---
title: Настройка CMEK с Azure Key Vault
url: https://platform.claude.com/docs/ru/manage-claude/cmek-azure-key-vault
description: Создайте ключ в Azure Key Vault, предоставьте Anthropic доступ к нему и начните использовать его в Claude Platform или Claude Enterprise.
---

Позвольте Claude Code настроить эту функцию за вас

```text
/claude-api помоги мне настроить ключ шифрования, управляемый клиентом, с Azure Key Vault
```

## Перед началом работы

В Claude:

* Ключи шифрования, управляемые клиентом (CMEK), [включены для вашей организации](https://platform.claude.com/docs/ru/manage-claude/cmek#availability).
* У вас есть идентификатор вашей организации Anthropic — UUID без префикса `org_`. Скопируйте его со страницы [Organization](https://platform.claude.com/settings/organization) в Claude Console или из **Organization settings > Organization and access** на claude.ai. Он нужен тому, кто создаёт ключ.
* Вы являетесь Organization Admin на Claude Platform либо Owner или Primary Owner в Claude Enterprise.
* На Claude Platform у вас есть рабочее пространство, которое [хранит данные](https://platform.claude.com/docs/ru/manage-claude/cmek-data-retention#data-retention), в идеале новое, потому что [существующие данные остаются зашифрованными ключом Anthropic](https://platform.claude.com/docs/ru/manage-claude/cmek-how-it-works#when-your-key-takes-effect).
* В Claude Enterprise вы знаете, [какие функции отключаются или изменяются](https://platform.claude.com/docs/ru/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).

В Azure:

* Вы можете создавать ключи в своём хранилище ключей и назначать для него роли RBAC.
* Вы можете создавать субъекты-службы в своём клиенте Entra (Application Administrator, Cloud Application Administrator или эквивалентная пользовательская роль).
* Для хранилища настроен параметр диагностики для категории журнала `AuditEvent`. Без него операции Anthropic с вашим ключом не оставляют записей аудита.

## В Azure: создание ключа

Если **Verify** или **Add** завершились ошибкой, см. [способы исправления для Azure Key Vault](https://platform.claude.com/docs/ru/manage-claude/cmek-troubleshooting#azure-key-vault).

Эти шаги предоставляют мультитенантному приложению Anthropic доступ к вашему ключу:

* **Name:** `anthropic-cmek-client-us`
* **Client ID:** `8635ae1a-3e5d-44e8-a4ed-e0f614466f87`

Используйте только этот идентификатор клиента и это имя и никогда — присланные по электронной почте или в чате. Приложение не запрашивает никаких разрешений Microsoft Graph.

### Проверка хранилища

Для минимальной задержки используйте хранилище в `northcentralus` или `eastus2`. Сначала выполните эту команду в Azure CLI или Cloud Shell:

```bash
az keyvault show --name <your-vault-name> \
  --query "{rbac:properties.enableRbacAuthorization, purge:properties.enablePurgeProtection, pub:properties.publicNetworkAccess, net:properties.networkAcls.defaultAction, ipRules:properties.networkAcls.ipRules, uri:properties.vaultUri, tenantId:properties.tenantId}"
```

| Поле    | Должно быть                                                                                                                                         |
| ------- | --------------------------------------------------------------------------------------------------------------------------------------------------- |
| `rbac`  | `true`                                                                                                                                              |
| `purge` | `true`. Если значение `false` или `null`, сначала включите защиту от очистки. Отключить её снова будет невозможно.                                  |
| `pub`   | `"Enabled"`. Частные конечные точки не поддерживаются.                                                                                              |
| `net`   | `"Allow"` или `"Deny"` с [исходящими IP-адресами Anthropic](https://platform.claude.com/docs/ru/api/ip-addresses#outbound-ip-addresses) в `ipRules` |

Скопируйте `uri` (URI хранилища) и `tenantId`.

### Создание ключа и предоставление доступа

На этой странице `<ORGANIZATION_UUID>` — это ваш [идентификатор организации Anthropic](https://platform.claude.com/docs/ru/manage-claude/cmek-azure-key-vault#prerequisites) в нижнем регистре. Чтобы использовать уже имеющийся у вас ключ, сначала [добавьте тег организации](https://platform.claude.com/docs/ru/manage-claude/cmek-azure-key-vault#organization-tag).

<Tabs>
  <Tab title="Портал Azure">
    <Steps>
      <Step title="Создайте субъект-службу Anthropic">
        Откройте Cloud Shell из верхней панели навигации портала. Выполните эту команду:

        ```bash
        az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87
        ```

        Если субъект-служба уже существует, перейдите к следующему шагу.
      </Step>

      <Step title="Убедитесь, что субъект-служба существует">
        Перейдите в **Microsoft Entra ID > Enterprise applications** и снимите фильтр типа приложения по умолчанию. Найдите `anthropic-cmek-client-us`.

