---
title: Configurar o CMEK com o Google Cloud KMS
url: https://platform.claude.com/docs/pt-BR/manage-claude/cmek-google-cloud-kms
description: Crie uma chave do Google Cloud KMS, conceda à Anthropic acesso à sua chave e coloque-a em uso no Claude Platform ou no Claude Enterprise.
---

Deixe o Claude Code configurar este recurso para você

```text
/claude-api me ajude a configurar uma chave de criptografia gerenciada pelo cliente com o Google Cloud KMS
```

## Antes de começar

No Claude:

* As chaves de criptografia gerenciadas pelo cliente (CMEK) estão [ativadas para sua organização](https://platform.claude.com/docs/pt-BR/manage-claude/cmek#availability).
* Você tem o ID da sua organização na Anthropic, o UUID sem o prefixo `org_`. Copie-o de [Organization](https://platform.claude.com/settings/organization) no Claude Console, ou de **Organization settings > Organization and access** no claude.ai. Quem criar a chave precisa dele.
* Você é Organization Admin no Claude Platform, ou Owner ou Primary Owner no Claude Enterprise.
* No Claude Platform, você tem um workspace que [retém dados](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-data-retention#data-retention), de preferência um novo, porque [os dados existentes permanecem sob a chave da Anthropic](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-how-it-works#when-your-key-takes-effect).
* No Claude Enterprise, você sabe [quais recursos são desativados ou mudam](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).

No Google Cloud:

* A API do Cloud KMS está ativada.
* Você pode criar key rings e chaves, e definir a política do IAM neles (`roles/cloudkms.admin` ou equivalente).
* Os [Data Access audit logs](https://docs.cloud.google.com/logging/docs/audit/configure-data-access) (Data Read e Data Write) do Cloud KMS estão ativados, para que o Cloud Logging registre o uso que a Anthropic faz da sua chave. Eles ficam desativados por padrão.
* Se a sua organização do Google Cloud aplica o compartilhamento restrito por domínio (`constraints/iam.allowedPolicyMemberDomains`), ele bloqueia a concessão à conta de serviço da Anthropic. Adicione uma exceção no nível do projeto ou permita o ID de cliente do Cloud Identity da Anthropic. Entre em contato com a Anthropic para obter o ID.

## No Google Cloud: crie a chave

Após uma falha em **Verify** ou **Add**, consulte as [correções para o Google Cloud KMS](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-troubleshooting#google-cloud-kms).

Estas etapas adicionam à chave um rótulo com o ID da sua organização da Anthropic em letras minúsculas (`<ORGANIZATION_UUID>`) e concedem acesso à conta de serviço da Anthropic:

```text wrap
anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com
```

Use somente este endereço, nunca um enviado por e-mail ou chat.

Para a menor latência, use `us-east5` ou `us-central1`. A Anthropic recomenda fortemente a proteção por HSM.

Para usar uma chave que você já tem, [adicione o rótulo da organização](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-google-cloud-kms#organization-label) primeiro.

<Tabs>
  <Tab title="Google Cloud Console">
    <Steps>
      <Step title="Crie ou escolha um key ring">
        No console do Google Cloud, acesse a página [Key management](https://console.cloud.google.com/security/kms). Abra um key ring em um local de região única dos EUA, como `us-east5`, ou crie um.
      </Step>

      <Step title="Configure a chave">
        Clique em **Create key** e insira um nome. Selecione estas opções:

        * **Protection level:** HSM
        * **Key material:** Generated key
        * **Purpose:** Symmetric encrypt/decrypt
        * **Algorithm:** Google symmetric key
      </Step>

      <Step title="Adicione o rótulo da organização">
        Clique em **Additional settings** e depois em **Add label**. Insira o rótulo da organização:

        * **Key 1:** `anthropic-org-<ORGANIZATION_UUID>`
        * **Value 1:** `true`

        Clique em **Create**.

