Как работает CMEK
Как ваш ключ защищает хранимые данные, что охватывает один ключ, когда он вступает в силу и что вы можете видеть.
Ваш ключ оборачивает ключи, которыми шифруются ваши данные
Anthropic шифрует ваши хранимые данные ключами данных. С «customer-managed encryption keys» (ключи шифрования, управляемые клиентом), или CMEK, ваш ключ шифрует, то есть оборачивает, эти ключи данных. Это конвертное шифрование. Чтобы записать или прочитать данные, Anthropic обращается к вашей «key management service» (служба управления ключами), или KMS, с запросом обернуть ключ данных или снять с него обёртку.
Ключи данных передаются между Anthropic и вашим облаком. Ваш ключ никогда не покидает вашу KMS. Ваши данные никогда в неё не попадают.
Anthropic не хранит копию вашего ключа, поэтому без него Claude не может прочитать защищённые им данные.
Что защищает один ключ
На Claude Platform и Claude Platform on AWS ключ защищает рабочее пространство, и один ключ может обслуживать несколько рабочих пространств. На Claude Enterprise ключ защищает всю организацию, у которой может быть только один ключ. Какие данные защищает ваш ключ, зависит от вашего продукта.
На Claude Platform и Claude Enterprise ваш ключ содержит идентификатор вашей организации Anthropic, который связывает ключ с вашей организацией. В зависимости от вашей KMS идентификатор указывается в условии политики ключа, в метке или в теге. Ключ без этого идентификатора не проходит проверку. Ключ, общий для нескольких организаций, содержит идентификатор каждой из них.
Политика ключа AWS KMS может указывать рабочие пространства по их идентификаторам компартментов. Идентификатор компартмента — это UUID, который Anthropic присваивает каждому рабочему пространству для шифрования, а не идентификатор рабочего пространства, начинающийся с wrkspc_.
Где хранится ваш ключ
Ваш ключ хранится в AWS KMS, Google Cloud KMS или Azure Key Vault. Ваш провайдер может взимать за это плату.
На Claude Platform и Claude Enterprise CMEK доступен в регионах США, и Anthropic выполняет там все операции шифрования. На каждой странице настройки указаны регионы с наименьшей задержкой.
Когда ваш ключ вступает в силу
Ваш ключ защищает только данные, записанные после того, как он вступил в силу. Существующие данные (прежние чаты, файлы и сеансы) остаются под ключом Anthropic и не шифруются повторно.
На Claude Platform и Claude Platform on AWS ключ, привязанный к рабочему пространству до его первого запроса, вступает в силу с этим запросом. В уже используемом рабочем пространстве вступление вашего ключа в силу может занять до суток, и данные, записанные за это время, остаются под ключом Anthropic. Поэтому Anthropic рекомендует использовать новое рабочее пространство.
Что вы можете видеть
Журнал аудита вашего облака может фиксировать каждую операцию, которую Anthropic выполняет с вашим ключом. Если такое журналирование нужно включить, ваша страница настройки указывает это как предварительное условие. В AWS CloudTrail некоторые записи являются ожидаемыми ошибками.
Изменения вашей конфигурации CMEK отображаются в Compliance API Activity Feed. Операции Anthropic с вашим ключом там не отображаются.
Задержка и стандарты
Каждое оборачивание или снятие обёртки — это обращение к вашей KMS и обратно, что может немного увеличить задержку при чтении и записи хранимых данных. О криптографических стандартах, таких как FIPS, см. технический документ по CMEK в Trust Center.
Далее прочитайте, что делает каждое действие с ключом.
Was this page helpful?