--- title: Solucionar problemas do CMEK url: https://platform.claude.com/docs/pt-BR/manage-claude/cmek-troubleshooting description: Encontre a causa e a correção para uma mensagem de erro do CMEK, uma verificação com falha ou uma entrada de log inesperada. --- **Verify** no Claude Console, **Add** no claude.ai e a chamada validate da Admin API executam todos a mesma verificação. Quando ela falha (**Connection failed** no Claude Console), consulte as causas para [AWS KMS](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-troubleshooting#aws-kms), [Google Cloud KMS](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-troubleshooting#google-cloud-kms) ou [Azure Key Vault](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-troubleshooting#azure-key-vault). Se um recurso parou de funcionar, pode ser um daqueles que as "customer-managed encryption keys" (chaves de criptografia gerenciadas pelo cliente), ou CMEK, desativam. Consulte a [lista do Claude Platform](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-coverage-claude-platform#turned-off-or-changed) ou a [lista do Claude Enterprise](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed). Se nada aqui se aplicar, entre em contato com a sua equipe de conta da Anthropic. ## As solicitações falham após a configuração ### `cmek_key_disabled` ```text wrap Customer-managed encryption key is disabled or revoked. Re-enable the key to restore access. ``` Este erro 400 significa que o seu serviço de gerenciamento de chaves recusou a chamada da Anthropic. Verifique estas causas na ordem: 1. A chave está desativada. 2. O acesso da Anthropic à chave foi removido. [A sua página de configuração](https://platform.claude.com/docs/pt-BR/manage-claude/cmek#set-it-up) mostra o acesso de que a Anthropic precisa. 3. No AWS KMS, a política de chave [lista workspaces](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-aws-kms-workspaces), mas não este. 4. No AWS KMS, uma condição de IP bloqueia os [endereços IP de saída da Anthropic](https://platform.claude.com/docs/pt-BR/api/ip-addresses#outbound-ip-addresses). Corrija a causa. [Dois limites se aplicam](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-key-lifecycle#restore-access) quando o acesso retorna. ### `cmek_key_network_blocked` ```text wrap The request to your key management service was blocked by its network access controls (for example, a KMS firewall or IP allowlist). Verify that your KMS network rules allow requests from Anthropic's published IP addresses, or contact Anthropic support if your configuration looks correct. ``` Este é um erro 400. A chave em si pode estar íntegra. Permita os [endereços IP publicados da Anthropic](https://platform.claude.com/docs/pt-BR/api/ip-addresses) nas regras de rede do seu serviço de gerenciamento de chaves. ### `cmek_key_unreachable` ```text wrap The workspace's customer-managed encryption key could not be reached. Try again shortly. If this continues, check that the key is available in your key management service, or contact Anthropic support. ``` Este erro 503 significa que [a Anthropic não conseguiu alcançar a sua chave](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-key-lifecycle#unreachable-key). Tente a solicitação novamente. ## A verificação falha: AWS KMS | Causa | Correção | | ------------------------------------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | ID da organização incorreto | A condição `org_uuid` deve listar [o ID da sua organização Anthropic](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-aws-kms#prerequisites), o UUID sem o prefixo `org_`. | | Um workspace está ausente da política | Uma condição `compartment_uuid` deve [listar o ID de compartimento](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-aws-kms-workspaces) de cada workspace ao qual a chave está anexada. | | Acesso concedido por meio do IAM em vez da política de chave | A função da Anthropic precisa de acesso [na própria política de chave](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-aws-kms#key-policy). | Para imprimir a política de chave, execute: ```bash aws kms get-key-policy \ --region \ --key-id \ --policy-name default ``` ### Uma chave que já protege dados Se você estiver [substituindo a política em uma chave](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-aws-kms-workspaces#replace-the-key-policy) que já protege dados, adicione esta declaração para que a Anthropic ainda possa descriptografar esses dados. Na condição dela, liste o ID de compartimento de cada workspace ao qual a chave está ou esteve anexada. ```json { "Sid": "AllowAnthropicCMEKDecryptExistingData", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": "kms:Decrypt", "Resource": "*", "Condition": { "StringEquals": { "kms:EncryptionContext:anthropic:compartment_uuid": [""] } } } ``` ## A verificação falha: Google Cloud KMS | Causa | Correção | | --------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Rótulo de organização incorreto | A chave precisa do [rótulo de organização](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-google-cloud-kms#organization-label), com