--- title: Настройка CMEK в Claude Platform on AWS url: https://platform.claude.com/docs/ru/manage-claude/cmek-claude-platform-on-aws description: Используйте ключ AWS KMS в качестве ключа шифрования, управляемого клиентом, в Claude Platform on AWS. --- В этом руководстве показано, как использовать ключ [AWS KMS](https://aws.amazon.com/kms/) в качестве [ключа шифрования, управляемого клиентом (customer-managed encryption key, CMEK)](https://platform.claude.com/docs/ru/manage-claude/cmek) в [Claude Platform on AWS](https://platform.claude.com/docs/ru/build-with-claude/claude-platform-on-aws). Для Claude Platform или Claude Enterprise вместо этого следуйте инструкциям в разделе [Настройка AWS KMS для CMEK](https://platform.claude.com/docs/ru/manage-claude/cmek-aws-kms). Включение CMEK необратимо. Если ваш ключ KMS удалён или отключён, Anthropic не сможет восстановить данные, зашифрованные с его помощью. Ознакомьтесь с [предупреждениями и ограничениями](https://platform.claude.com/docs/ru/manage-claude/cmek) перед началом. ## Предварительные требования * Учётная запись AWS, которая размещает вашу организацию Claude Platform on AWS, с разрешениями на создание ключей KMS и установку политик ключей (`kms:CreateKey` и `kms:PutKeyPolicy`). * Чтобы создать ключ из командной строки, необходим установленный и аутентифицированный [AWS CLI](https://aws.amazon.com/cli/). * Роль **Admin** в Claude Console для Claude Platform on AWS. См. [Использование Claude Console](https://platform.claude.com/docs/ru/build-with-claude/claude-platform-on-aws#using-the-claude-console). * Следующие разрешения для принципала IAM, под которым вы входите в Claude Console: * **Вход:** `aws-external-anthropic:AssumeConsole` * **Регистрация ключа:** `aws-external-anthropic:RegisterKey` * **Просмотр зарегистрированных ключей:** `aws-external-anthropic:ListKeys` и `aws-external-anthropic:GetKey` * **Прикрепление ключа:** `aws-external-anthropic:UpdateWorkspace` или `aws-external-anthropic:CreateWorkspace`, а также `kms:DescribeKey`, `kms:Encrypt` и `kms:Decrypt` для ключа * **Выбор ключа из списка (необязательно):** `kms:ListKeys` и `kms:DescribeKey` `aws-external-anthropic:RegisterKey`, `aws-external-anthropic:ListKeys`, `aws-external-anthropic:GetKey` и `aws-external-anthropic:CreateWorkspace` действуют на уровне учётной записи. Предоставляйте их для `Resource: "*"`. См. раздел [Действия IAM](https://platform.claude.com/docs/ru/api/claude-platform-on-aws-iam-actions#encryption-keys). ## Принципал службы AWS для Anthropic Политика ключа в этом руководстве предоставляет доступ к вашему ключу следующему принципалу службы AWS: ```text wrap aws-external-anthropic.amazonaws.com ``` Используйте только это опубликованное имя принципала службы. Никогда не доверяйте идентификатору, предоставленному по электронной почте, в чате или через любой канал онбординга. ## Настройка ключа шифрования ### Подготовка политики ключа Скопируйте эту политику в текстовый редактор: ```json key-policy.json { "Version": "2012-10-17", "Statement": [ { "Sid": "AccountRootAdmin", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam:::root" }, "Action": "kms:*", "Resource": "*" }, { "Sid": "AllowClaudePlatformOnAWSCrypto", "Effect": "Allow", "Principal": { "Service": "aws-external-anthropic.amazonaws.com" }, "Action": ["kms:Encrypt", "kms:Decrypt", "kms:GenerateDataKey"], "Resource": "*", "Condition": { "StringEquals": { "kms:EncryptionContext:anthropic:compartment_uuid": [""] } } }, { "Sid": "AllowClaudePlatformOnAWSDescribe", "Effect": "Allow", "Principal": { "Service": "aws-external-anthropic.amazonaws.com" }, "Action": "kms:DescribeKey", "Resource": "*" } ] } ``` Условие `EncryptionContext` необязательно. Оно ограничивает использование ключа перечисленными вами рабочими пространствами. Чтобы убрать его, удалите блок `Condition` из оператора `AllowClaudePlatformOnAWSCrypto`. Если вы сохраняете условие, добавьте идентификатор отсека каждого рабочего пространства перед тем, как прикрепить к нему ключ. Для нового рабочего пространства: 1. Создайте рабочее пространство без ключа. 