--- title: Настройка CMEK с Google Cloud KMS url: https://platform.claude.com/docs/ru/manage-claude/cmek-google-cloud-kms description: Создайте ключ в Google Cloud KMS, предоставьте Anthropic доступ к нему и начните использовать его в Claude Platform или Claude Enterprise. --- Позвольте Claude Code настроить эту функцию за вас ```text /claude-api помоги мне настроить управляемый клиентом ключ шифрования с Google Cloud KMS ``` ## Перед началом работы В Claude: * Ключи шифрования, управляемые клиентом (CMEK), [включены для вашей организации](https://platform.claude.com/docs/ru/manage-claude/cmek#availability). * У вас есть идентификатор вашей организации Anthropic — UUID без префикса `org_`. Скопируйте его со страницы [Organization](https://platform.claude.com/settings/organization) в Claude Console или из **Organization settings > Organization and access** на claude.ai. Он нужен тому, кто создаёт ключ. * Вы являетесь Organization Admin на Claude Platform либо Owner или Primary Owner в Claude Enterprise. * На Claude Platform у вас есть рабочее пространство, которое [хранит данные](https://platform.claude.com/docs/ru/manage-claude/cmek-data-retention#data-retention), в идеале новое, потому что [существующие данные остаются зашифрованными ключом Anthropic](https://platform.claude.com/docs/ru/manage-claude/cmek-how-it-works#when-your-key-takes-effect). * В Claude Enterprise вы знаете, [какие функции отключаются или изменяются](https://platform.claude.com/docs/ru/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed). В Google Cloud: * API Cloud KMS включён. * Вы можете создавать связки ключей и ключи, а также задавать для них политику IAM (`roles/cloudkms.admin` или эквивалентная роль). * [Журналы аудита доступа к данным](https://docs.cloud.google.com/logging/docs/audit/configure-data-access) Cloud KMS (Data Read и Data Write) включены, чтобы Cloud Logging записывал использование вашего ключа со стороны Anthropic. По умолчанию они выключены. * Если в вашей организации Google Cloud применяется ограничение общего доступа по домену (`constraints/iam.allowedPolicyMemberDomains`), оно блокирует предоставление доступа сервисному аккаунту Anthropic. Добавьте исключение на уровне проекта или разрешите идентификатор клиента Cloud Identity компании Anthropic. Чтобы получить этот идентификатор, свяжитесь с Anthropic. ## В Google Cloud: создайте ключ Если **Verify** или **Add** завершится ошибкой, см. [способы исправления для Google Cloud KMS](https://platform.claude.com/docs/ru/manage-claude/cmek-troubleshooting#google-cloud-kms). Эти шаги добавляют к ключу метку с идентификатором вашей организации Anthropic в нижнем регистре (``) и предоставляют доступ сервисному аккаунту Anthropic: ```text wrap anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com ``` Используйте только этот адрес и никогда не используйте адрес, присланный по электронной почте или в чате. Можно использовать любое расположение Cloud KMS. Для минимальной задержки используйте `us-east5` или `us-central1`. Anthropic настоятельно рекомендует защиту HSM. Чтобы использовать уже имеющийся у вас ключ, сначала [добавьте метку организации](https://platform.claude.com/docs/ru/manage-claude/cmek-google-cloud-kms#organization-label). В консоли Google Cloud перейдите на страницу [Key management](https://console.cloud.google.com/security/kms). Откройте связку ключей или создайте её в расположении, например `us-east5`. Нажмите **Create key** и введите имя. Выберите следующие параметры: * **Protection level:** HSM * **Key material:** Generated key * **Purpose:** Symmetric encrypt/decrypt * **Algorithm:** Google symmetric key Нажмите **Additional settings**, затем **Add label**. Введите метку организации: * **Key 1:** `anthropic-org-` * **Value 1:** `true` Нажмите **Create**. ![Страница Create key в Google Cloud KMS с защитой HSM, симметричным шифрованием и расшифровкой и меткой anthropic-org со значением true.](https://platform.claude.com/docs/images/cmek/gcp-create-key-label.png) На странице сведений о связке ключей установите флажок рядом с ключом. Откройте панель **Permissions** и нажмите **Grant access**. Убедитесь, что в поле **Resource** указан ключ, а не связка ключей или проект. Введите следующие значения: * **New principals:** `anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com` * **Role:** Cloud KMS CryptoKey Encrypter/Decrypter Нажмите **Add another role** и выберите **Cloud KMS Viewer**. Нажмите **Save**. ![Диалоговое окно Grant access, в котором сервисному аккаунту Anthropic назначены роли Cloud KMS CryptoKey Encrypter/Decrypter и Viewer.](https://platform.claude.com/docs/images/cmek/gcp-grant-access.png) На странице сведений о связке ключей откройте меню **Actions** ключа и нажмите **Copy resource name**. ![Сведения о связке ключей Google Cloud с выделенным действием Copy resource name в меню действий ключа.](https://platform.claude.com/docs/images/cmek/gcp-copy-resource-name.png) В каждой команде замените следующие заполнители: * **``:** идентификатор вашего проекта Google Cloud * **``:** расположение ключа, например `us-east5` * **``:** имя связки ключей * **``:** имя ключа * **``:** идентификатор вашей организации Anthropic в нижнем регистре Пропустите этот шаг, если у вас уже есть связка ключей, которую