        <Frame caption="Uma chave simétrica de criptografia/descriptografia protegida por HSM com o rótulo da organização.">
          ![Página Create key do Google Cloud KMS com proteção por HSM, criptografia/descriptografia simétrica e o rótulo anthropic-org definido como true.](https://platform.claude.com/docs/images/cmek/gcp-create-key-label.png)
        </Frame>
      </Step>

      <Step title="Abra as permissões da chave">
        Na página de detalhes do key ring, marque a caixa de seleção ao lado da chave. Abra o painel **Permissions** e clique em **Grant access**.
      </Step>

      <Step title="Conceda à conta de serviço da Anthropic acesso à chave">
        Verifique se **Resource** mostra a chave, e não o key ring ou o projeto. Insira estes valores:

        * **New principals:** `anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com`
        * **Role:** Cloud KMS CryptoKey Encrypter/Decrypter

        Clique em **Add another role** e selecione **Cloud KMS Viewer**. Clique em **Save**.

        <Frame caption="Conceda à conta de serviço da Anthropic as duas funções, com escopo na chave.">
          ![Caixa de diálogo Grant access com a conta de serviço da Anthropic atribuída às funções Cloud KMS CryptoKey Encrypter/Decrypter e Viewer.](https://platform.claude.com/docs/images/cmek/gcp-grant-access.png)
        </Frame>
      </Step>

      <Step title="Copie o nome completo do recurso da chave">
        Na página de detalhes do key ring, abra o menu **Actions** da chave e clique em **Copy resource name**.

        <Frame caption="Copie o nome completo do recurso da chave no menu de ações.">
          ![Detalhes do key ring do Google Cloud com a ação Copy resource name destacada no menu de ações da chave.](https://platform.claude.com/docs/images/cmek/gcp-copy-resource-name.png)
        </Frame>
      </Step>
    </Steps>
  </Tab>

  <Tab title="gcloud CLI">
    Em cada comando, substitua estes placeholders:

    * **`<your-project-id>`:** o ID do seu projeto do Google Cloud
    * **`<region>`:** o local da chave, como `us-east5`
    * **`<your-keyring-name>`:** o nome do key ring
    * **`<your-key-name>`:** o nome da chave
    * **`<ORGANIZATION_UUID>`:** o ID da sua organização da Anthropic em letras minúsculas

    <Steps>
      <Step title="Crie ou escolha um key ring">
        Pule esta etapa se você já tiver um key ring para reutilizar.

        ```bash
        gcloud kms keyrings create <your-keyring-name> \
          --project=<your-project-id> \
          --location=<region>
        ```
      </Step>

      <Step title="Crie a chave">
        ```bash
        gcloud kms keys create <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --purpose=encryption \
          --protection-level=hsm \
          --labels=anthropic-org-<ORGANIZATION_UUID>=true
        ```

        Para proteção por software, omita `--protection-level=hsm`.
      </Step>

      <Step title="Conceda à conta de serviço da Anthropic acesso à chave">
        Execute os dois comandos:

        ```bash
        gcloud kms keys add-iam-policy-binding <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
          --role=roles/cloudkms.cryptoKeyEncrypterDecrypter
        ```

        ```bash
        gcloud kms keys add-iam-policy-binding <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
          --role=roles/cloudkms.viewer
        ```
      </Step>

      <Step title="Obtenha o nome completo do recurso da chave">
        ```bash
        gcloud kms keys describe <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --format="value(name)"
        ```
      </Step>
    </Steps>
  </Tab>
</Tabs>

Quem adicionar a chave no Claude precisa do nome completo do recurso dela, neste formato:

```text wrap
projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>
```

### Adicione o rótulo da organização a uma chave que você já tem

A verificação falha a menos que a chave tenha o rótulo `anthropic-org-<ORGANIZATION_UUID>` definido como `true`, com o ID da sua organização da Anthropic em letras minúsculas. Para adicionar o rótulo, execute:

```bash
gcloud kms keys update <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name> \
  --update-labels=anthropic-org-<ORGANIZATION_UUID>=true
```

Os outros valores estão no nome completo do recurso da chave, e o comando mantém os rótulos existentes. Em seguida, vá direto para [as etapas que concedem acesso](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-google-cloud-kms#encryption-key-setup).

