---
title: Configurar o CMEK com o Azure Key Vault
url: https://platform.claude.com/docs/pt-BR/manage-claude/cmek-azure-key-vault
description: Crie uma chave no Azure Key Vault, conceda à Anthropic acesso a ela e coloque-a em uso no Claude Platform ou no Claude Enterprise.
---

Deixe o Claude Code configurar este recurso para você

```text
/claude-api me ajude a configurar uma chave de criptografia gerenciada pelo cliente com o Azure Key Vault
```

## Antes de começar

No Claude:

* As chaves de criptografia gerenciadas pelo cliente (CMEK) estão [ativadas para sua organização](https://platform.claude.com/docs/pt-BR/manage-claude/cmek#availability).
* Você tem o ID da sua organização na Anthropic, o UUID sem o prefixo `org_`. Copie-o de [Organization](https://platform.claude.com/settings/organization) no Claude Console, ou de **Organization settings > Organization and access** no claude.ai. Quem criar a chave precisa dele.
* Você é Organization Admin no Claude Platform, ou Owner ou Primary Owner no Claude Enterprise.
* No Claude Platform, você tem um workspace que [retém dados](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-data-retention#data-retention), de preferência um novo, porque [os dados existentes permanecem sob a chave da Anthropic](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-how-it-works#when-your-key-takes-effect).
* No Claude Enterprise, você sabe [quais recursos são desativados ou mudam](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).

No Azure:

* Você pode criar chaves no seu cofre de chaves e atribuir funções RBAC nele.
* Você pode criar entidades de serviço no seu locatário do Entra (Application Administrator, Cloud Application Administrator ou uma função personalizada equivalente).
* O cofre tem uma configuração de diagnóstico para a categoria de log `AuditEvent`. Sem ela, as operações que a Anthropic realiza com a sua chave não deixam trilha de auditoria.

## No Azure: criar a chave

Após uma falha em **Verify** ou **Add**, consulte as [correções para o Azure Key Vault](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-troubleshooting#azure-key-vault).

Estas etapas concedem ao aplicativo multilocatário da Anthropic acesso à sua chave:

* **Nome:** `anthropic-cmek-client-us`
* **ID do cliente:** `8635ae1a-3e5d-44e8-a4ed-e0f614466f87`

Use somente este ID do cliente e este nome, nunca os enviados por e-mail ou chat. O aplicativo não solicita nenhuma permissão do Microsoft Graph.

### Verificar o cofre

Para a menor latência, use um cofre em `northcentralus` ou `eastus2`. Execute isto primeiro, na Azure CLI ou no Cloud Shell:

```bash
az keyvault show --name <your-vault-name> \
  --query "{rbac:properties.enableRbacAuthorization, purge:properties.enablePurgeProtection, pub:properties.publicNetworkAccess, net:properties.networkAcls.defaultAction, ipRules:properties.networkAcls.ipRules, uri:properties.vaultUri, tenantId:properties.tenantId}"
```

| Campo   | Deve ser                                                                                                                                                       |
| ------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `rbac`  | `true`                                                                                                                                                         |
| `purge` | `true`. Se for `false` ou `null`, ative primeiro a proteção contra limpeza. Não é possível desativá-la depois.                                                 |
| `pub`   | `"Enabled"`. Pontos de extremidade privados não são suportados.                                                                                                |
| `net`   | `"Allow"`, ou `"Deny"` com os [endereços IP de saída da Anthropic](https://platform.claude.com/docs/pt-BR/api/ip-addresses#outbound-ip-addresses) em `ipRules` |

Copie `uri` (o URI do cofre) e `tenantId`.

### Criar a chave e conceder acesso

Nesta página, `<ORGANIZATION_UUID>` é o seu [ID da organização da Anthropic](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-azure-key-vault#prerequisites) em letras minúsculas. Para usar uma chave que você já tem, [adicione primeiro a tag da organização](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-azure-key-vault#organization-tag).

<Tabs>
  <Tab title="Portal do Azure">
    <Steps>
      <Step title="Criar a entidade de serviço da Anthropic">
        Abra o Cloud Shell na barra de navegação superior do portal. Execute este comando:

        ```bash
        az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87
        ```

        Se a entidade de serviço já existir, continue para a próxima etapa.
      </Step>

      <Step title="Confirmar que a entidade de serviço existe">
        Acesse **Microsoft Entra ID > Enterprise applications** e limpe o filtro padrão de tipo de aplicativo. Pesquise por `anthropic-cmek-client-us`.