можно использовать повторно. ```bash gcloud kms keyrings create \ --project= \ --location= ``` ```bash gcloud kms keys create \ --project= \ --location= \ --keyring= \ --purpose=encryption \ --protection-level=hsm \ --labels=anthropic-org-=true ``` Для программной защиты опустите `--protection-level=hsm`. Выполните обе команды: ```bash gcloud kms keys add-iam-policy-binding \ --project= \ --location= \ --keyring= \ --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \ --role=roles/cloudkms.cryptoKeyEncrypterDecrypter ``` ```bash gcloud kms keys add-iam-policy-binding \ --project= \ --location= \ --keyring= \ --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \ --role=roles/cloudkms.viewer ``` ```bash gcloud kms keys describe \ --project= \ --location= \ --keyring= \ --format="value(name)" ``` Тому, кто добавляет ключ в Claude, нужно полное имя ресурса ключа в следующем формате: ```text wrap projects//locations//keyRings//cryptoKeys/ ``` ### Добавление метки организации к уже имеющемуся у вас ключу Проверка завершится ошибкой, если у ключа нет метки `anthropic-org-` со значением `true`, где указан идентификатор вашей организации Anthropic в нижнем регистре. Чтобы добавить метку, выполните: ```bash gcloud kms keys update \ --project= \ --location= \ --keyring= \ --update-labels=anthropic-org-=true ``` Остальные значения содержатся в полном имени ресурса ключа, а команда сохраняет существующие метки. Затем перейдите к [шагам по предоставлению доступа](https://platform.claude.com/docs/ru/manage-claude/cmek-google-cloud-kms#encryption-key-setup). ## В Claude: добавьте и привяжите ключ Чтобы автоматизировать эту часть в Claude Platform с помощью скриптов, вместо этого [используйте Admin API](https://platform.claude.com/docs/ru/manage-claude/cmek-admin-api). В Claude Console откройте раздел [Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys) на странице Data retention. Если этого раздела там нет, выберите **Organization** в раскрывающемся меню вверху. В разделе **Encryption keys** нажмите **Add key**. Введите **Display name**, выберите **Google Cloud KMS** и нажмите **Continue**. Убедитесь, что у вашего ключа есть **Organization label**, показанная в диалоговом окне. Вставьте полное имя ресурса ключа в поле **Key resource name** и нажмите **Add**. В списке **Encryption keys** нажмите **Verify** рядом с ключом. При успешной проверке отображается **Connected**. Если вместо этого отображается **Connection failed**, см. [Устранение неполадок CMEK](https://platform.claude.com/docs/ru/manage-claude/cmek-troubleshooting). Привязку ключа [нельзя отменить](https://platform.claude.com/docs/ru/manage-claude/cmek-key-lifecycle#what-each-action-does). Вы не сможете отвязать ключ от рабочего пространства или заменить его другим. Если ваш ключ будет удалён, Anthropic не сможет восстановить данные, которые он защищает. 1. В верхней части страницы Data retention выберите рабочее пространство в раскрывающемся меню. 2. В разделе **Encryption key** выберите ключ и нажмите **Save**. 3. Установите флажок, подтверждающий, что вы прочитали документацию по CMEK, затем нажмите **Confirm**. Вы увидите сообщение **Workspace settings updated.** Когда ключ [вступит в силу](https://platform.claude.com/docs/ru/manage-claude/cmek-how-it-works#when-your-key-takes-effect), в журнале аудита вашего облачного провайдера появятся обращения Anthropic к вашему ключу. В [организации с ZDR](https://platform.claude.com/docs/ru/manage-claude/cmek-data-retention#zdr-organizations) после выбора рабочего пространства выберите **Standard data retention**, чтобы появился раздел **Encryption key**. После нажатия **Save** нажмите **Accept** в условиях хранения данных. В Claude Enterprise CMEK применяется ко всей организации, и вы можете добавить только один ключ. Добавление ключа [невозможно отменить](https://platform.claude.com/docs/ru/manage-claude/cmek-key-lifecycle#what-each-action-does). Вы не сможете отвязать ключ от организации или заменить его. Если ключ будет удалён, Anthropic не сможет восстановить данные, защищённые этим ключом. Добавление ключа [отключает или изменяет некоторые функции](https://platform.claude.com/docs/ru/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) для всех пользователей. Чтобы сначала опробовать CMEK, используйте отдельную организацию. Перейдите в [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls) и найдите **Encryption keys**. Нажмите **Add key**. Введите **Display name** и выберите **Google Cloud KMS**. Установите флажок, подтверждающий, что вы прочитали документацию по CMEK, затем нажмите **Continue**. Убедитесь, что у вашего ключа есть **Organization label**, показанная в диалоговом окне. Вставьте полное имя ресурса ключа в поле **Key resource name** и нажмите **Add**. Проверка может занять до 30 секунд. Когда появится **Encryption key configured.**, нажмите **Done**. Если вместо этого появится **The encryption key couldn’t be added.**, [найдите причину и повторите попытку](https://platform.claude.com/docs/ru/manage-claude/cmek-troubleshooting#claude-ai-add-fails). Ваш ключ защищает данные, записанные с этого момента. Сообщите своим пользователям, [какие функции изменились](https://platform.claude.com/docs/ru/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).