--- title: Configurar CMEK com AWS KMS url: https://platform.claude.com/docs/pt-BR/manage-claude/cmek-aws-kms description: Crie uma chave do AWS KMS, conceda à Anthropic acesso a ela e coloque-a em uso no Claude Platform ou no Claude Enterprise. --- Deixe o Claude Code configurar este recurso para você ```text /claude-api me ajude a configurar uma chave de criptografia gerenciada pelo cliente com AWS KMS ``` Se a barra lateral do seu Claude Console mostrar **Account managed by AWS**, siga [Configurar CMEK no Claude Platform on AWS](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-claude-platform-on-aws) em vez disso. ## Antes de começar No Claude: * As chaves de criptografia gerenciadas pelo cliente (CMEK) estão [ativadas para sua organização](https://platform.claude.com/docs/pt-BR/manage-claude/cmek#availability). * Você tem o ID da sua organização na Anthropic, o UUID sem o prefixo `org_`. Copie-o de [Organization](https://platform.claude.com/settings/organization) no Claude Console, ou de **Organization settings > Organization and access** no claude.ai. Quem criar a chave precisa dele. * Você é Organization Admin no Claude Platform, ou Owner ou Primary Owner no Claude Enterprise. * No Claude Platform, você tem um workspace que [retém dados](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-data-retention#data-retention), de preferência um novo, porque [os dados existentes permanecem sob a chave da Anthropic](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-how-it-works#when-your-key-takes-effect). * No Claude Enterprise, você sabe [quais recursos são desativados ou mudam](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed). No AWS: * Você pode criar chaves do AWS KMS e definir suas políticas de chave (`kms:CreateKey` e `kms:PutKeyPolicy`). * Qualquer restrição de IP no acesso ao AWS KMS permite os [endereços IP de saída da Anthropic](https://platform.claude.com/docs/pt-BR/api/ip-addresses#outbound-ip-addresses). ## No AWS: crie a chave Após uma falha em **Verify** ou **Add**, consulte as [correções para AWS KMS](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-troubleshooting#aws-kms). ### Escreva a política de chave Esta política concede à função IAM da Anthropic acesso à sua chave. Use apenas o ARN da função publicado nesta página, nunca um enviado por e-mail ou chat. Copie a política para um editor de texto: ```json key-policy.json { "Version": "2012-10-17", "Statement": [ { "Sid": "AccountRootAdmin", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam:::root" }, "Action": "kms:*", "Resource": "*" }, { "Sid": "AllowAnthropicCMEKCrypto", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": ["kms:Encrypt", "kms:Decrypt"], "Resource": "*", "Condition": { "StringEquals": { "kms:EncryptionContext:anthropic:org_uuid": [""] } } }, { "Sid": "AllowAnthropicCMEKDescribe", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": "kms:DescribeKey", "Resource": "*" } ] } ``` Substitua `` pelo seu [ID da conta AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/console-account-id.html) e `` pelo seu [ID da organização Anthropic](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-aws-kms#prerequisites). Mantenha a condição `kms:EncryptionContext:anthropic:org_uuid`, ou a verificação falhará. Você também pode [limitar a chave a workspaces específicos](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-aws-kms-workspaces) listando seus IDs de compartimento. Se você estiver substituindo a política em uma chave que já protege dados do Claude, [adicione mais uma declaração](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-troubleshooting#existing-data). ### Crie a chave Você pode criar a chave em qualquer região comercial da AWS. Para a menor latência, use `us-east-2`. Para usar uma chave que você já tem no AWS KMS, [substitua sua política de chave](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-aws-kms-workspaces#replace-the-key-policy). Abra o [console do AWS KMS](https://console.aws.amazon.com/kms) e mude para a região da chave. Vá para **Customer managed keys** e clique em **Create key**. Certifique-se de que estas opções estejam selecionadas: * **Key type:** Symmetric * **Key usage:** Encrypt and decrypt * **Advanced options > Key material origin:** KMS * **Advanced options > Regionality:** Single-Region key Clique em **Next**. ![Etapa Configure key do AWS KMS com o tipo de chave Symmetric, o uso de chave Encrypt and decrypt e Single-Region key selecionados.](https://platform.claude.com/docs/images/cmek/aws-configure-key.png) Insira um **Alias** para a chave, como `anthropic-cmek`. Clique em **Next**. ![Etapa Add labels do AWS KMS com o alias anthropic-cmek e a descrição Anthropic CMEK.](https://platform.claude.com/docs/images/cmek/aws-add-labels.png) Não selecione nenhum administrador de chave. Sua política de chave já concede à sua conta AWS controle administrativo total. Clique