2. Добавьте его идентификатор отсека в политику. 3. Прикрепите ключ. Если вы добавите условие позже, перечислите идентификаторы отсеков всех рабочих пространств, к которым ключ уже прикреплён. Чтобы дополнительно ограничить политику ключа, см. [необязательное условие `aws:SourceArn`](https://platform.claude.com/docs/ru/manage-claude/cmek-claude-platform-on-aws#source-arn-condition). Замените заполнители: * **``:** ваш [идентификатор учётной записи AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/console-account-id.html). Чтобы вывести его с помощью AWS CLI, выполните `aws sts get-caller-identity --query Account --output text`. * **``:** идентификатор отсека рабочего пространства, к которому вы прикрепляете ключ **Поиск идентификатора вашего отсека:** в Claude Console перейдите на страницу [Data retention](https://platform.claude.com/settings/privacy) (`platform.claude.com/settings/privacy`). Выберите рабочее пространство в раскрывающемся меню в верхней части страницы. Идентификатор находится в разделе **Encryption key**, в поле **Compartment ID**. Вы также можете прочитать поле `compartment_id`, возвращаемое эндпоинтом [Get Workspace](https://platform.claude.com/docs/ru/api/organization/workspaces/retrieve). ### Создание ключа Создайте ключ в учётной записи AWS, в которой размещена ваша организация Claude Platform on AWS, в том же регионе, что и рабочее пространство. Откройте [консоль AWS KMS](https://console.aws.amazon.com/kms) и переключитесь на регион для ключа. Перейдите в **Customer managed keys** и нажмите **Create key**. Убедитесь, что выбраны следующие параметры: * **Key type:** Symmetric * **Key usage:** Encrypt and decrypt * **Advanced options > Key material origin:** KMS * **Advanced options > Regionality:** Single-Region key Нажмите **Next**. ![Мастер создания ключа AWS KMS на шаге Configure key: выбраны симметричный тип ключа, использование для шифрования и дешифрования и однорегиональный ключ.](https://platform.claude.com/docs/images/cmek/aws-configure-key.png) Введите **Alias** (псевдоним) для ключа, например `anthropic-cmek`. Нажмите **Next**. ![Шаг Add labels в AWS KMS с псевдонимом anthropic-cmek и описанием Anthropic CMEK.](https://platform.claude.com/docs/images/cmek/aws-add-labels.png) Не выбирайте администраторов ключа. Ваша политика ключа уже предоставляет вашей учётной записи AWS полный административный контроль. Нажмите **Next**. ![Шаг Define key administrative permissions в AWS KMS со списком ролей IAM, которые могут администрировать ключ.](https://platform.claude.com/docs/images/cmek/aws-admin-permissions.png) Не выбирайте пользователей ключа и ничего не добавляйте в разделе **Other AWS accounts**. Ваша политика ключа уже предоставляет необходимый доступ. Нажмите **Next**. Нажмите **Edit**. Замените всю политику вашей политикой ключа, затем нажмите **Next**. Нажмите **Finish**. В **Customer managed keys** откройте новый ключ и скопируйте его ARN. ARN понадобится вам для регистрации ключа. Чтобы заменить политику ключа для уже существующего ключа: 1. Откройте ключ и перейдите на вкладку **Key policy**. 2. Если вы видите **Switch to policy view**, нажмите на эту кнопку. 3. Нажмите **Edit**. 4. Замените JSON вашей политикой ключа. 