        <Frame caption="Субъект-служба anthropic-cmek-client-us в разделе Enterprise applications в Entra.">
          ![Обзор корпоративного приложения anthropic-cmek-client-us в Microsoft Entra с его Application ID и Object ID.](https://platform.claude.com/docs/images/cmek/azure-service-principal.png)
        </Frame>
      </Step>

      <Step title="Откройте страницу Create a key">
        Откройте своё хранилище ключей и выберите **Keys**. Нажмите **Generate/Import**.
      </Step>

      <Step title="Создайте ключ RSA в своём хранилище">
        Задайте следующие значения:

        * **Name:** имя ключа
        * **Key type:** RSA
        * **RSA key size:** 3072 или больше

        Нажмите ссылку рядом с **Tags**.
      </Step>

      <Step title="Добавьте тег организации">
        Введите следующие значения:

        * **Tag Name:** `anthropic-org-<ORGANIZATION_UUID>`
        * **Tag Value:** `true`

        Нажмите **OK**, затем нажмите **Create**.

        <Frame caption="Создайте ключ RSA размером 3072 или больше с тегом anthropic-org-<ORGANIZATION_UUID>, установленным в true.">
          ![Страница Create a key в Azure Key Vault с RSA, размером ключа 3072 и тегом anthropic-org, установленным в true.](https://platform.claude.com/docs/images/cmek/azure-create-key-tag.png)
        </Frame>
      </Step>

      <Step title="Ограничьте разрешённые операции">
        Откройте новый ключ, затем откройте его текущую версию. В разделе **Permitted operations** снимите все флажки, кроме **Wrap Key** и **Unwrap Key**. Нажмите **Save**.

        <Frame caption="Ограничьте разрешённые операции до Wrap Key и Unwrap Key. В версии ключа отображается тег организации.">
          ![Версия ключа в Azure Key Vault с 1 тегом и разрешёнными операциями, ограниченными Wrap Key и Unwrap Key.](https://platform.claude.com/docs/images/cmek/azure-permitted-operations-tag.png)
        </Frame>
      </Step>

      <Step title="Откройте управление доступом к ключу">
        Откройте сам ключ, а не хранилище. Выберите его вкладку **Access control (IAM)** и нажмите **Add > Add role assignment**.
      </Step>

      <Step title="Выберите роль">
        На вкладке **Role** выберите **Key Vault Crypto User**. Нажмите **Next**.
      </Step>

      <Step title="Добавьте субъект-службу Anthropic">
        На вкладке **Members** нажмите **Select members**. Найдите `anthropic-cmek-client-us` и выберите его. Нажмите **Select**, затем нажмите **Next**.
      </Step>

      <Step title="Проверьте и назначьте">
        На вкладке **Review + assign** нажмите **Review + assign**.
      </Step>
    </Steps>
  </Tab>

  <Tab title="Azure CLI">
    <Steps>
      <Step title="Создайте субъект-службу Anthropic">
        ```bash
        az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87
        ```

        Скопируйте поле `id` из вывода.

        Если команда завершается с ошибкой «already exists», получите `id` с помощью этой команды:

        ```bash
        az ad sp show --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87 --query id -o tsv
        ```
      </Step>

      <Step title="Создайте ключ RSA в своём хранилище">
        ```bash
        az keyvault key create \
          --vault-name <your-vault-name> \
          --name <your-key-name> \
          --kty RSA --size 3072 \
          --ops wrapKey unwrapKey \
          --tags anthropic-org-<ORGANIZATION_UUID>=true
        ```

        Замените заполнители:

        * **`<your-vault-name>`:** имя вашего хранилища ключей
        * **`<your-key-name>`:** имя ключа
        * **`<ORGANIZATION_UUID>`:** ваш идентификатор организации Anthropic в нижнем регистре

        Для ключа на основе HSM используйте `--kty RSA-HSM`.
      </Step>

      <Step title="Предоставьте субъекту-службе Anthropic доступ к вашему ключу">
        ```bash
        VAULT_ID=$(az keyvault show --name <your-vault-name> --query id -o tsv)

        az role assignment create \
          --role "Key Vault Crypto User" \
          --assignee-object-id <sp-object-id> \
          --assignee-principal-type ServicePrincipal \
          --scope "${VAULT_ID}/keys/<your-key-name>"
        ```

        Замените заполнители:

        * **`<your-vault-name>`:** имя вашего хранилища ключей
        * **`<sp-object-id>`:** значение `id` из первого шага
        * **`<your-key-name>`:** имя ключа
      </Step>
    </Steps>
  </Tab>
</Tabs>

Тому, кто будет добавлять ключ в Claude, понадобятся URI хранилища, имя ключа и идентификатор арендатора.

### Добавление тега организации к уже имеющемуся ключу

Без тега организации проверка завершается ошибкой. Ключ должен быть типа RSA размером 3072 бит или больше.