        <Frame caption="A entidade de serviço anthropic-cmek-client-us nos aplicativos empresariais do Entra.">
          ![Visão geral do aplicativo empresarial do Microsoft Entra para anthropic-cmek-client-us, mostrando seu Application ID e Object ID.](https://platform.claude.com/docs/images/cmek/azure-service-principal.png)
        </Frame>
      </Step>

      <Step title="Abrir a página Create a key">
        Abra o seu cofre de chaves e selecione **Keys**. Clique em **Generate/Import**.
      </Step>

      <Step title="Criar uma chave RSA no seu cofre">
        Defina estes valores:

        * **Name:** um nome para a chave
        * **Key type:** RSA
        * **RSA key size:** 3072 ou maior

        Clique no link ao lado de **Tags**.
      </Step>

      <Step title="Adicionar a tag da organização">
        Insira estes valores:

        * **Tag Name:** `anthropic-org-<ORGANIZATION_UUID>`
        * **Tag Value:** `true`

        Clique em **OK** e, em seguida, clique em **Create**.

        <Frame caption="Crie uma chave RSA de tamanho 3072 ou maior, com a tag anthropic-org-<ORGANIZATION_UUID> definida como true.">
          ![Página Create a key do Azure Key Vault com RSA, tamanho de chave 3072 e a tag anthropic-org definida como true.](https://platform.claude.com/docs/images/cmek/azure-create-key-tag.png)
        </Frame>
      </Step>

      <Step title="Limitar as operações permitidas">
        Abra a nova chave e, em seguida, abra a versão atual dela. Em **Permitted operations**, desmarque todas as caixas de seleção, exceto **Wrap Key** e **Unwrap Key**. Clique em **Save**.

        <Frame caption="Restrinja as operações permitidas a Wrap Key e Unwrap Key. A versão da chave mostra a tag da organização.">
          ![Versão de chave do Azure Key Vault com 1 tag e Permitted operations limitadas a Wrap Key e Unwrap Key.](https://platform.claude.com/docs/images/cmek/azure-permitted-operations-tag.png)
        </Frame>
      </Step>

      <Step title="Abrir o controle de acesso da chave">
        Abra a própria chave, não o cofre. Selecione a guia **Access control (IAM)** dela e clique em **Add > Add role assignment**.
      </Step>

      <Step title="Selecionar a função">
        Na guia **Role**, selecione **Key Vault Crypto User**. Clique em **Next**.
      </Step>

      <Step title="Adicionar a entidade de serviço da Anthropic">
        Na guia **Members**, clique em **Select members**. Pesquise por `anthropic-cmek-client-us` e selecione-a. Clique em **Select** e, em seguida, clique em **Next**.
      </Step>

      <Step title="Revisar e atribuir">
        Na guia **Review + assign**, clique em **Review + assign**.
      </Step>
    </Steps>
  </Tab>

  <Tab title="Azure CLI">
    <Steps>
      <Step title="Criar a entidade de serviço da Anthropic">
        ```bash
        az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87
        ```

        Copie o campo `id` da saída.

        Se o comando terminar com um erro "already exists", obtenha o `id` com este comando:

        ```bash
        az ad sp show --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87 --query id -o tsv
        ```
      </Step>

      <Step title="Criar uma chave RSA no seu cofre">
        ```bash
        az keyvault key create \
          --vault-name <your-vault-name> \
          --name <your-key-name> \
          --kty RSA --size 3072 \
          --ops wrapKey unwrapKey \
          --tags anthropic-org-<ORGANIZATION_UUID>=true
        ```

        Substitua os placeholders:

        * **`<your-vault-name>`:** o nome do seu cofre de chaves
        * **`<your-key-name>`:** um nome para a chave
        * **`<ORGANIZATION_UUID>`:** o seu ID da organização da Anthropic em letras minúsculas

        Para uma chave baseada em HSM, use `--kty RSA-HSM`.
      </Step>

      <Step title="Conceder à entidade de serviço da Anthropic acesso à sua chave">
        ```bash
        VAULT_ID=$(az keyvault show --name <your-vault-name> --query id -o tsv)

        az role assignment create \
          --role "Key Vault Crypto User" \
          --assignee-object-id <sp-object-id> \
          --assignee-principal-type ServicePrincipal \
          --scope "${VAULT_ID}/keys/<your-key-name>"
        ```

        Substitua os placeholders:

        * **`<your-vault-name>`:** o nome do seu cofre de chaves
        * **`<sp-object-id>`:** o valor `id` da primeira etapa
        * **`<your-key-name>`:** o nome da chave
      </Step>
    </Steps>
  </Tab>
</Tabs>

Quem adicionar a chave no Claude precisa do URI do cofre, do nome da chave e do ID do locatário.

### Adicionar a tag da organização a uma chave que você já tem

A verificação falha sem a tag da organização. A chave deve ser RSA, de 3072 bits ou maior.

