Claude Platform Docs
АдминистрированиеНастройка CMEK

Настройка CMEK с Azure Key Vault

Создайте ключ в Azure Key Vault, предоставьте Anthropic доступ к нему и начните использовать его в Claude Platform или Claude Enterprise.

Claude Code

Позвольте Claude Code настроить эту функцию за вас

/claude-api помоги мне настроить ключ шифрования, управляемый клиентом, с Azure Key Vault

Перед началом работы

В Claude:

В Azure:

  • Вы можете создавать ключи в своём хранилище ключей и назначать для него роли RBAC.
  • Вы можете создавать субъекты-службы в своём клиенте Entra (Application Administrator, Cloud Application Administrator или эквивалентная пользовательская роль).
  • Для хранилища настроен параметр диагностики для категории журнала AuditEvent. Без него операции Anthropic с вашим ключом не оставляют записей аудита.

В Azure: создание ключа

Если Verify или Add завершились ошибкой, см. способы исправления для Azure Key Vault.

Эти шаги предоставляют мультитенантному приложению Anthropic доступ к вашему ключу:

  • Name: anthropic-cmek-client-us
  • Client ID: 8635ae1a-3e5d-44e8-a4ed-e0f614466f87

Используйте только этот идентификатор клиента и это имя и никогда — присланные по электронной почте или в чате. Приложение не запрашивает никаких разрешений Microsoft Graph.

Проверка хранилища

Для минимальной задержки используйте хранилище в northcentralus или eastus2. Сначала выполните эту команду в Azure CLI или Cloud Shell:

az keyvault show --name <your-vault-name> \
  --query "{rbac:properties.enableRbacAuthorization, purge:properties.enablePurgeProtection, pub:properties.publicNetworkAccess, net:properties.networkAcls.defaultAction, ipRules:properties.networkAcls.ipRules, uri:properties.vaultUri, tenantId:properties.tenantId}"
ПолеДолжно быть
rbactrue
purgetrue. Если значение false или null, сначала включите защиту от очистки. Отключить её снова будет невозможно.
pub"Enabled". Частные конечные точки не поддерживаются.
net"Allow" или "Deny" с исходящими IP-адресами Anthropic в ipRules

Скопируйте uri (URI хранилища) и tenantId.

Создание ключа и предоставление доступа

На этой странице <ORGANIZATION_UUID> — это ваш идентификатор организации Anthropic в нижнем регистре. Чтобы использовать уже имеющийся у вас ключ, сначала добавьте тег организации.

  1. Создайте субъект-службу Anthropic

    Откройте Cloud Shell из верхней панели навигации портала. Выполните эту команду:

    az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87

    Если субъект-служба уже существует, перейдите к следующему шагу.

  2. Убедитесь, что субъект-служба существует

    Перейдите в Microsoft Entra ID > Enterprise applications и снимите фильтр типа приложения по умолчанию. Найдите anthropic-cmek-client-us.

    Обзор корпоративного приложения anthropic-cmek-client-us в Microsoft Entra с его Application ID и Object ID.

    Субъект-служба anthropic-cmek-client-us в разделе Enterprise applications в Entra.

  3. Откройте страницу Create a key

    Откройте своё хранилище ключей и выберите Keys. Нажмите Generate/Import.

  4. Создайте ключ RSA в своём хранилище

    Задайте следующие значения:

    • Name: имя ключа
    • Key type: RSA
    • RSA key size: 3072 или больше

    Нажмите ссылку рядом с Tags.

  5. Добавьте тег организации

    Введите следующие значения:

    • Tag Name: anthropic-org-<ORGANIZATION_UUID>
    • Tag Value: true

    Нажмите OK, затем нажмите Create.

    Страница Create a key в Azure Key Vault с RSA, размером ключа 3072 и тегом anthropic-org, установленным в true.

    Создайте ключ RSA размером 3072 или больше с тегом anthropic-org-<ORGANIZATION_UUID>, установленным в true.

  6. Ограничьте разрешённые операции

    Откройте новый ключ, затем откройте его текущую версию. В разделе Permitted operations снимите все флажки, кроме Wrap Key и Unwrap Key. Нажмите Save.

    Версия ключа в Azure Key Vault с 1 тегом и разрешёнными операциями, ограниченными Wrap Key и Unwrap Key.

    Ограничьте разрешённые операции до Wrap Key и Unwrap Key. В версии ключа отображается тег организации.

  7. Откройте управление доступом к ключу

    Откройте сам ключ, а не хранилище. Выберите его вкладку Access control (IAM) и нажмите Add > Add role assignment.

  8. Выберите роль

    На вкладке Role выберите Key Vault Crypto User. Нажмите Next.

  9. Добавьте субъект-службу Anthropic

    На вкладке Members нажмите Select members. Найдите anthropic-cmek-client-us и выберите его. Нажмите Select, затем нажмите Next.

  10. Проверьте и назначьте

    На вкладке Review + assign нажмите Review + assign.

Тому, кто будет добавлять ключ в Claude, понадобятся URI хранилища, имя ключа и идентификатор арендатора.

Добавление тега организации к уже имеющемуся ключу

Без тега организации проверка завершается ошибкой. Ключ должен быть типа RSA размером 3072 бит или больше.

Вместо создания ключа выполните эту команду в Azure CLI или Cloud Shell. Она ограничивает ключ операциями wrapKey и unwrapKey. Кроме того, она перезаписывает теги текущей версии, поэтому перечислите все теги, которые хотите сохранить, в --tags в формате name=value.

az keyvault key set-attributes \
  --vault-name <your-vault-name> \
  --name <your-key-name> \
  --ops wrapKey unwrapKey \
  --tags anthropic-org-<ORGANIZATION_UUID>=true

Шаги по созданию субъекта-службы и назначению роли по-прежнему необходимо выполнить.

В Claude: добавление и привязка ключа

Чтобы автоматизировать эту часть в Claude Platform с помощью скриптов, используйте Admin API.

  1. Откройте настройки ключей шифрования

    В Claude Console откройте раздел Encryption keys на странице Data retention. Если этого раздела там нет, выберите Organization в раскрывающемся меню вверху.

  2. Добавьте ключ

    В разделе Encryption keys нажмите Add key. Введите Display name, выберите Azure Key Vault и нажмите Continue.

  3. Введите данные ключа

    Убедитесь, что у вашего ключа есть Organization tag, показанный в диалоговом окне. Введите Vault URI, Key name и Tenant ID, оставьте Client ID пустым и нажмите Add.

  4. Проверьте ключ

    В списке Encryption keys нажмите Verify рядом с ключом. При успешной проверке отображается Connected. Если вместо этого отображается Connection failed, см. Устранение неполадок CMEK.

  5. Привяжите ключ к рабочему пространству

    1. В верхней части страницы Data retention выберите рабочее пространство в раскрывающемся меню.
    2. В разделе Encryption key выберите ключ и нажмите Save.
    3. Установите флажок, подтверждающий, что вы прочитали документацию по CMEK, затем нажмите Confirm.

    Вы увидите сообщение Workspace settings updated. Когда ключ вступит в силу, в журнале аудита вашего облачного провайдера появятся обращения Anthropic к вашему ключу.

    В организации с ZDR после выбора рабочего пространства выберите Standard data retention, чтобы появился раздел Encryption key. После нажатия Save нажмите Accept в условиях хранения данных.

Was this page helpful?