--- title: Устранение неполадок CMEK url: https://platform.claude.com/docs/ru/manage-claude/cmek-troubleshooting description: Найдите причину и способ исправления сообщения об ошибке CMEK, неудачной проверки или неожиданной записи в журнале. --- **Verify** в Claude Console, **Add** на claude.ai и вызов validate в Admin API выполняют одну и ту же проверку. Если она завершается неудачей (**Connection failed** в Claude Console), посмотрите причины для [AWS KMS](https://platform.claude.com/docs/ru/manage-claude/cmek-troubleshooting#aws-kms), [Google Cloud KMS](https://platform.claude.com/docs/ru/manage-claude/cmek-troubleshooting#google-cloud-kms) или [Azure Key Vault](https://platform.claude.com/docs/ru/manage-claude/cmek-troubleshooting#azure-key-vault). Если функция перестала работать, возможно, её отключают «customer-managed encryption keys» (ключи шифрования, управляемые клиентом), или CMEK. Проверьте [список для Claude Platform](https://platform.claude.com/docs/ru/manage-claude/cmek-coverage-claude-platform#turned-off-or-changed) или [список для Claude Enterprise](https://platform.claude.com/docs/ru/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed). Если ничего из описанного здесь не подходит, свяжитесь с вашей командой по работе с клиентами Anthropic. ## Запросы завершаются ошибкой после настройки ### `cmek_key_disabled` ```text wrap Customer-managed encryption key is disabled or revoked. Re-enable the key to restore access. ``` Эта ошибка 400 означает, что ваша «key management service» (служба управления ключами) отклонила вызов Anthropic. Проверьте эти причины по порядку: 1. Ваш ключ отключён. 2. Доступ Anthropic к вашему ключу был отозван. [Страница настройки](https://platform.claude.com/docs/ru/manage-claude/cmek#set-it-up) показывает, какой доступ нужен Anthropic. 3. В AWS KMS политика ключа [перечисляет рабочие пространства](https://platform.claude.com/docs/ru/manage-claude/cmek-aws-kms-workspaces), но не это. 4. В AWS KMS условие по IP блокирует [исходящие IP-адреса Anthropic](https://platform.claude.com/docs/ru/api/ip-addresses#outbound-ip-addresses). Устраните причину. При восстановлении доступа [действуют два ограничения](https://platform.claude.com/docs/ru/manage-claude/cmek-key-lifecycle#restore-access). ### `cmek_key_network_blocked` ```text wrap The request to your key management service was blocked by its network access controls (for example, a KMS firewall or IP allowlist). Verify that your KMS network rules allow requests from Anthropic's published IP addresses, or contact Anthropic support if your configuration looks correct. ``` Это ошибка 400. Сам ключ может быть исправен. Разрешите [опубликованные IP-адреса Anthropic](https://platform.claude.com/docs/ru/api/ip-addresses) в сетевых правилах вашей службы управления ключами. ### `cmek_key_unreachable` ```text wrap The workspace's customer-managed encryption key could not be reached. Try again shortly. If this continues, check that the key is available in your key management service, or contact Anthropic support. ``` Эта ошибка 503 означает, что [Anthropic не удалось обратиться к вашему ключу](https://platform.claude.com/docs/ru/manage-claude/cmek-key-lifecycle#unreachable-key). Повторите запрос. ## Проверка завершается неудачей: AWS KMS | Причина | Исправление | | -------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Неверный идентификатор организации | Условие `org_uuid` должно указывать [идентификатор вашей организации Anthropic](https://platform.claude.com/docs/ru/manage-claude/cmek-aws-kms#prerequisites) — UUID без префикса `org_`. | | В политике отсутствует рабочее пространство | Условие `compartment_uuid` должно [указывать идентификатор компартмента](https://platform.claude.com/docs/ru/manage-claude/cmek-aws-kms-workspaces) каждого рабочего пространства, к которому привязан ключ. | | Доступ предоставлен через IAM, а не через политику ключа | Роли Anthropic нужен доступ в [самой политике ключа](https://platform.claude.com/docs/ru/manage-claude/cmek-aws-kms#key-policy). | Чтобы вывести политику ключа, выполните: ```bash aws kms get-key-policy \ --region \ --key-id \ --policy-name default ``` ### Ключ, который уже защищает данные Если вы [заменяете политику ключа](https://platform.claude.com/docs/ru/manage-claude/cmek-aws-kms-workspaces#replace-the-key-policy), который уже защищает данные, добавьте эту инструкцию, чтобы Anthropic по-прежнему мог расшифровывать эти данные. В её условии укажите идентификатор компартмента каждого рабочего пространства, к которому ключ привязан или был привязан. ```json { "Sid": "AllowAnthropicCMEKDecryptExistingData", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": "kms:Decrypt", "Resource": "*", "Condition": { "StringEquals": { "kms:EncryptionContext:anthropic:compartment_uuid": [""] } } } ``` ## Проверка завершается неудачей: Google Cloud KMS | Причина | Исправление | | ----------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Неверная метка организации | Ключу нужна [метка организации](https://platform.claude.com/docs/ru/manage-claude/cmek-google-cloud-kms#organization-label) с идентификатором вашей организации Anthropic в нижнем регистре. | | Domain restricted