Claude Platform Docs
АдминистрированиеНастройка CMEK

Настройка CMEK с AWS KMS

Создайте ключ AWS KMS, предоставьте Anthropic доступ к нему и начните использовать его в Claude Platform или Claude Enterprise.

Claude Code

Позвольте Claude Code настроить эту функцию за вас

/claude-api помоги мне настроить ключ шифрования, управляемый клиентом, с AWS KMS

Если на боковой панели Claude Console отображается Account managed by AWS, следуйте вместо этого инструкциям Настройка CMEK на Claude Platform on AWS.

Перед началом работы

В Claude:

В AWS:

  • Вы можете создавать ключи AWS KMS и задавать их политики ключей (kms:CreateKey и kms:PutKeyPolicy).
  • Любое ограничение по IP для доступа к AWS KMS разрешает исходящие IP-адреса Anthropic.

В AWS: создание ключа

После неудачного Verify или Add см. исправления для AWS KMS.

Составление политики ключа

Эта политика предоставляет роли IAM Anthropic доступ к вашему ключу. Используйте только ARN роли, опубликованный на этой странице, и никогда — присланный по электронной почте или в чате. Скопируйте политику в текстовый редактор:

key-policy.json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AccountRootAdmin",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<AWS_ACCOUNT_ID>:root"
      },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "AllowAnthropicCMEKCrypto",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
      },
      "Action": ["kms:Encrypt", "kms:Decrypt"],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:anthropic:org_uuid": ["<ORGANIZATION_UUID>"]
        }
      }
    },
    {
      "Sid": "AllowAnthropicCMEKDescribe",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    }
  ]
}

Замените <AWS_ACCOUNT_ID> на ваш идентификатор аккаунта AWS, а <ORGANIZATION_UUID> — на ваш идентификатор организации Anthropic. Сохраните условие kms:EncryptionContext:anthropic:org_uuid, иначе проверка завершится неудачей.

Вы также можете ограничить ключ определёнными рабочими пространствами, перечислив их идентификаторы компартментов. Если вы заменяете политику ключа, который уже защищает данные Claude, добавьте ещё одну инструкцию.

Создание ключа

Вы можете создать ключ в любом коммерческом регионе AWS. Для наименьшей задержки используйте us-east-2.

Чтобы использовать ключ, который у вас уже есть в AWS KMS, замените его политику ключа.

  1. Откройте мастер Create key

    Откройте консоль AWS KMS и переключитесь на регион, в котором будет находиться ключ. Перейдите в раздел Customer managed keys и нажмите Create key.

  2. Configure key

    Убедитесь, что выбраны следующие параметры:

    • Key type: Symmetric
    • Key usage: Encrypt and decrypt
    • Advanced options > Key material origin: KMS
    • Advanced options > Regionality: Single-Region key

    Нажмите Next.

    Шаг Configure key в AWS KMS с выбранными типом ключа Symmetric, использованием ключа Encrypt and decrypt и параметром Single-Region key.

    Симметричный ключ для шифрования и расшифровки в одном регионе.

  3. Add labels

    Введите Alias для ключа, например anthropic-cmek. Нажмите Next.

    Шаг Add labels в AWS KMS с псевдонимом anthropic-cmek и описанием Anthropic CMEK.

    Псевдоним для ключа.

  4. Define key administrative permissions

    Не выбирайте администраторов ключа. Политика вашего ключа уже предоставляет вашей учётной записи AWS полный административный контроль. Нажмите Next.

    Шаг Define key administrative permissions в AWS KMS со списком ролей IAM, которые могут администрировать ключ.

    Оставьте список администраторов ключа пустым.

  5. Define key usage permissions

    Не выбирайте пользователей ключа и ничего не добавляйте в разделе Other AWS accounts. Политика вашего ключа уже предоставляет необходимый доступ. Нажмите Next.

  6. Edit key policy

    Нажмите Edit. Замените всю политику политикой вашего ключа, затем нажмите Next.

  7. Review

    Нажмите Finish.

  8. Скопируйте ARN ключа

    В разделе Customer managed keys откройте новый ключ и скопируйте его ARN. Он понадобится тому, кто будет добавлять ключ в Claude.

Каждая проверка ключа в Claude добавляет в CloudTrail четыре ожидаемые ошибки отказа в доступе. Вы можете отфильтровать их.

В Claude: добавление и привязка ключа

Чтобы автоматизировать эту часть на Claude Platform с помощью скриптов, используйте вместо этого Admin API.

  1. Откройте настройки ключей шифрования

    В Claude Console откройте раздел Encryption keys на странице Data retention. Если этого раздела там нет, выберите Organization в раскрывающемся меню вверху.

  2. Добавьте ключ

    В разделе Encryption keys нажмите Add key. Введите Display name, выберите AWS KMS и нажмите Continue.

  3. Введите ARN ключа

    Убедитесь, что ваша политика ключа содержит Organization ID for the key policy, показанный в диалоговом окне. Вставьте ARN ключа в поле KMS key ARN и нажмите Add.

  4. Проверьте ключ

    В списке Encryption keys нажмите Verify рядом с ключом. При успешной проверке отображается Connected. Если вместо этого отображается Connection failed, см. Устранение неполадок CMEK.

  5. Привяжите ключ к рабочему пространству

    1. В верхней части страницы Data retention выберите рабочее пространство в раскрывающемся меню.
    2. В разделе Encryption key выберите ключ и нажмите Save.
    3. Установите флажок, подтверждающий, что вы прочитали документацию по CMEK, затем нажмите Confirm.

    Вы увидите сообщение Workspace settings updated. Когда ключ вступит в силу, в журнале аудита вашего облачного провайдера появятся обращения Anthropic к вашему ключу.

    В организации с ZDR после выбора рабочего пространства выберите Standard data retention, чтобы появился раздел Encryption key. После нажатия Save нажмите Accept в условиях хранения данных.

Was this page helpful?