Ограничение ключа AWS KMS определёнными рабочими пространствами

Политика ключа из настройки позволяет использовать ключ всем рабочим пространствам вашей организации. С этим необязательным условием рабочее пространство, которого нет в списке, не сможет его использовать.

Добавьте идентификатор компартмента рабочего пространства в политику до того, как привяжете ключ к этому рабочему пространству. Для нового рабочего пространства это означает, что его нужно создать без ключа.

Копирование идентификатора компартмента рабочего пространства

В Claude Console откройте страницу Data retention и выберите рабочее пространство в раскрывающемся меню вверху. Скопируйте Compartment ID в разделе Encryption key. Эндпоинт Get Workspace возвращает его как compartment_id.

У организации Claude Enterprise только один идентификатор компартмента. Скопируйте его из вашего ключа в разделе Encryption keys на странице claude.ai > Organization settings > Data and privacy.

Добавление условия в политику ключа

Замените инструкцию AllowAnthropicCMEKCrypto на приведённую ниже. Укажите идентификатор вашей организации Anthropic и идентификатор компартмента каждого рабочего пространства, которое использует ключ. Для ключа, который уже защищает данные, нужна ещё одна инструкция.

{
  "Sid": "AllowAnthropicCMEKCrypto",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
  },
  "Action": ["kms:Encrypt", "kms:Decrypt"],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:anthropic:org_uuid": ["<ORGANIZATION_UUID>"]
    },
    "StringEqualsIfExists": {
      "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
    }
  }
}

Замена политики ключа для существующего ключа

1. В консоли AWS KMS откройте ключ и перейдите на вкладку Key policy.
2. Если отображается Switch to policy view, нажмите эту кнопку.
3. Нажмите Edit.
4. Замените JSON вашей политикой ключа.
5. Нажмите Save changes.