Вместо создания ключа выполните эту команду в Azure CLI или Cloud Shell. Она ограничивает ключ операциями `wrapKey` и `unwrapKey`. Кроме того, она перезаписывает теги текущей версии, поэтому перечислите все теги, которые хотите сохранить, в `--tags` в формате `name=value`.

```bash
az keyvault key set-attributes \
  --vault-name <your-vault-name> \
  --name <your-key-name> \
  --ops wrapKey unwrapKey \
  --tags anthropic-org-<ORGANIZATION_UUID>=true
```

Шаги по созданию субъекта-службы и назначению роли по-прежнему необходимо выполнить.

## В Claude: добавление и привязка ключа

Чтобы автоматизировать эту часть в Claude Platform с помощью скриптов, [используйте Admin API](https://platform.claude.com/docs/ru/manage-claude/cmek-admin-api).

<Tabs>
  <Tab title="Claude Platform">
    <Steps>
      <Step title="Откройте настройки ключей шифрования">
        В Claude Console откройте раздел [Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys) на странице Data retention. Если этого раздела там нет, выберите **Organization** в раскрывающемся меню вверху.
      </Step>

      <Step title="Добавьте ключ">
        В разделе **Encryption keys** нажмите **Add key**. Введите **Display name**, выберите **Azure Key Vault** и нажмите **Continue**.
      </Step>

      <Step title="Введите данные ключа">
        Убедитесь, что у вашего ключа есть **Organization tag**, показанный в диалоговом окне. Введите **Vault URI**, **Key name** и **Tenant ID**, оставьте **Client ID** пустым и нажмите **Add**.
      </Step>

      <Step title="Проверьте ключ">
        В списке **Encryption keys** нажмите **Verify** рядом с ключом. При успешной проверке отображается **Connected**. Если вместо этого отображается **Connection failed**, см. [Устранение неполадок CMEK](https://platform.claude.com/docs/ru/manage-claude/cmek-troubleshooting).
      </Step>

      <Step title="Привяжите ключ к рабочему пространству">
        <Warning>
          Привязку ключа [нельзя отменить](https://platform.claude.com/docs/ru/manage-claude/cmek-key-lifecycle#what-each-action-does). Вы не сможете отвязать ключ от рабочего пространства или заменить его другим. Если ваш ключ будет удалён, Anthropic не сможет восстановить данные, которые он защищает.
        </Warning>

        1. В верхней части страницы Data retention выберите рабочее пространство в раскрывающемся меню.
        2. В разделе **Encryption key** выберите ключ и нажмите **Save**.
        3. Установите флажок, подтверждающий, что вы прочитали документацию по CMEK, затем нажмите **Confirm**.

        Вы увидите сообщение **Workspace settings updated.** Когда ключ [вступит в силу](https://platform.claude.com/docs/ru/manage-claude/cmek-how-it-works#when-your-key-takes-effect), в журнале аудита вашего облачного провайдера появятся обращения Anthropic к вашему ключу.

        В [организации с ZDR](https://platform.claude.com/docs/ru/manage-claude/cmek-data-retention#zdr-organizations) после выбора рабочего пространства выберите **Standard data retention**, чтобы появился раздел **Encryption key**. После нажатия **Save** нажмите **Accept** в условиях хранения данных.
      </Step>
    </Steps>
  </Tab>

  <Tab title="Claude Enterprise">
    В Claude Enterprise CMEK применяется ко всей организации, и вы можете добавить только один ключ.

    <Warning>
      Добавление ключа [невозможно отменить](https://platform.claude.com/docs/ru/manage-claude/cmek-key-lifecycle#what-each-action-does). Вы не сможете отвязать ключ от организации или заменить его. Если ключ будет удалён, Anthropic не сможет восстановить данные, защищённые этим ключом.
    </Warning>

    Добавление ключа [отключает или изменяет некоторые функции](https://platform.claude.com/docs/ru/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) для всех пользователей. Чтобы сначала опробовать CMEK, используйте отдельную организацию.

    <Steps>
      <Step title="Откройте настройки ключей шифрования">
        Перейдите в [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls) и найдите **Encryption keys**.
      </Step>

      <Step title="Добавьте ключ">
        Нажмите **Add key**. Введите **Display name** и выберите **Azure Key Vault**. Установите флажок, подтверждающий, что вы ознакомились с документацией по CMEK, затем нажмите **Continue**.
      </Step>

      <Step title="Введите данные ключа">
        Убедитесь, что у вашего ключа есть **Organization tag**, показанный в диалоговом окне. Введите **Vault URI**, **Key name** и **Tenant ID**, оставьте **Client ID** пустым и нажмите **Add**.
      </Step>

      <Step title="Убедитесь, что ключ добавлен">
        Проверка может занять до 30 секунд. Когда появится **Encryption key configured.**, нажмите **Done**. Если вместо этого появится **The encryption key couldn’t be added.**, [найдите причину и повторите попытку](https://platform.claude.com/docs/ru/manage-claude/cmek-troubleshooting#claude-ai-add-fails).

        Ваш ключ защищает данные, записанные с этого момента. Сообщите своим пользователям, [какие функции изменились](https://platform.claude.com/docs/ru/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).
      </Step>
    </Steps>
  </Tab>
</Tabs>