Claude Platform Docs
AdministraçãoConfigurar CMEK

Configurar o CMEK com o Azure Key Vault

Crie uma chave no Azure Key Vault, conceda à Anthropic acesso a ela e coloque-a em uso no Claude Platform ou no Claude Enterprise.

Claude Code

Deixe o Claude Code configurar este recurso para você

/claude-api me ajude a configurar uma chave de criptografia gerenciada pelo cliente com o Azure Key Vault

Antes de começar

No Claude:

No Azure:

  • Você pode criar chaves no seu cofre de chaves e atribuir funções RBAC nele.
  • Você pode criar entidades de serviço no seu locatário do Entra (Application Administrator, Cloud Application Administrator ou uma função personalizada equivalente).
  • O cofre tem uma configuração de diagnóstico para a categoria de log AuditEvent. Sem ela, as operações que a Anthropic realiza com a sua chave não deixam trilha de auditoria.

No Azure: criar a chave

Após uma falha em Verify ou Add, consulte as correções para o Azure Key Vault.

Estas etapas concedem ao aplicativo multilocatário da Anthropic acesso à sua chave:

  • Nome: anthropic-cmek-client-us
  • ID do cliente: 8635ae1a-3e5d-44e8-a4ed-e0f614466f87

Use somente este ID do cliente e este nome, nunca os enviados por e-mail ou chat. O aplicativo não solicita nenhuma permissão do Microsoft Graph.

Verificar o cofre

Para a menor latência, use um cofre em northcentralus ou eastus2. Execute isto primeiro, na Azure CLI ou no Cloud Shell:

az keyvault show --name <your-vault-name> \
  --query "{rbac:properties.enableRbacAuthorization, purge:properties.enablePurgeProtection, pub:properties.publicNetworkAccess, net:properties.networkAcls.defaultAction, ipRules:properties.networkAcls.ipRules, uri:properties.vaultUri, tenantId:properties.tenantId}"
CampoDeve ser
rbactrue
purgetrue. Se for false ou null, ative primeiro a proteção contra limpeza. Não é possível desativá-la depois.
pub"Enabled". Pontos de extremidade privados não são suportados.
net"Allow", ou "Deny" com os endereços IP de saída da Anthropic em ipRules

Copie uri (o URI do cofre) e tenantId.

Criar a chave e conceder acesso

Nesta página, <ORGANIZATION_UUID> é o seu ID da organização da Anthropic em letras minúsculas. Para usar uma chave que você já tem, adicione primeiro a tag da organização.

  1. Criar a entidade de serviço da Anthropic

    Abra o Cloud Shell na barra de navegação superior do portal. Execute este comando:

    az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87

    Se a entidade de serviço já existir, continue para a próxima etapa.

  2. Confirmar que a entidade de serviço existe

    Acesse Microsoft Entra ID > Enterprise applications e limpe o filtro padrão de tipo de aplicativo. Pesquise por anthropic-cmek-client-us.

    Visão geral do aplicativo empresarial do Microsoft Entra para anthropic-cmek-client-us, mostrando seu Application ID e Object ID.

    A entidade de serviço anthropic-cmek-client-us nos aplicativos empresariais do Entra.

  3. Abrir a página Create a key

    Abra o seu cofre de chaves e selecione Keys. Clique em Generate/Import.

  4. Criar uma chave RSA no seu cofre

    Defina estes valores:

    • Name: um nome para a chave
    • Key type: RSA
    • RSA key size: 3072 ou maior

    Clique no link ao lado de Tags.

  5. Adicionar a tag da organização

    Insira estes valores:

    • Tag Name: anthropic-org-<ORGANIZATION_UUID>
    • Tag Value: true

    Clique em OK e, em seguida, clique em Create.

    Página Create a key do Azure Key Vault com RSA, tamanho de chave 3072 e a tag anthropic-org definida como true.

    Crie uma chave RSA de tamanho 3072 ou maior, com a tag anthropic-org-<ORGANIZATION_UUID> definida como true.

  6. Limitar as operações permitidas

    Abra a nova chave e, em seguida, abra a versão atual dela. Em Permitted operations, desmarque todas as caixas de seleção, exceto Wrap Key e Unwrap Key. Clique em Save.

    Versão de chave do Azure Key Vault com 1 tag e Permitted operations limitadas a Wrap Key e Unwrap Key.

    Restrinja as operações permitidas a Wrap Key e Unwrap Key. A versão da chave mostra a tag da organização.

  7. Abrir o controle de acesso da chave

    Abra a própria chave, não o cofre. Selecione a guia Access control (IAM) dela e clique em Add > Add role assignment.

  8. Selecionar a função

    Na guia Role, selecione Key Vault Crypto User. Clique em Next.

  9. Adicionar a entidade de serviço da Anthropic

    Na guia Members, clique em Select members. Pesquise por anthropic-cmek-client-us e selecione-a. Clique em Select e, em seguida, clique em Next.

  10. Revisar e atribuir

    Na guia Review + assign, clique em Review + assign.

Quem adicionar a chave no Claude precisa do URI do cofre, do nome da chave e do ID do locatário.

Adicionar a tag da organização a uma chave que você já tem

A verificação falha sem a tag da organização. A chave deve ser RSA, de 3072 bits ou maior.

Em vez de criar uma chave, execute este comando na Azure CLI ou no Cloud Shell. Ele limita a chave a wrapKey e unwrapKey. Ele também sobrescreve as tags da versão atual, portanto liste em --tags, no formato name=value, as que você quiser manter.

az keyvault key set-attributes \
  --vault-name <your-vault-name> \
  --name <your-key-name> \
  --ops wrapKey unwrapKey \
  --tags anthropic-org-<ORGANIZATION_UUID>=true

Você ainda precisa das etapas da entidade de serviço e da atribuição de função.

No Claude: adicionar e anexar a chave

Para automatizar esta parte no Claude Platform por meio de scripts, use a Admin API.

  1. Abra as configurações de chaves de criptografia

    No Claude Console, abra Encryption keys na página Data retention. Se a seção não estiver lá, selecione Organization no menu suspenso na parte superior.

  2. Adicionar a chave

    Em Encryption keys, clique em Add key. Insira um Display name, selecione Azure Key Vault e clique em Continue.

  3. Inserir os detalhes da chave

    Verifique se a sua chave tem a Organization tag mostrada na caixa de diálogo. Insira o Vault URI, o Key name e o Tenant ID, deixe o Client ID vazio e clique em Add.

  4. Verificar a chave

    Na lista Encryption keys, clique em Verify ao lado da chave. Connected aparece quando a verificação é bem-sucedida. Se Connection failed aparecer em vez disso, consulte Solucionar problemas do CMEK.

  5. Anexar a chave a um workspace

    1. No topo da página Data retention, selecione o workspace no menu suspenso.
    2. Em Encryption key, selecione a chave e clique em Save.
    3. Marque a caixa de seleção para confirmar que você leu a documentação do CMEK e, em seguida, clique em Confirm.

    Você verá Workspace settings updated. Assim que a chave entrar em vigor, o log de auditoria do seu provedor de nuvem mostrará as chamadas da Anthropic à sua chave.

    Em uma organização ZDR, depois de selecionar o workspace, selecione Standard data retention para que Encryption key apareça. Depois de clicar em Save, clique em Accept nos termos de retenção de dados.

Was this page helpful?