Устранение неполадок CMEK

Verify в Claude Console, Add на claude.ai и вызов validate в Admin API выполняют одну и ту же проверку. Если она завершается неудачей (Connection failed в Claude Console), посмотрите причины для AWS KMS, Google Cloud KMS или Azure Key Vault.

Если функция перестала работать, возможно, её отключают «customer-managed encryption keys» (ключи шифрования, управляемые клиентом), или CMEK. Проверьте список для Claude Platform или список для Claude Enterprise.

Если ничего из описанного здесь не подходит, свяжитесь с вашей командой по работе с клиентами Anthropic.

Запросы завершаются ошибкой после настройки

cmek_key_disabled

Customer-managed encryption key is disabled or revoked. Re-enable the key to restore access.

Эта ошибка 400 означает, что ваша «key management service» (служба управления ключами) отклонила вызов Anthropic. Проверьте эти причины по порядку:

1. Ваш ключ отключён.
2. Доступ Anthropic к вашему ключу был отозван. Страница настройки показывает, какой доступ нужен Anthropic.
3. В AWS KMS политика ключа перечисляет рабочие пространства, но не это.
4. В AWS KMS условие по IP блокирует исходящие IP-адреса Anthropic.

Устраните причину. При восстановлении доступа действуют два ограничения.

cmek_key_network_blocked

The request to your key management service was blocked by its network access controls (for example, a KMS firewall or IP allowlist). Verify that your KMS network rules allow requests from Anthropic's published IP addresses, or contact Anthropic support if your configuration looks correct.

Это ошибка 400. Сам ключ может быть исправен. Разрешите опубликованные IP-адреса Anthropic в сетевых правилах вашей службы управления ключами.

cmek_key_unreachable

The workspace's customer-managed encryption key could not be reached. Try again shortly. If this continues, check that the key is available in your key management service, or contact Anthropic support.

Эта ошибка 503 означает, что Anthropic не удалось обратиться к вашему ключу. Повторите запрос.

Проверка завершается неудачей: AWS KMS

Чтобы вывести политику ключа, выполните:

aws kms get-key-policy \
  --region <REGION> \
  --key-id <KEY_ARN> \
  --policy-name default

Ключ, который уже защищает данные

Если вы заменяете политику ключа, который уже защищает данные, добавьте эту инструкцию, чтобы Anthropic по-прежнему мог расшифровывать эти данные. В её условии укажите идентификатор компартмента каждого рабочего пространства, к которому ключ привязан или был привязан.

{
  "Sid": "AllowAnthropicCMEKDecryptExistingData",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
  },
  "Action": "kms:Decrypt",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
    }
  }
}

Проверка завершается неудачей: Google Cloud KMS

Чтобы проверить предоставленный доступ, выполните:

gcloud kms keys get-iam-policy <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name>

Проверка завершается неудачей: Azure Key Vault

Привязка завершается неудачей в Claude Platform on AWS

В Claude Platform on AWS нет шага Verify, поэтому проблема с ключом проявляется, когда вы его привязываете.

Если привязка по-прежнему завершается неудачей, найдите отклонённое событие kms: в CloudTrail в аккаунте, которому принадлежит ключ. Оно показывает вызывающий субъект и, для криптографических вызовов, контекст шифрования. Устраните причину, затем снова нажмите Save.

Привязка или добавление ключа отклоняется

Рабочее пространство не хранит данные

CMEK keys can only be attached to workspaces in this organization that have inference data retention enabled.

Ваша организация использует «zero data retention» (нулевое хранение данных), или ZDR, а для ключа нужно рабочее пространство, которое хранит данные. Сначала переключите рабочее пространство на Standard data retention.

У рабочего пространства нет настройки Encryption key

Эта настройка есть только у рабочего пространства, которое хранит данные, поэтому сначала выберите для рабочего пространства Standard data retention. Рабочее пространство по умолчанию в организации с ZDR переключить нельзя, поэтому используйте другое.

Нет раздела Encryption keys

В Claude Console выберите Organization в раскрывающемся меню в верхней части страницы Data retention. Если раздел по-прежнему отсутствует, ваша роль его не включает или CMEK не включён для вашей организации. CMEK включает ваша команда по работе с клиентами Anthropic.

К рабочему пространству уже привязан ключ

This workspace already has a different external key attached.

Ключ рабочего пространства нельзя заменить, поэтому для другого ключа создайте новое рабочее пространство.

Добавление ключа на claude.ai завершается неудачей

The encryption key couldn’t be added.

Проверка вашего ключа завершилась неудачей. Найдите причину для AWS KMS, Google Cloud KMS или Azure Key Vault. Чтобы повторить попытку, снова нажмите Add key. Откроется диалоговое окно с ранее введёнными данными. Установите флажок, нажмите Continue, затем нажмите Add.

Ожидаемые ошибки в CloudTrail

В Claude Platform и Claude Enterprise Anthropic проверяет ваш ключ каждый раз, когда вы его проверяете, привязываете к рабочему пространству или просматриваете на claude.ai. Каждая такая проверка добавляет в CloudTrail четыре ожидаемые ошибки отказа в доступе.

Чтобы отфильтровать их, сопоставляйте все три значения:

• requestParameters.encryptionContext.associatedData: Y21lay12YWxpZGF0aW9u
• userIdentity.accountId: 915198916910
• resources.ARN: arn:aws:kms:<REGION>:<AWS_ACCOUNT_ID>:key/<KEY_ID>

Одного первого значения недостаточно, поскольку его может задать любой вызывающий субъект.