Limitar uma chave do AWS KMS a workspaces específicos

A política de chave da configuração permite que todos os workspaces da sua organização usem a chave. Com esta condição opcional, um workspace que não esteja listado não pode usá-la.

Adicione o ID de compartimento de um workspace à política antes de anexar a chave a esse workspace. Para um novo workspace, isso significa criá-lo sem a chave.

Copiar o ID de compartimento do workspace

No Claude Console, abra a página Data retention e selecione o workspace no menu suspenso na parte superior. Copie o Compartment ID em Encryption key. O endpoint Get Workspace o retorna como compartment_id.

Uma organização Claude Enterprise tem um único ID de compartimento. Copie-o da sua chave em Encryption keys em claude.ai > Organization settings > Data and privacy.

Adicionar a condição à política de chave

Substitua a declaração AllowAnthropicCMEKCrypto por esta. Preencha o ID da sua organização na Anthropic e o ID de compartimento de cada workspace que usa a chave. Uma chave que já protege dados precisa de mais uma declaração.

{
  "Sid": "AllowAnthropicCMEKCrypto",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
  },
  "Action": ["kms:Encrypt", "kms:Decrypt"],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:anthropic:org_uuid": ["<ORGANIZATION_UUID>"]
    },
    "StringEqualsIfExists": {
      "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
    }
  }
}

Substituir a política de chave em uma chave existente

1. No console do AWS KMS, abra a chave e clique na aba Key policy.
2. Se você vir Switch to policy view, clique nele.
3. Clique em Edit.
4. Substitua o JSON pela sua política de chave.
5. Clique em Save changes.