Configurar CMEK no Claude Platform on AWS

Este guia mostra como usar uma chave do AWS KMS como uma chave de criptografia gerenciada pelo cliente (CMEK) no Claude Platform on AWS. Para o Claude Platform ou o Claude Enterprise, siga Configurar o AWS KMS para CMEK em vez disso.

Pré-requisitos

• A conta AWS que hospeda sua organização Claude Platform on AWS, com permissões para criar chaves KMS e definir políticas de chave (kms:CreateKey e kms:PutKeyPolicy).

• Para criar a chave pela linha de comando, a AWS CLI instalada e autenticada.

• A função Admin no Claude Console para Claude Platform on AWS. Consulte Usando o Claude Console.

• Estas permissões para o principal IAM com o qual você faz login no Claude Console:

  • Fazer login: aws-external-anthropic:AssumeConsole
  • Registrar uma chave: aws-external-anthropic:RegisterKey
  • Visualizar chaves registradas: aws-external-anthropic:ListKeys e aws-external-anthropic:GetKey
  • Anexar uma chave: aws-external-anthropic:UpdateWorkspace ou aws-external-anthropic:CreateWorkspace, além de kms:DescribeKey, kms:Encrypt e kms:Decrypt na chave
  • Escolher a chave em uma lista (opcional): kms:ListKeys e kms:DescribeKey

  aws-external-anthropic:RegisterKey, aws-external-anthropic:ListKeys, aws-external-anthropic:GetKey e aws-external-anthropic:CreateWorkspace têm escopo de conta. Conceda-as em Resource: "*". Consulte Ações do IAM.

Principal de serviço da AWS para a Anthropic

A política de chave deste guia concede ao seguinte principal de serviço da AWS acesso à sua chave:

aws-external-anthropic.amazonaws.com

Configuração da chave de criptografia

Preparar a política de chave

Copie esta política para um editor de texto:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AccountRootAdmin",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<AWS_ACCOUNT_ID>:root"
      },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "AllowClaudePlatformOnAWSCrypto",
      "Effect": "Allow",
      "Principal": {
        "Service": "aws-external-anthropic.amazonaws.com"
      },
      "Action": ["kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKey"],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
        }
      }
    },
    {
      "Sid": "AllowClaudePlatformOnAWSDescribe",
      "Effect": "Allow",
      "Principal": {
        "Service": "aws-external-anthropic.amazonaws.com"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    }
  ]
}

A condição EncryptionContext é opcional. Ela limita a chave aos workspaces que você listar. Para removê-la, exclua o bloco Condition da declaração AllowClaudePlatformOnAWSCrypto.

Se você mantiver a condição, adicione o ID de compartimento de cada workspace antes de anexar a chave a ele. Para um novo workspace:

1. Crie o workspace sem a chave.
2. Adicione o ID de compartimento dele à política.
3. Anexe a chave.

Se você adicionar a condição posteriormente, liste o ID de compartimento de cada workspace ao qual a chave já está anexada.

Para limitar ainda mais a política de chave, consulte a condição opcional aws:SourceArn.

Substitua os placeholders:

• <AWS_ACCOUNT_ID>: o ID da sua conta AWS. Para exibi-lo com a AWS CLI, execute aws sts get-caller-identity --query Account --output text.
• <COMPARTMENT_UUID>: o ID de compartimento do workspace ao qual você anexa a chave

Criar a chave

Crie a chave na conta AWS que hospeda sua organização Claude Platform on AWS, na mesma região do workspace.

aws kms create-key \
  --region <REGION> \
  --description "Anthropic CMEK" \
  --key-usage ENCRYPT_DECRYPT \
  --policy file://key-policy.json

Registrar a chave com a Anthropic

Faça login no Claude Console pela AWS com a função Admin.

1. 1

   Abra as configurações de chave de criptografia

   No Claude Console, acesse a página Data retention (platform.claude.com/settings/privacy). Se você não vir Encryption keys, selecione Organization no menu suspenso no topo da página.

2. 2

   Adicione a chave

   Em Encryption keys, clique em Add key. Insira um Display name.

3. 3

   Insira o ARN da chave

   A Anthropic rejeita ARNs de alias e chaves multirregionais.

   Em KMS key ARN, cole o ARN da chave. Se, em vez disso, aparecer uma lista de chaves, selecione sua chave ou clique em Enter ARN manually e cole o ARN. Clique em Add.

4. 4

   Anexe a chave a um workspace

   Anexar uma chave não pode ser desfeito. Se possível, anexe-a a um novo workspace antes que esse workspace receba quaisquer solicitações. Em um workspace que já recebe solicitações, a chave pode levar até um dia para entrar em vigor.

   Na página Data retention, selecione o workspace no menu suspenso no topo da página. Em Encryption key, selecione a chave e clique em Save.

5. 5

   Confirme a alteração

   Marque a caixa de seleção para confirmar que você leu a documentação de CMEK e, em seguida, clique em Confirm.

A anexação valida a chave. Se a anexação falhar com um erro de acesso KMS, consulte Solucionar problemas de validação.

Você também pode selecionar uma chave ao criar um workspace no Claude Console, se sua política de chave não tiver uma condição EncryptionContext.

Para registrar e anexar chaves com a API em vez disso, consulte Ações do IAM. A API identifica uma chave por seu ARN de chave KMS.

Solucionar problemas de validação

Se a validação falhar, as causas comuns são:

• Incompatibilidade de política de chave: Certifique-se de que a política de chave corresponda à de Preparar a política de chave. Para verificar a política de chave, execute aws kms get-key-policy --region <REGION> --key-id <KEY_ARN> --policy-name default.
• Incompatibilidade de condição: Certifique-se de que qualquer condição EncryptionContext ou aws:SourceArn inclua este workspace.
• Estado ou localização da chave: Confirme que a chave está habilitada, é de região única e está na mesma conta e região AWS do workspace.
• Permissões ausentes: O principal com o qual você está conectado precisa de kms:DescribeKey, kms:Encrypt e kms:Decrypt na chave.
• Políticas da organização: Certifique-se de que nenhuma política de controle de serviço ou política de controle de recursos em sua organização AWS bloqueie o principal de serviço ou seu principal.

Se a anexação ainda falhar, encontre o evento kms: negado no CloudTrail na conta da chave. Ele mostra o principal chamador e, para chamadas criptográficas, o contexto de criptografia. Depois de corrigir a causa, clique em Save novamente.

Terraform

Para criar a chave com o Terraform, use os recursos aws_kms_key e aws_kms_alias do provedor aws.