## No Claude: adicione e anexe a chave

Para automatizar esta parte com scripts no Claude Platform, [use a Admin API](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-admin-api).

<Tabs>
  <Tab title="Claude Platform">
    <Steps>
      <Step title="Abra as configurações de chaves de criptografia">
        No Claude Console, abra [Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys) na página Data retention. Se a seção não estiver lá, selecione **Organization** no menu suspenso na parte superior.
      </Step>

      <Step title="Adicione a chave">
        Em **Encryption keys**, clique em **Add key**. Insira um **Display name**, selecione **Google Cloud KMS** e clique em **Continue**.
      </Step>

      <Step title="Insira o nome do recurso da chave">
        Verifique se a sua chave tem o **Organization label** mostrado na caixa de diálogo. Cole o nome completo do recurso da chave em **Key resource name** e clique em **Add**.
      </Step>

      <Step title="Verificar a chave">
        Na lista **Encryption keys**, clique em **Verify** ao lado da chave. **Connected** aparece quando a verificação é bem-sucedida. Se **Connection failed** aparecer em vez disso, consulte [Solucionar problemas do CMEK](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-troubleshooting).
      </Step>

      <Step title="Anexe a chave a um workspace">
        <Warning>
          Anexar uma chave [não pode ser desfeito](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-key-lifecycle#what-each-action-does). Você não pode removê-la do workspace nem substituí-la. Se a chave for excluída, a Anthropic não poderá recuperar os dados que ela protege.
        </Warning>

        1. No topo da página Data retention, selecione o workspace no menu suspenso.
        2. Em **Encryption key**, selecione a chave e clique em **Save**.
        3. Marque a caixa de seleção para confirmar que você leu a documentação do CMEK e, em seguida, clique em **Confirm**.

        Você verá **Workspace settings updated.** Assim que a chave [entrar em vigor](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-how-it-works#when-your-key-takes-effect), o log de auditoria do seu provedor de nuvem mostrará as chamadas da Anthropic à sua chave.

        Em uma [organização ZDR](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-data-retention#zdr-organizations), depois de selecionar o workspace, selecione **Standard data retention** para que **Encryption key** apareça. Depois de clicar em **Save**, clique em **Accept** nos termos de retenção de dados.
      </Step>
    </Steps>
  </Tab>

  <Tab title="Claude Enterprise">
    No Claude Enterprise, o CMEK se aplica à organização inteira, e você pode adicionar apenas uma única chave.

    <Warning>
      Adicionar uma chave [não pode ser desfeito](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-key-lifecycle#what-each-action-does). Você não pode removê-la da organização nem substituí-la. Se a chave for excluída, a Anthropic não poderá recuperar os dados que ela protege.
    </Warning>

    Adicionar a chave [desativa ou altera alguns recursos](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) para todos os usuários. Para experimentar o CMEK primeiro, use uma organização separada.

    <Steps>
      <Step title="Abra as configurações de chave de criptografia">
        Acesse [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls) e encontre **Encryption keys**.
      </Step>

      <Step title="Adicione a chave">
        Clique em **Add key**. Insira um **Display name** e selecione **Google Cloud KMS**. Marque a caixa de seleção para confirmar que você leu a documentação do CMEK e, em seguida, clique em **Continue**.
      </Step>

      <Step title="Insira o nome do recurso da chave">
        Verifique se a sua chave tem o **Organization label** mostrado na caixa de diálogo. Cole o nome completo do recurso da chave em **Key resource name** e clique em **Add**.
      </Step>

      <Step title="Confirme que a chave foi adicionada">
        A verificação pode levar até 30 segundos. Quando **Encryption key configured.** aparecer, clique em **Done**. Se, em vez disso, aparecer **The encryption key couldn’t be added.**, [encontre a causa e tente novamente](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-troubleshooting#claude-ai-add-fails).

        Sua chave protege os dados gravados a partir de então. Informe aos seus usuários [quais recursos mudaram](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).
      </Step>
    </Steps>
  </Tab>
</Tabs>