5. Нажмите **Save changes**. Сохраните вашу политику ключа как `key-policy.json`, затем создайте ключ. Замените `` на регион ключа. ```bash aws kms create-key \ --region \ --description "Anthropic CMEK" \ --key-usage ENCRYPT_DECRYPT \ --policy file://key-policy.json ``` Скопируйте `KeyMetadata.Arn` из вывода. Он понадобится вам для регистрации ключа. **Необязательно:** чтобы дополнительно ограничить оба оператора принципала службы, добавьте в каждый из них условие `aws:SourceArn`. Исходный ARN при каждом вызове — это [ARN рабочего пространства](https://platform.claude.com/docs/ru/api/claude-platform-on-aws-iam-actions#service-details) в формате `arn:aws:aws-external-anthropic:::workspace/`. * **Все рабочие пространства в вашей учётной записи AWS:** `"ArnLike": {"aws:SourceArn": "arn:aws:aws-external-anthropic:*::workspace/*"}` * **Определённые рабочие пространства:** то же условие, но со списком полных ARN рабочих пространств вместо подстановочного знака ## Регистрация ключа в Anthropic Войдите в Claude Console через AWS с ролью Admin. В Claude Console перейдите на страницу [Data retention](https://platform.claude.com/settings/privacy#encryption-keys) (`platform.claude.com/settings/privacy`). Если вы не видите **Encryption keys**, выберите **Organization** в раскрывающемся меню в верхней части страницы. В разделе **Encryption keys** нажмите **Add key**. Введите **Display name**. Anthropic отклоняет ARN псевдонимов и мультирегиональные ключи. В поле **KMS key ARN** вставьте ARN ключа. Если вместо этого отображается список ключей, выберите свой ключ или нажмите **Enter ARN manually** и вставьте ARN. Нажмите **Add**. Прикрепление ключа нельзя отменить. По возможности прикрепляйте его к новому рабочему пространству до того, как это рабочее пространство начнёт получать запросы. В рабочем пространстве, которое уже получает запросы, ключ может [вступить в силу в течение суток](https://platform.claude.com/docs/ru/manage-claude/cmek#how-it-works). На странице Data retention выберите рабочее пространство в раскрывающемся меню в верхней части страницы. В разделе **Encryption key** выберите ключ и нажмите **Save**. Установите флажок, подтверждающий, что вы ознакомились с документацией по CMEK, затем нажмите **Confirm**. При прикреплении ключ проходит проверку. Если прикрепление завершается ошибкой доступа KMS, см. раздел [Устранение неполадок проверки](https://platform.claude.com/docs/ru/manage-claude/cmek-claude-platform-on-aws#troubleshoot-validation). Вы также можете выбрать ключ при создании рабочего пространства в Claude Console, если в политике вашего ключа нет условия `EncryptionContext`. Чтобы вместо этого регистрировать и прикреплять ключи с помощью API, см. раздел [Действия IAM](https://platform.claude.com/docs/ru/api/claude-platform-on-aws-iam-actions#encryption-keys). API идентифицирует ключ по его ARN ключа KMS. ## Устранение неполадок проверки Если проверка не проходит, распространённые причины: * **Несоответствие политики ключа:** убедитесь, что политика ключа совпадает с приведённой в разделе [Подготовка политики ключа](https://platform.claude.com/docs/ru/manage-claude/cmek-claude-platform-on-aws#prepare-the-key-policy). Чтобы проверить политику ключа, выполните `aws kms get-key-policy --region --key-id --policy-name default`. * **Несоответствие условия:** убедитесь, что любое условие `EncryptionContext` или `aws:SourceArn` включает это рабочее пространство. * **Состояние или расположение ключа:** убедитесь, что ключ включён, является однорегиональным и находится в той же учётной записи AWS и том же регионе, что и рабочее пространство. * **Отсутствующие разрешения:** принципалу, под которым вы вошли, необходимы `kms:DescribeKey`, `kms:Encrypt` и `kms:Decrypt` для ключа. * **Политики организации:** убедитесь, что никакая политика управления службами (service control policy) или политика управления ресурсами (resource control policy) в вашей организации AWS не блокирует принципала службы или вашего принципала. Если прикрепление по-прежнему не удаётся, найдите отклонённое событие `kms:` в CloudTrail в учётной записи ключа. В нём указан вызывающий принципал, а для криптографических вызовов — контекст шифрования. После устранения причины снова нажмите **Save**. ## Terraform Чтобы создать ключ с помощью Terraform, используйте ресурсы `aws_kms_key` и `aws_kms_alias` из провайдера `aws`.