Configurar o AWS KMS para CMEK

claude "/claude-api help me configure a customer-managed encryption key with AWS KMS"

Este guia explica como configurar uma chave do AWS KMS como uma "customer-managed encryption key" (chave de criptografia gerenciada pelo cliente), ou CMEK, para sua organização Anthropic.

Pré-requisitos

• Uma conta AWS com permissões para criar chaves KMS e definir políticas de chave (kms:CreateKey e kms:PutKeyPolicy).
• Uma chave de API Admin da Anthropic para sua organização.
• A AWS CLI instalada e autenticada.

Amazon Resource Name (ARN) para a Anthropic

Para que a Anthropic use sua chave de criptografia, você deve conceder à função IAM da Anthropic uma chave KMS que ela possa usar para criptografar dados. O ARN para CMEK da Anthropic é:

arn:aws:iam::915198916910:role/anthropic-cmek-client-us

Configuração da chave de criptografia

1. 1

   Crie a chave KMS com uma política de chave entre contas

   A política de chave concede à função IAM da Anthropic acesso entre contas (cross-account). Três declarações são necessárias:

   1. Administrador root da conta: o padrão KMS convencional. Sua conta mantém controle administrativo total.
   2. Criptografia e descriptografia pela Anthropic: as ações kms:Encrypt e kms:Decrypt, que a Anthropic usa para criptografar e descriptografar as chaves de dados que protegem os dados do seu workspace ("envelope encryption", ou criptografia de envelope).
   3. Describe pela Anthropic: a leitura de metadados que a Anthropic realiza na inicialização. Ela é concedida separadamente porque DescribeKey não tem parâmetro EncryptionContext, portanto uma condição EncryptionContext nessa ação sempre negaria.

   export YOUR_ACCOUNT=$(aws sts get-caller-identity --query Account --output text)
   
   aws kms create-key \
     --region <region> \
     --description "Anthropic CMEK" \
     --key-usage ENCRYPT_DECRYPT \
     --policy "{
       \"Version\": \"2012-10-17\",
       \"Statement\": [
         {
           \"Sid\": \"AccountRootAdmin\",
           \"Effect\": \"Allow\",
           \"Principal\": {\"AWS\": \"arn:aws:iam::${YOUR_ACCOUNT}:root\"},
           \"Action\": \"kms:*\",
           \"Resource\": \"*\"
         },
         {
           \"Sid\": \"AllowAnthropicCMEKCrypto\",
           \"Effect\": \"Allow\",
           \"Principal\": {\"AWS\": \"arn:aws:iam::915198916910:role/anthropic-cmek-client-us\"},
           \"Action\": [\"kms:Encrypt\", \"kms:Decrypt\"],
           \"Resource\": \"*\",
           \"Condition\": {
             \"StringEquals\": {
               \"kms:EncryptionContext:anthropic:compartment_uuid\": [
                 \"00000000-0000-0000-0000-000000000000\",
                 \"<compartment-uuid>\"
               ]
             }
           }
         },
         {
           \"Sid\": \"AllowAnthropicCMEKDescribe\",
           \"Effect\": \"Allow\",
           \"Principal\": {\"AWS\": \"arn:aws:iam::915198916910:role/anthropic-cmek-client-us\"},
           \"Action\": \"kms:DescribeKey\",
           \"Resource\": \"*\"
         }
       ]
     }"

   

   Capture KeyMetadata.Arn da saída. Você precisará dele ao registrar a chave na próxima etapa.

   A condição EncryptionContext é recomendada, mas opcional. A Anthropic sempre inclui o ID de compartimento do seu workspace no contexto de criptografia, portanto o texto cifrado fica criptograficamente vinculado a esse compartimento de qualquer forma. Adicionar a condição fornece defesa em profundidade na camada IAM. Para começar sem ela, omita o bloco Condition da declaração AllowAnthropicCMEKCrypto e adicione-o depois com kms:PutKeyPolicy.

   Você também pode criar a chave pelo AWS Console. Escolha uma chave simétrica com uso de chave para criptografar e descriptografar, uma chave de região única e origem de material de chave KMS. O assistente Create key confirma uma política de chave na etapa Review: se você adicionar o ID de conta da Anthropic 915198916910 nas permissões de uso da chave ali, a política gerada concede à conta inteira da Anthropic ações mais amplas (como kms:ReEncrypt* e kms:GenerateDataKey*) sem condição EncryptionContext, e a validação ainda seria bem-sucedida com ela. Para evitar deixar uma chave excessivamente permissiva, conclua o assistente apenas com permissões administrativas, depois abra a aba Key policy da chave e substitua o JSON pela política com escopo de função mostrada anteriormente (as três declarações com escopo para a função anthropic-cmek-client-us, com a condição EncryptionContext).

   

   

   

   

Registre a chave na Anthropic

A forma de registrar a chave depende de qual produto você usa.

Terraform

Para implantações de infraestrutura como código, as mesmas etapas correspondem ao provider aws com os recursos aws_kms_key e aws_kms_alias.