---
title: Configurar CMEK no Claude Platform on AWS
url: https://platform.claude.com/docs/pt-BR/manage-claude/cmek-claude-platform-on-aws
description: Use uma chave do AWS KMS como chave de criptografia gerenciada pelo cliente no Claude Platform on AWS.
---
Este guia mostra como usar uma chave do [AWS KMS](https://aws.amazon.com/kms/) como uma [chave de criptografia gerenciada pelo cliente (CMEK)](https://platform.claude.com/docs/pt-BR/manage-claude/cmek) no [Claude Platform on AWS](https://platform.claude.com/docs/pt-BR/build-with-claude/claude-platform-on-aws). Para o Claude Platform ou o Claude Enterprise, siga [Configurar o AWS KMS para CMEK](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-aws-kms) em vez disso.
Habilitar o CMEK é permanente. Se sua chave KMS for excluída ou desabilitada, a Anthropic não poderá recuperar os dados criptografados com ela. Revise os [avisos e limitações](https://platform.claude.com/docs/pt-BR/manage-claude/cmek) antes de começar.
## Pré-requisitos
* A conta AWS que hospeda sua organização Claude Platform on AWS, com permissões para criar chaves KMS e definir políticas de chave (`kms:CreateKey` e `kms:PutKeyPolicy`).
* Para criar a chave pela linha de comando, a [AWS CLI](https://aws.amazon.com/cli/) instalada e autenticada.
* A função **Admin** no Claude Console para Claude Platform on AWS. Consulte [Usando o Claude Console](https://platform.claude.com/docs/pt-BR/build-with-claude/claude-platform-on-aws#using-the-claude-console).
* Estas permissões para o principal IAM com o qual você faz login no Claude Console:
* **Fazer login:** `aws-external-anthropic:AssumeConsole`
* **Registrar uma chave:** `aws-external-anthropic:RegisterKey`
* **Visualizar chaves registradas:** `aws-external-anthropic:ListKeys` e `aws-external-anthropic:GetKey`
* **Anexar uma chave:** `aws-external-anthropic:UpdateWorkspace` ou `aws-external-anthropic:CreateWorkspace`, além de `kms:DescribeKey`, `kms:Encrypt` e `kms:Decrypt` na chave
* **Escolher a chave em uma lista (opcional):** `kms:ListKeys` e `kms:DescribeKey`
`aws-external-anthropic:RegisterKey`, `aws-external-anthropic:ListKeys`, `aws-external-anthropic:GetKey` e `aws-external-anthropic:CreateWorkspace` têm escopo de conta. Conceda-as em `Resource: "*"`. Consulte [Ações do IAM](https://platform.claude.com/docs/pt-BR/api/claude-platform-on-aws-iam-actions#encryption-keys).
## Principal de serviço da AWS para a Anthropic
A política de chave deste guia concede ao seguinte principal de serviço da AWS acesso à sua chave:
```text wrap
aws-external-anthropic.amazonaws.com
```
Use apenas este nome de principal de serviço publicado. Nunca confie em um identificador fornecido por e-mail, chat ou qualquer canal de integração.
## Configuração da chave de criptografia
### Preparar a política de chave
Copie esta política para um editor de texto:
```json key-policy.json
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AccountRootAdmin",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam:::root"
},
"Action": "kms:*",
"Resource": "*"
},
{
"Sid": "AllowClaudePlatformOnAWSCrypto",
"Effect": "Allow",
"Principal": {
"Service": "aws-external-anthropic.amazonaws.com"
},
"Action": ["kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKey"],
"Resource": "*",
"Condition": {
"StringEquals": {
"kms:EncryptionContext:anthropic:compartment_uuid": [""]
}
}
},
{
"Sid": "AllowClaudePlatformOnAWSDescribe",
"Effect": "Allow",
"Principal": {
"Service": "aws-external-anthropic.amazonaws.com"
},
"Action": "kms:DescribeKey",
"Resource": "*"
}
]
}
```
A condição `EncryptionContext` é opcional. Ela limita a chave aos workspaces que você listar. Para removê-la, exclua o bloco `Condition` da declaração `AllowClaudePlatformOnAWSCrypto`.
Se você mantiver a condição, adicione o ID de compartimento de cada workspace antes de anexar a chave a ele. Para um novo workspace:
1. Crie o workspace sem a chave.
2. Adicione o ID de compartimento dele à política.
3. Anexe a chave.
Se você adicionar a condição posteriormente, liste o ID de compartimento de cada workspace ao qual a chave já está anexada.
Para limitar ainda mais a política de chave, consulte a [condição opcional `aws:SourceArn`](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-claude-platform-on-aws#source-arn-condition).
Substitua os placeholders:
* **``:** o [ID da sua conta AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/console-account-id.html). Para exibi-lo com a AWS CLI, execute `aws sts get-caller-identity --query Account --output text`.
* **``:** o ID de compartimento do workspace ao qual você anexa a chave
**Encontrar o ID do seu compartimento:** No Claude Console, acesse a página [Data retention](https://platform.claude.com/settings/privacy) (`platform.claude.com/settings/privacy`). Selecione o workspace no menu suspenso no topo da página. O ID fica em **Encryption key**, no campo **Compartment ID**. Você também pode ler o campo `compartment_id` retornado pelo endpoint [Get Workspace](https://platform.claude.com/docs/pt-BR/api/organization/workspaces/retrieve).
### Criar a chave
Crie a chave na conta AWS que hospeda sua organização Claude Platform on AWS, na mesma região do workspace.