o ID da sua organização Anthropic em letras minúsculas. | | Compartilhamento restrito por domínio | Esta política da organização bloqueia a concessão à conta de serviço da Anthropic. [Adicione uma exceção](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-google-cloud-kms#prerequisites). | | Versão da chave desativada ou destruída | A versão primária da chave deve estar ativada. | Para verificar a concessão, execute: ```bash gcloud kms keys get-iam-policy \ --project= \ --location= \ --keyring= ``` ## A verificação falha: Azure Key Vault | Causa | Correção | | ------------------------------------------------ | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Tag de organização incorreta | A versão atual da chave precisa da [tag de organização](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-azure-key-vault#organization-tag). | | A atribuição de função ainda não entrou em vigor | Uma nova atribuição de função pode levar alguns minutos. Aguarde e tente novamente. | | As regras de rede do cofre bloqueiam a Anthropic | Compare as regras com as [configurações do cofre de que a Anthropic precisa](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-azure-key-vault#check-your-vault-configuration). | ## Anexar falha no Claude Platform on AWS O Claude Platform on AWS não tem uma etapa **Verify**, então um problema com a chave aparece quando você a anexa. | Causa | Correção | | -------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Incompatibilidade na política de chave | Imprima a política de chave com o [comando `get-key-policy`](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-troubleshooting#aws-kms) e compare-a com a [política na página de configuração](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-claude-platform-on-aws#prepare-the-key-policy). | | Incompatibilidade de condição | Qualquer condição `EncryptionContext` ou `aws:SourceArn` deve incluir este workspace. | | Estado ou localização da chave | A chave deve estar ativada, ser de região única e estar na mesma conta AWS e região que o workspace. | | Permissões ausentes | O principal com o qual você está conectado precisa de `kms:DescribeKey`, `kms:Encrypt` e `kms:Decrypt` na chave. | Se anexar ainda falhar, encontre o evento `kms:` negado no CloudTrail na conta da chave. Ele mostra o principal que fez a chamada e, para chamadas criptográficas, o contexto de criptografia. Corrija a causa e clique em **Save** novamente. ## Anexar ou adicionar uma chave é recusado ### O workspace não retém dados ```text wrap CMEK keys can only be attached to workspaces in this organization that have inference data retention enabled. ``` [A sua organização usa retenção zero de dados (ZDR)](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-data-retention#zdr-organizations), e uma chave precisa de um workspace que retenha dados. Primeiro, mude o workspace para **Standard data retention**. ### O workspace não tem a configuração Encryption key Apenas [um workspace que retém dados](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-data-retention#data-retention) tem essa configuração, então selecione primeiro **Standard data retention** para o workspace. O workspace padrão de uma organização ZDR não pode ser alterado, então use outro. ### Não há a seção Encryption keys No Claude Console, selecione **Organization** no menu suspenso na parte superior da página Data retention. Se a seção ainda estiver ausente, a sua função não a inclui ou o CMEK não está ativado para a sua organização. A sua equipe de conta da Anthropic ativa o CMEK. ### O workspace já tem uma chave ```text wrap This workspace already has a different external key attached. ``` A chave de um workspace não pode ser substituída, então [crie um novo workspace](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-key-lifecycle#change-keys) para uma chave diferente. ### Adicionar uma chave no claude.ai falha ```text wrap The encryption key couldn’t be added. ``` A verificação da sua chave falhou. Encontre a causa para [AWS KMS](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-troubleshooting#aws-kms), [Google Cloud KMS](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-troubleshooting#google-cloud-kms) ou [Azure Key Vault](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-troubleshooting#azure-key-vault). Para tentar novamente, clique em **Add key** outra vez. A caixa de diálogo abre com os seus detalhes anteriores. Marque a caixa de seleção, clique em **Continue** e depois clique em **Add**. ## Erros esperados no CloudTrail No Claude Platform e no Claude Enterprise, a Anthropic verifica a chave sempre que você a verifica, a anexa a um workspace ou a visualiza no claude.ai. Cada verificação adiciona quatro erros esperados de acesso negado ao CloudTrail. Para filtrá-los, faça a correspondência dos três valores: * `requestParameters.encryptionContext.associatedData`: `Y21lay12YWxpZGF0aW9u` * `userIdentity.accountId`: `915198916910` * `resources.ARN`: `arn:aws:kms:::key/` O primeiro valor sozinho não é suficiente, porque qualquer chamador pode defini-lo.