Claude Platform Docs
AdministraçãoConfigurar CMEK

Configurar CMEK com AWS KMS

Crie uma chave do AWS KMS, conceda à Anthropic acesso a ela e coloque-a em uso no Claude Platform ou no Claude Enterprise.

Claude Code

Deixe o Claude Code configurar este recurso para você

/claude-api me ajude a configurar uma chave de criptografia gerenciada pelo cliente com AWS KMS

Se a barra lateral do seu Claude Console mostrar Account managed by AWS, siga Configurar CMEK no Claude Platform on AWS em vez disso.

Antes de começar

No Claude:

No AWS:

  • Você pode criar chaves do AWS KMS e definir suas políticas de chave (kms:CreateKey e kms:PutKeyPolicy).
  • Qualquer restrição de IP no acesso ao AWS KMS permite os endereços IP de saída da Anthropic.

No AWS: crie a chave

Após uma falha em Verify ou Add, consulte as correções para AWS KMS.

Escreva a política de chave

Esta política concede à função IAM da Anthropic acesso à sua chave. Use apenas o ARN da função publicado nesta página, nunca um enviado por e-mail ou chat. Copie a política para um editor de texto:

key-policy.json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AccountRootAdmin",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<AWS_ACCOUNT_ID>:root"
      },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "AllowAnthropicCMEKCrypto",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
      },
      "Action": ["kms:Encrypt", "kms:Decrypt"],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:anthropic:org_uuid": ["<ORGANIZATION_UUID>"]
        }
      }
    },
    {
      "Sid": "AllowAnthropicCMEKDescribe",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    }
  ]
}

Substitua <AWS_ACCOUNT_ID> pelo seu ID da conta AWS e <ORGANIZATION_UUID> pelo seu ID da organização Anthropic. Mantenha a condição kms:EncryptionContext:anthropic:org_uuid, ou a verificação falhará.

Você também pode limitar a chave a workspaces específicos listando seus IDs de compartimento. Se você estiver substituindo a política em uma chave que já protege dados do Claude, adicione mais uma declaração.

Crie a chave

Você pode criar a chave em qualquer região comercial da AWS. Para a menor latência, use us-east-2.

Para usar uma chave que você já tem no AWS KMS, substitua sua política de chave.

  1. Abrir o assistente Create key

    Abra o console do AWS KMS e mude para a região da chave. Vá para Customer managed keys e clique em Create key.

  2. Configure key

    Certifique-se de que estas opções estejam selecionadas:

    • Key type: Symmetric
    • Key usage: Encrypt and decrypt
    • Advanced options > Key material origin: KMS
    • Advanced options > Regionality: Single-Region key

    Clique em Next.

    Etapa Configure key do AWS KMS com o tipo de chave Symmetric, o uso de chave Encrypt and decrypt e Single-Region key selecionados.

    Chave Symmetric, Encrypt and decrypt, Single-Region key.

  3. Add labels

    Insira um Alias para a chave, como anthropic-cmek. Clique em Next.

    Etapa Add labels do AWS KMS com o alias anthropic-cmek e a descrição Anthropic CMEK.

    Um alias para a chave.

  4. Define key administrative permissions

    Não selecione nenhum administrador de chave. Sua política de chave já concede à sua conta AWS controle administrativo total. Clique em Next.

    Etapa Define key administrative permissions do AWS KMS listando as funções do IAM que podem administrar a chave.

    Deixe os administradores de chave em branco.

  5. Define key usage permissions

    Não selecione nenhum usuário de chave e não adicione nada em Other AWS accounts. Sua política de chave já concede o acesso necessário. Clique em Next.

  6. Edit key policy

    Clique em Edit. Substitua a política inteira pela sua política de chave e, em seguida, clique em Next.

  7. Review

    Clique em Finish.

  8. Copiar o ARN da sua chave

    Em Customer managed keys, abra a nova chave e copie o ARN dela. Quem for adicionar a chave no Claude precisa dele.

Cada verificação da chave no Claude adiciona quatro erros esperados de acesso negado ao CloudTrail. Você pode filtrá-los.

No Claude: adicione e anexe a chave

Para criar um script para esta parte no Claude Platform, use a Admin API em vez disso.

  1. Abra as configurações de chaves de criptografia

    No Claude Console, abra Encryption keys na página Data retention. Se a seção não estiver lá, selecione Organization no menu suspenso na parte superior.

  2. Adicione a chave

    Em Encryption keys, clique em Add key. Insira um Display name, selecione AWS KMS e clique em Continue.

  3. Insira o ARN da chave

    Verifique se sua política de chave contém o Organization ID for the key policy mostrado na caixa de diálogo. Cole o ARN da chave em KMS key ARN e clique em Add.

  4. Verificar a chave

    Na lista Encryption keys, clique em Verify ao lado da chave. Connected aparece quando a verificação é bem-sucedida. Se Connection failed aparecer em vez disso, consulte Solucionar problemas do CMEK.

  5. Anexe a chave a um workspace

    1. No topo da página Data retention, selecione o workspace no menu suspenso.
    2. Em Encryption key, selecione a chave e clique em Save.
    3. Marque a caixa de seleção para confirmar que você leu a documentação do CMEK e, em seguida, clique em Confirm.

    Você verá Workspace settings updated. Assim que a chave entrar em vigor, o log de auditoria do seu provedor de nuvem mostrará as chamadas da Anthropic à sua chave.

    Em uma organização ZDR, depois de selecionar o workspace, selecione Standard data retention para que Encryption key apareça. Depois de clicar em Save, clique em Accept nos termos de retenção de dados.

Was this page helpful?