Настройка CMEK в Claude Platform on AWS

В этом руководстве показано, как использовать ключ AWS KMS в качестве ключа шифрования, управляемого клиентом (customer-managed encryption key, CMEK) в Claude Platform on AWS. Для Claude Platform или Claude Enterprise вместо этого следуйте инструкциям в разделе Настройка AWS KMS для CMEK.

Предварительные требования

• Учётная запись AWS, которая размещает вашу организацию Claude Platform on AWS, с разрешениями на создание ключей KMS и установку политик ключей (kms:CreateKey и kms:PutKeyPolicy).

• Чтобы создать ключ из командной строки, необходим установленный и аутентифицированный AWS CLI.

• Роль Admin в Claude Console для Claude Platform on AWS. См. Использование Claude Console.

• Следующие разрешения для принципала IAM, под которым вы входите в Claude Console:

  • Вход: aws-external-anthropic:AssumeConsole
  • Регистрация ключа: aws-external-anthropic:RegisterKey
  • Просмотр зарегистрированных ключей: aws-external-anthropic:ListKeys и aws-external-anthropic:GetKey
  • Прикрепление ключа: aws-external-anthropic:UpdateWorkspace или aws-external-anthropic:CreateWorkspace, а также kms:DescribeKey, kms:Encrypt и kms:Decrypt для ключа
  • Выбор ключа из списка (необязательно): kms:ListKeys и kms:DescribeKey

  aws-external-anthropic:RegisterKey, aws-external-anthropic:ListKeys, aws-external-anthropic:GetKey и aws-external-anthropic:CreateWorkspace действуют на уровне учётной записи. Предоставляйте их для Resource: "*". См. раздел Действия IAM.

Принципал службы AWS для Anthropic

Политика ключа в этом руководстве предоставляет доступ к вашему ключу следующему принципалу службы AWS:

aws-external-anthropic.amazonaws.com

Настройка ключа шифрования

Подготовка политики ключа

Скопируйте эту политику в текстовый редактор:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AccountRootAdmin",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::<AWS_ACCOUNT_ID>:root"
      },
      "Action": "kms:*",
      "Resource": "*"
    },
    {
      "Sid": "AllowClaudePlatformOnAWSCrypto",
      "Effect": "Allow",
      "Principal": {
        "Service": "aws-external-anthropic.amazonaws.com"
      },
      "Action": ["kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKey"],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
        }
      }
    },
    {
      "Sid": "AllowClaudePlatformOnAWSDescribe",
      "Effect": "Allow",
      "Principal": {
        "Service": "aws-external-anthropic.amazonaws.com"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    }
  ]
}

Условие EncryptionContext необязательно. Оно ограничивает использование ключа перечисленными вами рабочими пространствами. Чтобы убрать его, удалите блок Condition из оператора AllowClaudePlatformOnAWSCrypto.

Если вы сохраняете условие, добавьте идентификатор отсека каждого рабочего пространства перед тем, как прикрепить к нему ключ. Для нового рабочего пространства:

1. Создайте рабочее пространство без ключа.
2. Добавьте его идентификатор отсека в политику.
3. Прикрепите ключ.

Если вы добавите условие позже, перечислите идентификаторы отсеков всех рабочих пространств, к которым ключ уже прикреплён.

Чтобы дополнительно ограничить политику ключа, см. необязательное условие aws:SourceArn.

Замените заполнители:

• <AWS_ACCOUNT_ID>: ваш идентификатор учётной записи AWS. Чтобы вывести его с помощью AWS CLI, выполните aws sts get-caller-identity --query Account --output text.
• <COMPARTMENT_UUID>: идентификатор отсека рабочего пространства, к которому вы прикрепляете ключ

Создание ключа

Создайте ключ в учётной записи AWS, в которой размещена ваша организация Claude Platform on AWS, в том же регионе, что и рабочее пространство.

aws kms create-key \
  --region <REGION> \
  --description "Anthropic CMEK" \
  --key-usage ENCRYPT_DECRYPT \
  --policy file://key-policy.json

Регистрация ключа в Anthropic

Войдите в Claude Console через AWS с ролью Admin.

1. 1

   Откройте настройки ключей шифрования

   В Claude Console перейдите на страницу Data retention (platform.claude.com/settings/privacy). Если вы не видите Encryption keys, выберите Organization в раскрывающемся меню в верхней части страницы.

2. 2

   Добавьте ключ

   В разделе Encryption keys нажмите Add key. Введите Display name.

3. 3

   Введите ARN ключа

   Anthropic отклоняет ARN псевдонимов и мультирегиональные ключи.

   В поле KMS key ARN вставьте ARN ключа. Если вместо этого отображается список ключей, выберите свой ключ или нажмите Enter ARN manually и вставьте ARN. Нажмите Add.

4. 4

   Прикрепите ключ к рабочему пространству

   Прикрепление ключа нельзя отменить. По возможности прикрепляйте его к новому рабочему пространству до того, как это рабочее пространство начнёт получать запросы. В рабочем пространстве, которое уже получает запросы, ключ может вступить в силу в течение суток.

   На странице Data retention выберите рабочее пространство в раскрывающемся меню в верхней части страницы. В разделе Encryption key выберите ключ и нажмите Save.

5. 5

   Подтвердите изменение

   Установите флажок, подтверждающий, что вы ознакомились с документацией по CMEK, затем нажмите Confirm.

При прикреплении ключ проходит проверку. Если прикрепление завершается ошибкой доступа KMS, см. раздел Устранение неполадок проверки.

Вы также можете выбрать ключ при создании рабочего пространства в Claude Console, если в политике вашего ключа нет условия EncryptionContext.

Чтобы вместо этого регистрировать и прикреплять ключи с помощью API, см. раздел Действия IAM. API идентифицирует ключ по его ARN ключа KMS.

Устранение неполадок проверки

Если проверка не проходит, распространённые причины:

• Несоответствие политики ключа: убедитесь, что политика ключа совпадает с приведённой в разделе Подготовка политики ключа. Чтобы проверить политику ключа, выполните aws kms get-key-policy --region <REGION> --key-id <KEY_ARN> --policy-name default.
• Несоответствие условия: убедитесь, что любое условие EncryptionContext или aws:SourceArn включает это рабочее пространство.
• Состояние или расположение ключа: убедитесь, что ключ включён, является однорегиональным и находится в той же учётной записи AWS и том же регионе, что и рабочее пространство.
• Отсутствующие разрешения: принципалу, под которым вы вошли, необходимы kms:DescribeKey, kms:Encrypt и kms:Decrypt для ключа.
• Политики организации: убедитесь, что никакая политика управления службами (service control policy) или политика управления ресурсами (resource control policy) в вашей организации AWS не блокирует принципала службы или вашего принципала.

Если прикрепление по-прежнему не удаётся, найдите отклонённое событие kms: в CloudTrail в учётной записи ключа. В нём указан вызывающий принципал, а для криптографических вызовов — контекст шифрования. После устранения причины снова нажмите Save.

Terraform

Чтобы создать ключ с помощью Terraform, используйте ресурсы aws_kms_key и aws_kms_alias из провайдера aws.