type": "aws", "kms_arn": "<key-arn-from-create-key-step>"},
)

print(f"id: {external_key.id}")
print(f"display_name: {external_key.display_name}")

Substitua <friendly-name> por um nome de exibição. Substitua o valor que começa com projects/ pelo nome completo do recurso da chave.

client = anthropic.Anthropic()

external_key = client.organization.external_keys.create(
    display_name="<friendly-name>",
    geo="us",
    provider_config={
        "type": "gcp",
        "key_name": "projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>",
    },
)

print(f"id: {external_key.id}")
print(f"display_name: {external_key.display_name}")

Substitua os placeholders:

<friendly-name>: um nome de exibição
https://<your-vault-name>.vault.azure.net/: o URI do cofre
<your-key-name>: o nome da chave
<your-tenant-id>: o ID de locatário do cofre

client = anthropic.Anthropic()

external_key = client.organization.external_keys.create(
    display_name="<friendly-name>",
    geo="us",
    provider_config={
        "type": "azure",
        "vault_uri": "https://<your-vault-name>.vault.azure.net/",
        "key_name": "<your-key-name>",
        "tenant_id": "<your-tenant-id>",
    },
)

print(f"id: {external_key.id}")
print(f"display_name: {external_key.display_name}")

O id na resposta é o ID da chave externa. Copie-o para as próximas duas etapas.

{
  "type": "external_key",
  "id": "ekey_<id>",
  "display_name": "<friendly-name>"
}

Valide a chave

Substitua ekey_<id> pelo ID da chave externa.

client = anthropic.Anthropic()

validation = client.organization.external_keys.validate("ekey_<id>")

print(f"status: {validation.status}")
print(f"error: {validation.error}")

Uma resposta bem-sucedida tem esta aparência:

{ "type": "external_key_validation", "status": "success", "error": null }

Se status for failure, o campo error informa o motivo. Consulte Solucionar problemas do CMEK.

3
Anexar a chave a um workspace
Anexar uma chave não pode ser desfeito. Se a chave for excluída, a Anthropic não poderá recuperar os dados que ela protege.
Substitua <workspace-id> pelo ID do workspace, que começa com wrkspc_, e ekey_<id> pelo ID da chave externa.
Python
client = anthropic.Anthropic() workspace = client.organization.workspaces.update( "<workspace-id>", external_key_id="ekey_<id>" ) print(f"id: {workspace.id}") print(f"external_key_id: {workspace.external_key_id}")
A resposta mostra o ID da chave anexada em external_key_id. Se a solicitação for recusada, consulte o erro.

Antes de começar

Criar, validar e anexar a chave

Criar a chave externa

Valide a chave

Anexar a chave a um workspace

Antes de começar

Criar, validar e anexar a chave