将 AWS KMS 密钥限制为仅供特定工作区使用

设置中的密钥策略允许您组织中的每个工作区使用您的密钥。添加此可选条件后，未列出的工作区将无法使用该密钥。

在将密钥附加到某个工作区之前，请先将该工作区的分区 ID 添加到策略中。对于新工作区，这意味着在创建时不附加密钥。

复制工作区的分区 ID

在 Claude Console 中，打开 Data retention 页面，然后从顶部的下拉菜单中选择工作区。复制 Encryption key 下的 Compartment ID。Get Workspace 端点会将其作为 compartment_id 返回。

Claude Enterprise 组织只有一个分区 ID。请在 claude.ai > Organization settings > Data and privacy 的 Encryption keys 下，从您的密钥中复制该 ID。

将条件添加到密钥策略

用以下策略语句替换 AllowAnthropicCMEKCrypto 策略语句。填入您的 Anthropic 组织 ID，以及使用该密钥的每个工作区的分区 ID。已在保护数据的密钥还需要一条策略语句。

{
  "Sid": "AllowAnthropicCMEKCrypto",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
  },
  "Action": ["kms:Encrypt", "kms:Decrypt"],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:anthropic:org_uuid": ["<ORGANIZATION_UUID>"]
    },
    "StringEqualsIfExists": {
      "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
    }
  }
}

替换现有密钥上的密钥策略

1. 在 AWS KMS 控制台中，打开该密钥并点击 Key policy 选项卡。
2. 如果您看到 Switch to policy view，请点击它。
3. 点击 Edit。
4. 用您的密钥策略替换其中的 JSON。
5. 点击 Save changes。