Claude Platform Docs
АдминистрированиеНастройка CMEK

Настройка CMEK с Google Cloud KMS

Создайте ключ в Google Cloud KMS, предоставьте Anthropic доступ к нему и начните использовать его в Claude Platform или Claude Enterprise.

Claude Code

Позвольте Claude Code настроить эту функцию за вас

/claude-api помоги мне настроить управляемый клиентом ключ шифрования с Google Cloud KMS

Перед началом работы

В Claude:

В Google Cloud:

  • API Cloud KMS включён.
  • Вы можете создавать связки ключей и ключи, а также задавать для них политику IAM (roles/cloudkms.admin или эквивалентная роль).
  • Журналы аудита доступа к данным Cloud KMS (Data Read и Data Write) включены, чтобы Cloud Logging записывал использование вашего ключа со стороны Anthropic. По умолчанию они выключены.
  • Если в вашей организации Google Cloud применяется ограничение общего доступа по домену (constraints/iam.allowedPolicyMemberDomains), оно блокирует предоставление доступа сервисному аккаунту Anthropic. Добавьте исключение на уровне проекта или разрешите идентификатор клиента Cloud Identity компании Anthropic. Чтобы получить этот идентификатор, свяжитесь с Anthropic.

В Google Cloud: создайте ключ

Если Verify или Add завершится ошибкой, см. способы исправления для Google Cloud KMS.

Эти шаги добавляют к ключу метку с идентификатором вашей организации Anthropic в нижнем регистре (<ORGANIZATION_UUID>) и предоставляют доступ сервисному аккаунту Anthropic:

anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com

Используйте только этот адрес и никогда не используйте адрес, присланный по электронной почте или в чате.

Можно использовать любое расположение Cloud KMS. Для минимальной задержки используйте us-east5 или us-central1. Anthropic настоятельно рекомендует защиту HSM.

Чтобы использовать уже имеющийся у вас ключ, сначала добавьте метку организации.

  1. Создайте или выберите связку ключей

    В консоли Google Cloud перейдите на страницу Key management. Откройте связку ключей или создайте её в расположении, например us-east5.

  2. Настройте ключ

    Нажмите Create key и введите имя. Выберите следующие параметры:

    • Protection level: HSM
    • Key material: Generated key
    • Purpose: Symmetric encrypt/decrypt
    • Algorithm: Google symmetric key

  3. Добавьте метку организации

    Нажмите Additional settings, затем Add label. Введите метку организации:

    • Key 1: anthropic-org-<ORGANIZATION_UUID>
    • Value 1: true

    Нажмите Create.

    Страница Create key в Google Cloud KMS с защитой HSM, симметричным шифрованием и расшифровкой и меткой anthropic-org со значением true.

    Симметричный ключ для шифрования и расшифровки с защитой HSM и меткой организации.

  4. Откройте разрешения ключа

    На странице сведений о связке ключей установите флажок рядом с ключом. Откройте панель Permissions и нажмите Grant access.

  5. Предоставьте сервисному аккаунту Anthropic доступ к ключу

    Убедитесь, что в поле Resource указан ключ, а не связка ключей или проект. Введите следующие значения:

    • New principals: anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com
    • Role: Cloud KMS CryptoKey Encrypter/Decrypter

    Нажмите Add another role и выберите Cloud KMS Viewer. Нажмите Save.

    Диалоговое окно Grant access, в котором сервисному аккаунту Anthropic назначены роли Cloud KMS CryptoKey Encrypter/Decrypter и Viewer.

    Назначьте сервисному аккаунту Anthropic обе роли с областью действия на уровне ключа.

  6. Скопируйте полное имя ресурса ключа

    На странице сведений о связке ключей откройте меню Actions ключа и нажмите Copy resource name.

    Сведения о связке ключей Google Cloud с выделенным действием Copy resource name в меню действий ключа.

    Скопируйте полное имя ресурса ключа из меню действий.

Тому, кто добавляет ключ в Claude, нужно полное имя ресурса ключа в следующем формате:

projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>

Добавление метки организации к уже имеющемуся у вас ключу

Проверка завершится ошибкой, если у ключа нет метки anthropic-org-<ORGANIZATION_UUID> со значением true, где указан идентификатор вашей организации Anthropic в нижнем регистре. Чтобы добавить метку, выполните:

gcloud kms keys update <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name> \
  --update-labels=anthropic-org-<ORGANIZATION_UUID>=true

Остальные значения содержатся в полном имени ресурса ключа, а команда сохраняет существующие метки. Затем перейдите к шагам по предоставлению доступа.

В Claude: добавьте и привяжите ключ

Чтобы автоматизировать эту часть в Claude Platform с помощью скриптов, вместо этого используйте Admin API.

  1. Откройте настройки ключей шифрования

    В Claude Console откройте раздел Encryption keys на странице Data retention. Если этого раздела там нет, выберите Organization в раскрывающемся меню вверху.

  2. Добавьте ключ

    В разделе Encryption keys нажмите Add key. Введите Display name, выберите Google Cloud KMS и нажмите Continue.

  3. Введите имя ресурса ключа

    Убедитесь, что у вашего ключа есть Organization label, показанная в диалоговом окне. Вставьте полное имя ресурса ключа в поле Key resource name и нажмите Add.

  4. Проверьте ключ

    В списке Encryption keys нажмите Verify рядом с ключом. При успешной проверке отображается Connected. Если вместо этого отображается Connection failed, см. Устранение неполадок CMEK.

  5. Привяжите ключ к рабочему пространству

    1. В верхней части страницы Data retention выберите рабочее пространство в раскрывающемся меню.
    2. В разделе Encryption key выберите ключ и нажмите Save.
    3. Установите флажок, подтверждающий, что вы прочитали документацию по CMEK, затем нажмите Confirm.

    Вы увидите сообщение Workspace settings updated. Когда ключ вступит в силу, в журнале аудита вашего облачного провайдера появятся обращения Anthropic к вашему ключу.

    В организации с ZDR после выбора рабочего пространства выберите Standard data retention, чтобы появился раздел Encryption key. После нажатия Save нажмите Accept в условиях хранения данных.

Was this page helpful?