sharing | Эта политика организации блокирует предоставление доступа сервисному аккаунту Anthropic. [Добавьте исключение](https://platform.claude.com/docs/ru/manage-claude/cmek-google-cloud-kms#prerequisites). | | Отключённая или уничтоженная версия ключа | Основная версия ключа должна быть включена. | Чтобы проверить предоставленный доступ, выполните: ```bash gcloud kms keys get-iam-policy \ --project= \ --location= \ --keyring= ``` ## Проверка завершается неудачей: Azure Key Vault | Причина | Исправление | | --------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Неверный тег организации | Текущей версии ключа нужен [тег организации](https://platform.claude.com/docs/ru/manage-claude/cmek-azure-key-vault#organization-tag). | | Назначение роли ещё не вступило в силу | Новое назначение роли может занять несколько минут. Подождите, затем попробуйте снова. | | Сетевые правила хранилища блокируют Anthropic | Сверьте правила с [настройками хранилища, которые нужны Anthropic](https://platform.claude.com/docs/ru/manage-claude/cmek-azure-key-vault#check-your-vault-configuration). | ## Привязка завершается неудачей в Claude Platform on AWS В Claude Platform on AWS нет шага **Verify**, поэтому проблема с ключом проявляется, когда вы его привязываете. | Причина | Исправление | | -------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Несоответствие политики ключа | Выведите политику ключа с помощью [команды `get-key-policy`](https://platform.claude.com/docs/ru/manage-claude/cmek-troubleshooting#aws-kms) и сравните её с [политикой на странице настройки](https://platform.claude.com/docs/ru/manage-claude/cmek-claude-platform-on-aws#prepare-the-key-policy). | | Несоответствие условия | Любое условие `EncryptionContext` или `aws:SourceArn` должно включать это рабочее пространство. | | Состояние или расположение ключа | Ключ должен быть включён, должен быть однорегиональным и находиться в том же аккаунте AWS и регионе, что и рабочее пространство. | | Отсутствуют разрешения | Субъекту, под которым вы вошли, нужны разрешения `kms:DescribeKey`, `kms:Encrypt` и `kms:Decrypt` на ключ. | Если привязка по-прежнему завершается неудачей, найдите отклонённое событие `kms:` в CloudTrail в аккаунте, которому принадлежит ключ. Оно показывает вызывающий субъект и, для криптографических вызовов, контекст шифрования. Устраните причину, затем снова нажмите **Save**. ## Привязка или добавление ключа отклоняется ### Рабочее пространство не хранит данные ```text wrap CMEK keys can only be attached to workspaces in this organization that have inference data retention enabled. ``` [Ваша организация использует «zero data retention» (нулевое хранение данных), или ZDR](https://platform.claude.com/docs/ru/manage-claude/cmek-data-retention#zdr-organizations), а для ключа нужно рабочее пространство, которое хранит данные. Сначала переключите рабочее пространство на **Standard data retention**. ### У рабочего пространства нет настройки Encryption key Эта настройка есть только у [рабочего пространства, которое хранит данные](https://platform.claude.com/docs/ru/manage-claude/cmek-data-retention#data-retention), поэтому сначала выберите для рабочего пространства **Standard data retention**. Рабочее пространство по умолчанию в организации с ZDR переключить нельзя, поэтому используйте другое. ### Нет раздела Encryption keys В Claude Console выберите **Organization** в раскрывающемся меню в верхней части страницы Data retention. Если раздел по-прежнему отсутствует, ваша роль его не включает или CMEK не включён для вашей организации. CMEK включает ваша команда по работе с клиентами Anthropic. ### К рабочему пространству уже привязан ключ ```text wrap This workspace already has a different external key attached. ``` Ключ рабочего пространства нельзя заменить, поэтому для другого ключа [создайте новое рабочее пространство](https://platform.claude.com/docs/ru/manage-claude/cmek-key-lifecycle#change-keys). ### Добавление ключа на claude.ai завершается неудачей ```text wrap The encryption key couldn’t be added. ``` Проверка вашего ключа завершилась неудачей. Найдите причину для [AWS KMS](https://platform.claude.com/docs/ru/manage-claude/cmek-troubleshooting#aws-kms), [Google Cloud KMS](https://platform.claude.com/docs/ru/manage-claude/cmek-troubleshooting#google-cloud-kms) или [Azure Key Vault](https://platform.claude.com/docs/ru/manage-claude/cmek-troubleshooting#azure-key-vault). Чтобы повторить попытку, снова нажмите **Add key**. Откроется диалоговое окно с ранее введёнными данными. Установите флажок, нажмите **Continue**, затем нажмите **Add**. ## Ожидаемые ошибки в CloudTrail В Claude Platform и Claude Enterprise Anthropic проверяет ваш ключ каждый раз, когда вы его проверяете, привязываете к рабочему пространству или просматриваете на claude.ai. Каждая такая проверка добавляет в CloudTrail четыре ожидаемые ошибки отказа в доступе. Чтобы отфильтровать их, сопоставляйте все три значения: * `requestParameters.encryptionContext.associatedData`: `Y21lay12YWxpZGF0aW9u` * `userIdentity.accountId`: `915198916910` * `resources.ARN`: `arn:aws:kms:::key/` Одного первого значения недостаточно, поскольку его может задать любой вызывающий субъект.