Como o CMEK funciona
Como sua chave protege os dados armazenados, o que uma chave cobre, quando ela entra em vigor e o que você pode ver.
Sua chave empacota as chaves que criptografam seus dados
A Anthropic criptografa seus dados armazenados com chaves de dados. Com "customer-managed encryption keys" (chaves de criptografia gerenciadas pelo cliente), ou CMEK, sua chave criptografa, ou empacota, essas chaves de dados. Isso é criptografia de envelope. Para gravar ou ler dados, a Anthropic pede ao seu "key management service" (serviço de gerenciamento de chaves), ou KMS, que empacote ou desempacote uma chave de dados.
As chaves de dados transitam entre a Anthropic e sua nuvem. Sua chave nunca sai do seu KMS. Seus dados nunca vão para ele.
A Anthropic não mantém nenhuma cópia da sua chave; portanto, sem ela, o Claude não consegue ler os dados que ela protege.
O que uma chave protege
No Claude Platform e no Claude Platform on AWS, uma chave protege um workspace, e uma mesma chave pode atender a vários. No Claude Enterprise, uma chave protege a organização inteira, que só pode ter uma única chave. Quais dados sua chave protege depende do seu produto.
No Claude Platform e no Claude Enterprise, sua chave contém o ID da sua organização na Anthropic, o que associa a chave à sua organização. Dependendo do seu KMS, o ID fica em uma condição da política de chave, em um rótulo ou em uma tag. Uma chave sem o ID falha na verificação. Uma chave compartilhada entre organizações contém o ID de cada uma.
Uma política de chave do AWS KMS pode nomear workspaces pelos seus IDs de compartimento. Um ID de compartimento é o UUID que a Anthropic atribui a cada workspace para criptografia, não o ID do workspace que começa com wrkspc_.
Onde sua chave fica
Sua chave fica no AWS KMS, no Google Cloud KMS ou no Azure Key Vault. Seu provedor pode cobrar por ela.
No Claude Platform e no Claude Enterprise, o CMEK está disponível em regiões dos EUA, e a Anthropic processa todas as operações de criptografia lá. Cada página de configuração indica as regiões de menor latência.
Quando sua chave entra em vigor
Sua chave protege apenas os dados gravados depois que ela entra em vigor. Os dados existentes (chats, arquivos e sessões anteriores) permanecem sob a chave da Anthropic e não são criptografados novamente.
No Claude Platform e no Claude Platform on AWS, uma chave anexada a um workspace antes da primeira requisição dele entra em vigor com essa requisição. Em um workspace em uso, sua chave pode levar até um dia para entrar em vigor, e os dados gravados nesse meio-tempo permanecem sob a chave da Anthropic. É por isso que a Anthropic recomenda um novo workspace.
O que você pode ver
O log de auditoria da sua nuvem pode registrar cada operação que a Anthropic realiza com sua chave. Onde for necessário ativar esse registro em log, sua página de configuração o lista como pré-requisito. No AWS CloudTrail, algumas entradas são erros esperados.
As alterações na sua configuração de CMEK aparecem no Compliance API Activity Feed. As operações com a chave não aparecem.
Latência e padrões
Cada empacotamento ou desempacotamento é uma ida e volta ao seu KMS, o que pode adicionar um pouco de latência à leitura e à gravação de dados armazenados. Para padrões criptográficos como o FIPS, consulte o whitepaper de CMEK no Trust Center.
A seguir, leia o que cada ação de chave faz.
Was this page helpful?