Configurar o CMEK com o Google Cloud KMS
Crie uma chave do Google Cloud KMS, dê à Anthropic acesso a ela e coloque-a em uso no Claude Platform ou no Claude Enterprise.
Claude Code
Deixe o Claude Code configurar este recurso para você
/claude-api me ajude a configurar uma chave de criptografia gerenciada pelo cliente com o Google Cloud KMSAntes de começar
No Claude:
- As chaves de criptografia gerenciadas pelo cliente (CMEK) estão ativadas para sua organização.
- Você tem o ID da sua organização na Anthropic, o UUID sem o prefixo
org_. Copie-o de Organization no Claude Console, ou de Organization settings > Organization and access no claude.ai. Quem criar a chave precisa dele. - Você é Organization Admin no Claude Platform, ou Owner ou Primary Owner no Claude Enterprise.
- No Claude Platform, você tem um workspace que retém dados, de preferência um novo, porque os dados existentes permanecem sob a chave da Anthropic.
- No Claude Enterprise, você sabe quais recursos são desativados ou mudam.
No Google Cloud:
- A Cloud KMS API está ativada.
- Você pode criar key rings e chaves, e definir a política do IAM neles (
roles/cloudkms.adminou equivalente). - Os logs de auditoria de Data Access do Cloud KMS (Data Read e Data Write) estão ativados, para que o Cloud Logging registre o uso da sua chave pela Anthropic. Eles ficam desativados por padrão.
- Se a sua organização do Google Cloud aplica o compartilhamento restrito por domínio (
constraints/iam.allowedPolicyMemberDomains), ele bloqueia a concessão à conta de serviço da Anthropic. Adicione uma exceção no nível do projeto ou permita o ID de cliente do Cloud Identity da Anthropic. Entre em contato com a Anthropic para obter o ID.
No Google Cloud: criar a chave
Após uma falha em Verify ou Add, consulte as correções para o Google Cloud KMS.
Estas etapas rotulam a chave com o ID da sua organização da Anthropic em letras minúsculas (<ORGANIZATION_UUID>) e concedem acesso à conta de serviço da Anthropic:
anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.comUse somente este endereço, nunca um enviado por e-mail ou chat.
Você pode usar qualquer local do Cloud KMS. Para a menor latência, use us-east5 ou us-central1. A Anthropic recomenda fortemente a proteção por HSM.
Para usar uma chave que você já tem, adicione o rótulo da organização primeiro.
Criar ou escolher um key ring
No console do Google Cloud, acesse a página Key management. Abra um key ring ou crie um em um local como
us-east5.Configurar a chave
Clique em Create key e insira um nome. Selecione estas opções:
- Protection level: HSM
- Key material: Generated key
- Purpose: Symmetric encrypt/decrypt
- Algorithm: Google symmetric key
Adicionar o rótulo da organização
Clique em Additional settings e depois em Add label. Insira o rótulo da organização:
- Key 1:
anthropic-org-<ORGANIZATION_UUID> - Value 1:
true
Clique em Create.
Uma chave simétrica de criptografar/descriptografar protegida por HSM com o rótulo da organização. - Key 1:
Abrir as permissões da chave
Na página de detalhes do key ring, marque a caixa de seleção ao lado da chave. Abra o painel Permissions e clique em Grant access.
Conceder à conta de serviço da Anthropic acesso à chave
Verifique se Resource mostra a chave, e não o key ring ou o projeto. Insira estes valores:
- New principals:
anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com - Role: Cloud KMS CryptoKey Encrypter/Decrypter
Clique em Add another role e selecione Cloud KMS Viewer. Clique em Save.
Conceda à conta de serviço da Anthropic ambos os papéis, com escopo na chave. - New principals:
Copiar o nome completo do recurso da chave
Na página de detalhes do key ring, abra o menu Actions da chave e clique em Copy resource name.
Copie o nome completo do recurso da chave a partir do menu de ações.
