---
title: Limitar uma chave do AWS KMS a workspaces específicos
url: https://platform.claude.com/docs/pt-BR/manage-claude/cmek-aws-kms-workspaces
description: Adicione uma condição à política de chave que nomeia os workspaces autorizados a usar a sua chave do AWS KMS.
---

A [política de chave da configuração](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-aws-kms#key-policy) permite que todos os workspaces da sua organização usem a chave. Com esta condição opcional, um workspace que não esteja listado não pode usá-la.

Adicione o [ID de compartimento](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-how-it-works#what-one-key-protects) de um workspace à política antes de [anexar a chave](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-aws-kms#register-the-key-with-anthropic) a esse workspace. Para um novo workspace, isso significa criá-lo sem a chave.

## Copiar o ID de compartimento do workspace

No Claude Console, abra a página [Data retention](https://platform.claude.com/settings/privacy) e selecione o workspace no menu suspenso na parte superior. Copie o **Compartment ID** em **Encryption key**. O endpoint [Get Workspace](https://platform.claude.com/docs/pt-BR/api/organization/workspaces/retrieve) o retorna como `compartment_id`.

Uma organização Claude Enterprise tem um único ID de compartimento. Copie-o da sua chave em **Encryption keys** em [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls).

## Adicionar a condição à política de chave

Substitua a declaração `AllowAnthropicCMEKCrypto` por esta. Preencha o ID da sua organização na Anthropic e o ID de compartimento de cada workspace que usa a chave. Uma chave que já protege dados [precisa de mais uma declaração](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-troubleshooting#existing-data).

```json
{
  "Sid": "AllowAnthropicCMEKCrypto",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
  },
  "Action": ["kms:Encrypt", "kms:Decrypt"],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:anthropic:org_uuid": ["<ORGANIZATION_UUID>"]
    },
    "StringEqualsIfExists": {
      "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
    }
  }
}
```

## Substituir a política de chave em uma chave existente

1. No [console do AWS KMS](https://console.aws.amazon.com/kms), abra a chave e clique na aba **Key policy**.
2. Se você vir **Switch to policy view**, clique nele.
3. Clique em **Edit**.
4. Substitua o JSON pela sua política de chave.
5. Clique em **Save changes**.