--- title: Настройка CMEK с AWS KMS url: https://platform.claude.com/docs/ru/manage-claude/cmek-aws-kms description: Создайте ключ AWS KMS, предоставьте Anthropic доступ к нему и начните использовать его в Claude Platform или Claude Enterprise. --- Позвольте Claude Code настроить эту функцию за вас ```text /claude-api помоги мне настроить ключ шифрования, управляемый клиентом, с AWS KMS ``` Если на боковой панели Claude Console отображается **Account managed by AWS**, следуйте вместо этого инструкциям [Настройка CMEK на Claude Platform on AWS](https://platform.claude.com/docs/ru/manage-claude/cmek-claude-platform-on-aws). ## Перед началом работы В Claude: * Ключи шифрования, управляемые клиентом (CMEK), [включены для вашей организации](https://platform.claude.com/docs/ru/manage-claude/cmek#availability). * У вас есть идентификатор вашей организации Anthropic — UUID без префикса `org_`. Скопируйте его со страницы [Organization](https://platform.claude.com/settings/organization) в Claude Console или из **Organization settings > Organization and access** на claude.ai. Он нужен тому, кто создаёт ключ. * Вы являетесь Organization Admin на Claude Platform либо Owner или Primary Owner в Claude Enterprise. * На Claude Platform у вас есть рабочее пространство, которое [хранит данные](https://platform.claude.com/docs/ru/manage-claude/cmek-data-retention#data-retention), в идеале новое, потому что [существующие данные остаются зашифрованными ключом Anthropic](https://platform.claude.com/docs/ru/manage-claude/cmek-how-it-works#when-your-key-takes-effect). * В Claude Enterprise вы знаете, [какие функции отключаются или изменяются](https://platform.claude.com/docs/ru/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed). В AWS: * Вы можете создавать ключи AWS KMS и задавать их политики ключей (`kms:CreateKey` и `kms:PutKeyPolicy`). * Любое ограничение по IP для доступа к AWS KMS разрешает [исходящие IP-адреса Anthropic](https://platform.claude.com/docs/ru/api/ip-addresses#outbound-ip-addresses). ## В AWS: создание ключа После неудачного **Verify** или **Add** см. [исправления для AWS KMS](https://platform.claude.com/docs/ru/manage-claude/cmek-troubleshooting#aws-kms). ### Составление политики ключа Эта политика предоставляет роли IAM Anthropic доступ к вашему ключу. Используйте только ARN роли, опубликованный на этой странице, и никогда — присланный по электронной почте или в чате. Скопируйте политику в текстовый редактор: ```json key-policy.json { "Version": "2012-10-17", "Statement": [ { "Sid": "AccountRootAdmin", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam:::root" }, "Action": "kms:*", "Resource": "*" }, { "Sid": "AllowAnthropicCMEKCrypto", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": ["kms:Encrypt", "kms:Decrypt"], "Resource": "*", "Condition": { "StringEquals": { "kms:EncryptionContext:anthropic:org_uuid": [""] } } }, { "Sid": "AllowAnthropicCMEKDescribe", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": "kms:DescribeKey", "Resource": "*" } ] } ``` Замените `` на ваш [идентификатор аккаунта AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/console-account-id.html), а `` — на ваш [идентификатор организации Anthropic](https://platform.claude.com/docs/ru/manage-claude/cmek-aws-kms#prerequisites). Сохраните условие `kms:EncryptionContext:anthropic:org_uuid`, иначе проверка завершится неудачей. Вы также можете [ограничить ключ определёнными рабочими пространствами](https://platform.claude.com/docs/ru/manage-claude/cmek-aws-kms-workspaces), перечислив их идентификаторы компартментов. Если вы заменяете политику ключа, который уже защищает данные Claude, [добавьте ещё одну инструкцию](https://platform.claude.com/docs/ru/manage-claude/cmek-troubleshooting#existing-data). ### Создание ключа Вы можете создать ключ в любом коммерческом регионе AWS. Для наименьшей задержки используйте `us-east-2`. Чтобы использовать ключ, который у вас уже есть в AWS KMS, [замените его политику ключа](https://platform.claude.com/docs/ru/manage-claude/cmek-aws-kms-workspaces#replace-the-key-policy). Откройте [консоль AWS KMS](https://console.aws.amazon.com/kms) и переключитесь на регион, в котором будет находиться ключ. Перейдите в раздел **Customer managed keys** и нажмите **Create key**. Убедитесь, что выбраны следующие параметры: * **Key type:** Symmetric * **Key usage:** Encrypt and decrypt * **Advanced options > Key material origin:** KMS * **Advanced options > Regionality:** Single-Region key Нажмите **Next**. ![Шаг Configure key в AWS KMS с выбранными типом ключа Symmetric, использованием ключа Encrypt and decrypt и параметром Single-Region key.](https://platform.claude.com/docs/images/cmek/aws-configure-key.png) Введите **Alias** для ключа, например `anthropic-cmek`. Нажмите **Next**. ![Шаг Add labels в AWS KMS с псевдонимом anthropic-cmek и описанием Anthropic CMEK.](https://platform.claude.com/docs/images/cmek/aws-add-labels.png) Не выбирайте администраторов ключа. Политика вашего ключа уже предоставляет вашей учётной записи AWS полный