Em cada comando, substitua estes placeholders:
<your-project-id>: o ID do seu projeto do Google Cloud<region>: o local da chave, comous-east5<your-keyring-name>: o nome do key ring<your-key-name>: o nome da chave<ORGANIZATION_UUID>: o ID da sua organização da Anthropic em letras minúsculas
Criar ou escolher um key ring
Pule esta etapa se você já tiver um key ring para reutilizar.
gcloud kms keyrings create <your-keyring-name> \ --project=<your-project-id> \ --location=<region>Criar a chave
gcloud kms keys create <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --purpose=encryption \ --protection-level=hsm \ --labels=anthropic-org-<ORGANIZATION_UUID>=truePara proteção por software, omita
--protection-level=hsm.Conceder à conta de serviço da Anthropic acesso à chave
Execute ambos os comandos:
gcloud kms keys add-iam-policy-binding <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \ --role=roles/cloudkms.cryptoKeyEncrypterDecryptergcloud kms keys add-iam-policy-binding <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \ --role=roles/cloudkms.viewerObter o nome completo do recurso da chave
gcloud kms keys describe <your-key-name> \ --project=<your-project-id> \ --location=<region> \ --keyring=<your-keyring-name> \ --format="value(name)"
Quem adicionar a chave no Claude precisa do nome completo do recurso dela, neste formato:
projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>Adicionar o rótulo da organização a uma chave que você já tem
A verificação falha a menos que a chave tenha o rótulo anthropic-org-<ORGANIZATION_UUID> definido como true, com o ID da sua organização da Anthropic em letras minúsculas. Para adicionar o rótulo, execute:
gcloud kms keys update <your-key-name> \
--project=<your-project-id> \
--location=<region> \
--keyring=<your-keyring-name> \
--update-labels=anthropic-org-<ORGANIZATION_UUID>=trueOs outros valores estão no nome completo do recurso da chave, e o comando mantém os rótulos existentes. Em seguida, pule para as etapas que concedem acesso.
No Claude: adicionar e anexar a chave
Para automatizar esta parte por script no Claude Platform, use a Admin API em vez disso.
Abra as configurações de chaves de criptografia
No Claude Console, abra Encryption keys na página Data retention. Se a seção não estiver lá, selecione Organization no menu suspenso na parte superior.
Adicionar a chave
Em Encryption keys, clique em Add key. Insira um Display name, selecione Google Cloud KMS e clique em Continue.
Inserir o nome do recurso da chave
Verifique se a sua chave tem o Organization label mostrado na caixa de diálogo. Cole o nome completo do recurso da chave em Key resource name e clique em Add.
Verificar a chave
Na lista Encryption keys, clique em Verify ao lado da chave. Connected aparece quando a verificação é bem-sucedida. Se Connection failed aparecer em vez disso, consulte Solucionar problemas do CMEK.
Anexar a chave a um workspace
- No topo da página Data retention, selecione o workspace no menu suspenso.
- Em Encryption key, selecione a chave e clique em Save.
- Marque a caixa de seleção para confirmar que você leu a documentação do CMEK e, em seguida, clique em Confirm.
Você verá Workspace settings updated. Assim que a chave entrar em vigor, o log de auditoria do seu provedor de nuvem mostrará as chamadas da Anthropic à sua chave.
Em uma organização ZDR, depois de selecionar o workspace, selecione Standard data retention para que Encryption key apareça. Depois de clicar em Save, clique em Accept nos termos de retenção de dados.
No Claude Enterprise, o CMEK se aplica à organização inteira, e você pode adicionar apenas uma única chave.
Adicionar a chave desativa ou altera alguns recursos para todos os usuários. Para experimentar o CMEK primeiro, use uma organização separada.
Abra as configurações de chave de criptografia
Acesse claude.ai > Organization settings > Data and privacy e encontre Encryption keys.
Adicionar a chave
Clique em Add key. Insira um Display name e selecione Google Cloud KMS. Marque a caixa de seleção para confirmar que você leu a documentação do CMEK e clique em Continue.
Inserir o nome do recurso da chave
Verifique se a sua chave tem o Organization label mostrado na caixa de diálogo. Cole o nome completo do recurso da chave em Key resource name e clique em Add.
Confirme que a chave foi adicionada
A verificação pode levar até 30 segundos. Quando Encryption key configured. aparecer, clique em Done. Se, em vez disso, aparecer The encryption key couldn’t be added., encontre a causa e tente novamente.
Sua chave protege os dados gravados a partir de então. Informe aos seus usuários quais recursos mudaram.
Was this page helpful?