为 CMEK 配置 AWS KMS

claude "/claude-api help me configure a customer-managed encryption key with AWS KMS"

本指南将逐步介绍如何将 AWS KMS 密钥配置为您的 Anthropic 组织的 "customer-managed encryption key"（客户管理的加密密钥），即 CMEK。

前提条件

• 一个拥有创建 KMS 密钥和设置密钥策略权限（kms:CreateKey 和 kms:PutKeyPolicy）的 AWS 账户。
• 您组织的 Anthropic Admin API 密钥。
• 已安装并完成身份验证的 AWS CLI。

Anthropic 的 Amazon 资源名称（ARN）

要让 Anthropic 使用您的加密密钥，您必须为 Anthropic 的 IAM 角色提供一个可用于加密数据的 KMS 密钥。Anthropic CMEK 的 ARN 为：

arn:aws:iam::915198916910:role/anthropic-cmek-client-us

加密密钥设置

1. 1

   创建带有跨账户密钥策略的 KMS 密钥

   密钥策略授予 Anthropic 的 IAM 角色跨账户访问权限。需要以下三条语句：

   1. 账户根管理员： 标准的 KMS 模式。您的账户保留完全的管理控制权。
   2. Anthropic 加密和解密： kms:Encrypt 和 kms:Decrypt 操作，Anthropic 使用它们来加密和解密保护您工作区数据的数据密钥（"envelope encryption"，即信封加密）。
   3. Anthropic 描述： Anthropic 在启动时执行的元数据读取。之所以单独授予，是因为 DescribeKey 没有 EncryptionContext 参数，因此对此操作设置 EncryptionContext 条件将始终导致拒绝。

   export YOUR_ACCOUNT=$(aws sts get-caller-identity --query Account --output text)
   
   aws kms create-key \
     --region <region> \
     --description "Anthropic CMEK" \
     --key-usage ENCRYPT_DECRYPT \
     --policy "{
       \"Version\": \"2012-10-17\",
       \"Statement\": [
         {
           \"Sid\": \"AccountRootAdmin\",
           \"Effect\": \"Allow\",
           \"Principal\": {\"AWS\": \"arn:aws:iam::${YOUR_ACCOUNT}:root\"},
           \"Action\": \"kms:*\",
           \"Resource\": \"*\"
         },
         {
           \"Sid\": \"AllowAnthropicCMEKCrypto\",
           \"Effect\": \"Allow\",
           \"Principal\": {\"AWS\": \"arn:aws:iam::915198916910:role/anthropic-cmek-client-us\"},
           \"Action\": [\"kms:Encrypt\", \"kms:Decrypt\"],
           \"Resource\": \"*\",
           \"Condition\": {
             \"StringEquals\": {
               \"kms:EncryptionContext:anthropic:compartment_uuid\": [
                 \"00000000-0000-0000-0000-000000000000\",
                 \"<compartment-uuid>\"
               ]
             }
           }
         },
         {
           \"Sid\": \"AllowAnthropicCMEKDescribe\",
           \"Effect\": \"Allow\",
           \"Principal\": {\"AWS\": \"arn:aws:iam::915198916910:role/anthropic-cmek-client-us\"},
           \"Action\": \"kms:DescribeKey\",
           \"Resource\": \"*\"
         }
       ]
     }"

   

   从输出中记录 KeyMetadata.Arn。在下一步向 Anthropic 注册密钥时需要用到它。

   EncryptionContext 条件是推荐的，但并非必需。Anthropic 始终会在加密上下文中包含您工作区的 compartment ID（隔区 ID），因此无论如何，密文都会以加密方式绑定到该隔区。添加该条件可在 IAM 层提供纵深防御。如果想先不使用该条件，请从 AllowAnthropicCMEKCrypto 语句中省略 Condition 块，之后再通过 kms:PutKeyPolicy 添加。

   您也可以从 AWS 控制台创建密钥。选择对称密钥，密钥用途为加密和解密，单区域密钥，密钥材料来源为 KMS。创建密钥向导会在其 Review（审核）步骤提交密钥策略：如果您在该处的密钥使用权限下添加 Anthropic 的账户 ID 915198916910，生成的策略会向整个 Anthropic 账户授予更广泛的操作（例如 kms:ReEncrypt* 和 kms:GenerateDataKey*），且不带 EncryptionContext 条件，而验证仍会针对该策略成功通过。为避免留下权限过宽的密钥，请仅使用管理权限完成向导，然后打开密钥的 Key policy（密钥策略）选项卡，将 JSON 替换为前面所示的角色范围策略（即限定于 anthropic-cmek-client-us 角色并带有 EncryptionContext 条件的三条语句）。

   

   

   

   

向 Anthropic 注册密钥

注册密钥的方式取决于您使用的产品。

Terraform

对于基础设施即代码部署，相同的步骤对应于 aws provider 中的 aws_kms_key 和 aws_kms_alias 资源。