административный контроль. Нажмите **Next**. ![Шаг Define key administrative permissions в AWS KMS со списком ролей IAM, которые могут администрировать ключ.](https://platform.claude.com/docs/images/cmek/aws-admin-permissions.png) Не выбирайте пользователей ключа и ничего не добавляйте в разделе **Other AWS accounts**. Политика вашего ключа уже предоставляет необходимый доступ. Нажмите **Next**. Нажмите **Edit**. Замените всю политику политикой вашего ключа, затем нажмите **Next**. Нажмите **Finish**. В разделе **Customer managed keys** откройте новый ключ и скопируйте его ARN. Он понадобится тому, кто будет добавлять ключ в Claude. Сохраните политику вашего ключа как `key-policy.json`, затем создайте ключ. Замените `` регионом ключа. ```bash aws kms create-key \ --region \ --description "Anthropic CMEK" \ --key-usage ENCRYPT_DECRYPT \ --policy file://key-policy.json ``` Скопируйте `KeyMetadata.Arn` из вывода. ARN понадобится тому, кто будет добавлять ключ в Claude. Каждая проверка ключа в Claude добавляет в CloudTrail четыре ожидаемые ошибки отказа в доступе. Вы можете [отфильтровать их](https://platform.claude.com/docs/ru/manage-claude/cmek-troubleshooting#cloudtrail). ## В Claude: добавление и привязка ключа Чтобы автоматизировать эту часть на Claude Platform с помощью скриптов, [используйте вместо этого Admin API](https://platform.claude.com/docs/ru/manage-claude/cmek-admin-api). В Claude Console откройте раздел [Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys) на странице Data retention. Если этого раздела там нет, выберите **Organization** в раскрывающемся меню вверху. В разделе **Encryption keys** нажмите **Add key**. Введите **Display name**, выберите **AWS KMS** и нажмите **Continue**. Убедитесь, что ваша [политика ключа](https://platform.claude.com/docs/ru/manage-claude/cmek-aws-kms#key-policy) содержит **Organization ID for the key policy**, показанный в диалоговом окне. Вставьте ARN ключа в поле **KMS key ARN** и нажмите **Add**. В списке **Encryption keys** нажмите **Verify** рядом с ключом. При успешной проверке отображается **Connected**. Если вместо этого отображается **Connection failed**, см. [Устранение неполадок CMEK](https://platform.claude.com/docs/ru/manage-claude/cmek-troubleshooting). Привязку ключа [нельзя отменить](https://platform.claude.com/docs/ru/manage-claude/cmek-key-lifecycle#what-each-action-does). Вы не сможете отвязать ключ от рабочего пространства или заменить его другим. Если ваш ключ будет удалён, Anthropic не сможет восстановить данные, которые он защищает. 1. В верхней части страницы Data retention выберите рабочее пространство в раскрывающемся меню. 2. В разделе **Encryption key** выберите ключ и нажмите **Save**. 3. Установите флажок, подтверждающий, что вы прочитали документацию по CMEK, затем нажмите **Confirm**. Вы увидите сообщение **Workspace settings updated.** Когда ключ [вступит в силу](https://platform.claude.com/docs/ru/manage-claude/cmek-how-it-works#when-your-key-takes-effect), в журнале аудита вашего облачного провайдера появятся обращения Anthropic к вашему ключу. В [организации с ZDR](https://platform.claude.com/docs/ru/manage-claude/cmek-data-retention#zdr-organizations) после выбора рабочего пространства выберите **Standard data retention**, чтобы появился раздел **Encryption key**. После нажатия **Save** нажмите **Accept** в условиях хранения данных. В Claude Enterprise CMEK применяется ко всей организации, и вы можете добавить только один ключ. Добавление ключа [невозможно отменить](https://platform.claude.com/docs/ru/manage-claude/cmek-key-lifecycle#what-each-action-does). Вы не сможете отвязать ключ от организации или заменить его. Если ключ будет удалён, Anthropic не сможет восстановить данные, защищённые этим ключом. Добавление ключа [отключает или изменяет некоторые функции](https://platform.claude.com/docs/ru/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) для всех пользователей. Чтобы сначала опробовать CMEK, используйте отдельную организацию. Перейдите в [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls) и найдите **Encryption keys**. Нажмите **Add key**. Введите **Display name** и выберите **AWS KMS**. Установите флажок, подтверждающий, что вы ознакомились с документацией по CMEK, затем нажмите **Continue**. Убедитесь, что ваша [политика ключа](https://platform.claude.com/docs/ru/manage-claude/cmek-aws-kms#key-policy) содержит **Organization ID for the key policy**, показанный в диалоговом окне. Вставьте ARN ключа в поле **KMS key ARN** и нажмите **Add**. Проверка может занять до 30 секунд. Когда появится **Encryption key configured.**, нажмите **Done**. Если вместо этого появится **The encryption key couldn’t be added.**, [найдите причину и повторите попытку](https://platform.claude.com/docs/ru/manage-claude/cmek-troubleshooting#claude-ai-add-fails). Ваш ключ защищает данные, записанные с этого момента. Сообщите своим пользователям, [какие функции изменились](https://platform.claude.com/docs/ru/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).