Solucionar problemas do CMEK

Verify no Claude Console, Add no claude.ai e a chamada validate da Admin API executam todos a mesma verificação. Quando ela falha (Connection failed no Claude Console), consulte as causas para AWS KMS, Google Cloud KMS ou Azure Key Vault.

Se um recurso parou de funcionar, pode ser um daqueles que as "customer-managed encryption keys" (chaves de criptografia gerenciadas pelo cliente), ou CMEK, desativam. Consulte a lista do Claude Platform ou a lista do Claude Enterprise.

Se nada aqui se aplicar, entre em contato com a sua equipe de conta da Anthropic.

As solicitações falham após a configuração

cmek_key_disabled

Customer-managed encryption key is disabled or revoked. Re-enable the key to restore access.

Este erro 400 significa que o seu serviço de gerenciamento de chaves recusou a chamada da Anthropic. Verifique estas causas na ordem:

1. A chave está desativada.
2. O acesso da Anthropic à chave foi removido. A sua página de configuração mostra o acesso de que a Anthropic precisa.
3. No AWS KMS, a política de chave lista workspaces, mas não este.
4. No AWS KMS, uma condição de IP bloqueia os endereços IP de saída da Anthropic.

Corrija a causa. Dois limites se aplicam quando o acesso retorna.

cmek_key_network_blocked

The request to your key management service was blocked by its network access controls (for example, a KMS firewall or IP allowlist). Verify that your KMS network rules allow requests from Anthropic's published IP addresses, or contact Anthropic support if your configuration looks correct.

Este é um erro 400. A chave em si pode estar íntegra. Permita os endereços IP publicados da Anthropic nas regras de rede do seu serviço de gerenciamento de chaves.

cmek_key_unreachable

The workspace's customer-managed encryption key could not be reached. Try again shortly. If this continues, check that the key is available in your key management service, or contact Anthropic support.

Este erro 503 significa que a Anthropic não conseguiu alcançar a sua chave. Tente a solicitação novamente.

A verificação falha: AWS KMS

Para imprimir a política de chave, execute:

aws kms get-key-policy \
  --region <REGION> \
  --key-id <KEY_ARN> \
  --policy-name default

Uma chave que já protege dados

Se você estiver substituindo a política em uma chave que já protege dados, adicione esta declaração para que a Anthropic ainda possa descriptografar esses dados. Na condição dela, liste o ID de compartimento de cada workspace ao qual a chave está ou esteve anexada.

{
  "Sid": "AllowAnthropicCMEKDecryptExistingData",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
  },
  "Action": "kms:Decrypt",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
    }
  }
}

A verificação falha: Google Cloud KMS

Para verificar a concessão, execute:

gcloud kms keys get-iam-policy <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name>

A verificação falha: Azure Key Vault

Anexar falha no Claude Platform on AWS

O Claude Platform on AWS não tem uma etapa Verify, então um problema com a chave aparece quando você a anexa.

Se anexar ainda falhar, encontre o evento kms: negado no CloudTrail na conta da chave. Ele mostra o principal que fez a chamada e, para chamadas criptográficas, o contexto de criptografia. Corrija a causa e clique em Save novamente.

Anexar ou adicionar uma chave é recusado

O workspace não retém dados

CMEK keys can only be attached to workspaces in this organization that have inference data retention enabled.

A sua organização usa retenção zero de dados (ZDR), e uma chave precisa de um workspace que retenha dados. Primeiro, mude o workspace para Standard data retention.

O workspace não tem a configuração Encryption key

Apenas um workspace que retém dados tem essa configuração, então selecione primeiro Standard data retention para o workspace. O workspace padrão de uma organização ZDR não pode ser alterado, então use outro.

Não há a seção Encryption keys

No Claude Console, selecione Organization no menu suspenso na parte superior da página Data retention. Se a seção ainda estiver ausente, a sua função não a inclui ou o CMEK não está ativado para a sua organização. A sua equipe de conta da Anthropic ativa o CMEK.

O workspace já tem uma chave

This workspace already has a different external key attached.

A chave de um workspace não pode ser substituída, então crie um novo workspace para uma chave diferente.

Adicionar uma chave no claude.ai falha

The encryption key couldn’t be added.

A verificação da sua chave falhou. Encontre a causa para AWS KMS, Google Cloud KMS ou Azure Key Vault. Para tentar novamente, clique em Add key outra vez. A caixa de diálogo abre com os seus detalhes anteriores. Marque a caixa de seleção, clique em Continue e depois clique em Add.

Erros esperados no CloudTrail

No Claude Platform e no Claude Enterprise, a Anthropic verifica a chave sempre que você a verifica, a anexa a um workspace ou a visualiza no claude.ai. Cada verificação adiciona quatro erros esperados de acesso negado ao CloudTrail.

Para filtrá-los, faça a correspondência dos três valores:

• requestParameters.encryptionContext.associatedData: Y21lay12YWxpZGF0aW9u
• userIdentity.accountId: 915198916910
• resources.ARN: arn:aws:kms:<REGION>:<AWS_ACCOUNT_ID>:key/<KEY_ID>

O primeiro valor sozinho não é suficiente, porque qualquer chamador pode defini-lo.