Abra o [console do AWS KMS](https://console.aws.amazon.com/kms) e mude para a região da chave. Vá para **Customer managed keys** e clique em **Create key**.
Certifique-se de que estas opções estejam selecionadas:
* **Key type:** Symmetric
* **Key usage:** Encrypt and decrypt
* **Advanced options > Key material origin:** KMS
* **Advanced options > Regionality:** Single-Region key
Clique em **Next**.
Insira um **Alias** para a chave, como `anthropic-cmek`. Clique em **Next**.
Não selecione nenhum administrador de chave. Sua política de chave já concede à sua conta AWS controle administrativo total. Clique em **Next**.
Não selecione nenhum usuário de chave e não adicione nada em **Other AWS accounts**. Sua política de chave já concede o acesso necessário. Clique em **Next**.
Clique em **Edit**. Substitua a política inteira pela sua política de chave e, em seguida, clique em **Next**.
Clique em **Finish**.
Em **Customer managed keys**, abra a nova chave e copie seu ARN. Você precisa do ARN para registrar a chave.
Para substituir a política de chave em uma chave que já existe:
1. Abra a chave e clique na aba **Key policy**.
2. Se você vir **Switch to policy view**, clique nele.
3. Clique em **Edit**.
4. Substitua o JSON pela sua política de chave.
5. Clique em **Save changes**.
Salve sua política de chave como `key-policy.json` e, em seguida, crie a chave. Substitua `` pela região da chave.
```bash
aws kms create-key \
--region \
--description "Anthropic CMEK" \
--key-usage ENCRYPT_DECRYPT \
--policy file://key-policy.json
```
Copie `KeyMetadata.Arn` da saída. Você precisa dele para registrar a chave.
**Opcional:** Para limitar ainda mais as duas declarações do principal de serviço, adicione uma condição `aws:SourceArn` a cada uma. O ARN de origem em cada chamada é o [ARN do workspace](https://platform.claude.com/docs/pt-BR/api/claude-platform-on-aws-iam-actions#service-details), no formato `arn:aws:aws-external-anthropic:::workspace/`.
* **Todos os workspaces na sua conta AWS:** `"ArnLike": {"aws:SourceArn": "arn:aws:aws-external-anthropic:*::workspace/*"}`
* **Workspaces específicos:** a mesma condição, com uma lista de ARNs completos de workspaces em vez do curinga
## Registrar a chave com a Anthropic
Faça login no Claude Console pela AWS com a função Admin.
No Claude Console, acesse a página [Data retention](https://platform.claude.com/settings/privacy#encryption-keys) (`platform.claude.com/settings/privacy`). Se você não vir **Encryption keys**, selecione **Organization** no menu suspenso no topo da página.
Em **Encryption keys**, clique em **Add key**. Insira um **Display name**.
A Anthropic rejeita ARNs de alias e chaves multirregionais.
Em **KMS key ARN**, cole o ARN da chave. Se, em vez disso, aparecer uma lista de chaves, selecione sua chave ou clique em **Enter ARN manually** e cole o ARN. Clique em **Add**.
Anexar uma chave não pode ser desfeito. Se possível, anexe-a a um novo workspace antes que esse workspace receba quaisquer solicitações. Em um workspace que já recebe solicitações, a chave pode levar [até um dia para entrar em vigor](https://platform.claude.com/docs/pt-BR/manage-claude/cmek#how-it-works).
Na página Data retention, selecione o workspace no menu suspenso no topo da página. Em **Encryption key**, selecione a chave e clique em **Save**.
Marque a caixa de seleção para confirmar que você leu a documentação de CMEK e, em seguida, clique em **Confirm**.
A anexação valida a chave. Se a anexação falhar com um erro de acesso KMS, consulte [Solucionar problemas de validação](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-claude-platform-on-aws#troubleshoot-validation).
Você também pode selecionar uma chave ao criar um workspace no Claude Console, se sua política de chave não tiver uma condição `EncryptionContext`.
Para registrar e anexar chaves com a API em vez disso, consulte [Ações do IAM](https://platform.claude.com/docs/pt-BR/api/claude-platform-on-aws-iam-actions#encryption-keys). A API identifica uma chave por seu ARN de chave KMS.
## Solucionar problemas de validação
Se a validação falhar, as causas comuns são:
* **Incompatibilidade de política de chave:** Certifique-se de que a política de chave corresponda à de [Preparar a política de chave](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-claude-platform-on-aws#prepare-the-key-policy). Para verificar a política de chave, execute `aws kms get-key-policy --region --key-id --policy-name default`.
* **Incompatibilidade de condição:** Certifique-se de que qualquer condição `EncryptionContext` ou `aws:SourceArn` inclua este workspace.
* **Estado ou localização da chave:** Confirme que a chave está habilitada, é de região única e está na mesma conta e região AWS do workspace.
* **Permissões ausentes:** O principal com o qual você está conectado precisa de `kms:DescribeKey`, `kms:Encrypt` e `kms:Decrypt` na chave.
* **Políticas da organização:** Certifique-se de que nenhuma política de controle de serviço ou política de controle de recursos em sua organização AWS bloqueie o principal de serviço ou seu principal.
Se a anexação ainda falhar, encontre o evento `kms:` negado no CloudTrail na conta da chave. Ele mostra o principal chamador e, para chamadas criptográficas, o contexto de criptografia. Depois de corrigir a causa, clique em **Save** novamente.
## Terraform
Para criar a chave com o Terraform, use os recursos `aws_kms_key` e `aws_kms_alias` do provedor `aws`.