Em vez de criar uma chave, execute este comando na Azure CLI ou no Cloud Shell. Ele limita a chave a `wrapKey` e `unwrapKey`. Ele também sobrescreve as tags da versão atual, portanto liste em `--tags`, no formato `name=value`, as que você quiser manter.

```bash
az keyvault key set-attributes \
  --vault-name <your-vault-name> \
  --name <your-key-name> \
  --ops wrapKey unwrapKey \
  --tags anthropic-org-<ORGANIZATION_UUID>=true
```

Você ainda precisa das etapas da entidade de serviço e da atribuição de função.

## No Claude: adicionar e anexar a chave

Para automatizar esta parte no Claude Platform por meio de scripts, [use a Admin API](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-admin-api).

<Tabs>
  <Tab title="Claude Platform">
    <Steps>
      <Step title="Abra as configurações de chaves de criptografia">
        No Claude Console, abra [Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys) na página Data retention. Se a seção não estiver lá, selecione **Organization** no menu suspenso na parte superior.
      </Step>

      <Step title="Adicionar a chave">
        Em **Encryption keys**, clique em **Add key**. Insira um **Display name**, selecione **Azure Key Vault** e clique em **Continue**.
      </Step>

      <Step title="Inserir os detalhes da chave">
        Verifique se a sua chave tem a **Organization tag** mostrada na caixa de diálogo. Insira o **Vault URI**, o **Key name** e o **Tenant ID**, deixe o **Client ID** vazio e clique em **Add**.
      </Step>

      <Step title="Verificar a chave">
        Na lista **Encryption keys**, clique em **Verify** ao lado da chave. **Connected** aparece quando a verificação é bem-sucedida. Se **Connection failed** aparecer em vez disso, consulte [Solucionar problemas do CMEK](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-troubleshooting).
      </Step>

      <Step title="Anexar a chave a um workspace">
        <Warning>
          Anexar uma chave [não pode ser desfeito](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-key-lifecycle#what-each-action-does). Você não pode removê-la do workspace nem substituí-la. Se a chave for excluída, a Anthropic não poderá recuperar os dados que ela protege.
        </Warning>

        1. No topo da página Data retention, selecione o workspace no menu suspenso.
        2. Em **Encryption key**, selecione a chave e clique em **Save**.
        3. Marque a caixa de seleção para confirmar que você leu a documentação do CMEK e, em seguida, clique em **Confirm**.

        Você verá **Workspace settings updated.** Assim que a chave [entrar em vigor](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-how-it-works#when-your-key-takes-effect), o log de auditoria do seu provedor de nuvem mostrará as chamadas da Anthropic à sua chave.

        Em uma [organização ZDR](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-data-retention#zdr-organizations), depois de selecionar o workspace, selecione **Standard data retention** para que **Encryption key** apareça. Depois de clicar em **Save**, clique em **Accept** nos termos de retenção de dados.
      </Step>
    </Steps>
  </Tab>

  <Tab title="Claude Enterprise">
    No Claude Enterprise, o CMEK se aplica à organização inteira, e você pode adicionar apenas uma única chave.

    <Warning>
      Adicionar uma chave [não pode ser desfeito](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-key-lifecycle#what-each-action-does). Você não pode removê-la da organização nem substituí-la. Se a chave for excluída, a Anthropic não poderá recuperar os dados que ela protege.
    </Warning>

    Adicionar a chave [desativa ou altera alguns recursos](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) para todos os usuários. Para experimentar o CMEK primeiro, use uma organização separada.

    <Steps>
      <Step title="Abra as configurações de chave de criptografia">
        Acesse [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls) e encontre **Encryption keys**.
      </Step>

      <Step title="Adicionar a chave">
        Clique em **Add key**. Insira um **Display name** e selecione **Azure Key Vault**. Marque a caixa de seleção para confirmar que você leu a documentação do CMEK e, em seguida, clique em **Continue**.
      </Step>

      <Step title="Inserir os detalhes da chave">
        Verifique se a sua chave tem a **Organization tag** mostrada na caixa de diálogo. Insira o **Vault URI**, o **Key name** e o **Tenant ID**, deixe o **Client ID** vazio e clique em **Add**.
      </Step>

      <Step title="Confirme que a chave foi adicionada">
        A verificação pode levar até 30 segundos. Quando **Encryption key configured.** aparecer, clique em **Done**. Se, em vez disso, aparecer **The encryption key couldn’t be added.**, [encontre a causa e tente novamente](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-troubleshooting#claude-ai-add-fails).

        Sua chave protege os dados gravados a partir de então. Informe aos seus usuários [quais recursos mudaram](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).
      </Step>
    </Steps>
  </Tab>
</Tabs>