em **Next**. ![Etapa Define key administrative permissions do AWS KMS listando as funções do IAM que podem administrar a chave.](https://platform.claude.com/docs/images/cmek/aws-admin-permissions.png) Não selecione nenhum usuário de chave e não adicione nada em **Other AWS accounts**. Sua política de chave já concede o acesso necessário. Clique em **Next**. Clique em **Edit**. Substitua a política inteira pela sua política de chave e, em seguida, clique em **Next**. Clique em **Finish**. Em **Customer managed keys**, abra a nova chave e copie o ARN dela. Quem for adicionar a chave no Claude precisa dele. Salve sua política de chave como `key-policy.json` e, em seguida, crie a chave. Substitua `` pela região da chave. ```bash aws kms create-key \ --region \ --description "Anthropic CMEK" \ --key-usage ENCRYPT_DECRYPT \ --policy file://key-policy.json ``` Copie `KeyMetadata.Arn` da saída. Quem for adicionar a chave no Claude precisa do ARN. Cada verificação da chave no Claude adiciona quatro erros esperados de acesso negado ao CloudTrail. Você pode [filtrá-los](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-troubleshooting#cloudtrail). ## No Claude: adicione e anexe a chave Para criar um script para esta parte no Claude Platform, [use a Admin API](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-admin-api) em vez disso. No Claude Console, abra [Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys) na página Data retention. Se a seção não estiver lá, selecione **Organization** no menu suspenso na parte superior. Em **Encryption keys**, clique em **Add key**. Insira um **Display name**, selecione **AWS KMS** e clique em **Continue**. Verifique se sua [política de chave](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-aws-kms#key-policy) contém o **Organization ID for the key policy** mostrado na caixa de diálogo. Cole o ARN da chave em **KMS key ARN** e clique em **Add**. Na lista **Encryption keys**, clique em **Verify** ao lado da chave. **Connected** aparece quando a verificação é bem-sucedida. Se **Connection failed** aparecer em vez disso, consulte [Solucionar problemas do CMEK](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-troubleshooting). Anexar uma chave [não pode ser desfeito](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-key-lifecycle#what-each-action-does). Você não pode removê-la do workspace nem substituí-la. Se a chave for excluída, a Anthropic não poderá recuperar os dados que ela protege. 1. No topo da página Data retention, selecione o workspace no menu suspenso. 2. Em **Encryption key**, selecione a chave e clique em **Save**. 3. Marque a caixa de seleção para confirmar que você leu a documentação do CMEK e, em seguida, clique em **Confirm**. Você verá **Workspace settings updated.** Assim que a chave [entrar em vigor](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-how-it-works#when-your-key-takes-effect), o log de auditoria do seu provedor de nuvem mostrará as chamadas da Anthropic à sua chave. Em uma [organização ZDR](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-data-retention#zdr-organizations), depois de selecionar o workspace, selecione **Standard data retention** para que **Encryption key** apareça. Depois de clicar em **Save**, clique em **Accept** nos termos de retenção de dados. No Claude Enterprise, o CMEK se aplica à organização inteira, e você pode adicionar apenas uma única chave. Adicionar uma chave [não pode ser desfeito](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-key-lifecycle#what-each-action-does). Você não pode removê-la da organização nem substituí-la. Se a chave for excluída, a Anthropic não poderá recuperar os dados que ela protege. Adicionar a chave [desativa ou altera alguns recursos](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) para todos os usuários. Para experimentar o CMEK primeiro, use uma organização separada. Acesse [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls) e encontre **Encryption keys**. Clique em **Add key**. Insira um **Display name** e selecione **AWS KMS**. Marque a caixa de seleção para confirmar que você leu a documentação de CMEK e, em seguida, clique em **Continue**. Verifique se sua [política de chave](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-aws-kms#key-policy) contém o **Organization ID for the key policy** mostrado na caixa de diálogo. Cole o ARN da chave em **KMS key ARN** e clique em **Add**. A verificação pode levar até 30 segundos. Quando **Encryption key configured.** aparecer, clique em **Done**. Se, em vez disso, aparecer **The encryption key couldn’t be added.**, [encontre a causa e tente novamente](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-troubleshooting#claude-ai-add-fails). Sua chave protege os dados gravados a partir de então. Informe aos seus usuários [quais recursos mudaram](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).