CMEK 的工作原理
您的密钥如何保护存储的数据、一个密钥涵盖哪些内容、何时生效，以及您可以查看哪些信息。
您的密钥封装用于加密您数据的密钥
Anthropic 使用数据密钥加密您存储的数据。借助 "customer-managed encryption keys"（客户管理的加密密钥），即 CMEK，您的密钥会加密（即封装）这些数据密钥。这就是信封加密。为了写入或读取数据，Anthropic 会请求您的 "key management service"（密钥管理服务），即 KMS，封装或解封装数据密钥。
数据密钥在 Anthropic 和您的云之间传递。您的密钥绝不会离开您的 KMS。您的数据也绝不会发送到 KMS。
Anthropic 不保存您密钥的任何副本，因此如果没有您的密钥，Claude 将无法读取它所保护的数据。
一个密钥保护哪些内容
在 Claude Platform 和 Claude Platform on AWS 上，一个密钥保护一个工作区，且一个密钥可以服务于多个工作区。在 Claude Enterprise 上，一个密钥保护整个组织，而该组织只能拥有一个密钥。您的密钥保护哪些数据取决于您使用的产品。
在 Claude Platform 和 Claude Enterprise 上，您的密钥带有您的 Anthropic 组织 ID，该 ID 将密钥与您的组织绑定。根据您使用的 KMS，该 ID 位于密钥策略条件、标签或标记中。不带该 ID 的密钥将无法通过验证。在多个组织之间共享的密钥会带有每个组织的 ID。
AWS KMS 密钥策略可以通过分区 ID 指定工作区。分区 ID 是 Anthropic 为每个工作区分配的用于加密的 UUID，而不是以 wrkspc_ 开头的工作区 ID。
您的密钥所在位置
您的密钥位于 AWS KMS、Google Cloud KMS 或 Azure Key Vault 中。您的提供商可能会对此收费。
在 Claude Platform 和 Claude Enterprise 上，CMEK 在美国区域可用，Anthropic 在这些区域处理所有加密操作。每个设置页面都列出了延迟最低的区域。
您的密钥何时生效
您的密钥仅保护在其生效后写入的数据。现有数据（之前的聊天、文件和会话）仍受 Anthropic 的密钥保护，不会被重新加密。
在 Claude Platform 和 Claude Platform on AWS 上，在工作区首次请求之前附加到该工作区的密钥会随该请求生效。在正在使用的工作区中，您的密钥最多可能需要一天才能生效，在此期间写入的数据仍受 Anthropic 的密钥保护。因此，Anthropic 建议使用新的工作区。
您可以查看的信息
您云的审计日志可以记录 Anthropic 使用您的密钥执行的每一项操作。如果您需要开启该日志记录，您的设置页面会将其列为前提条件。在 AWS CloudTrail 中，部分条目属于预期错误。
对您的 CMEK 配置所做的更改会显示在 Compliance API Activity Feed 中。密钥操作不会显示在其中。
延迟和标准
每次封装或解封装都需要与您的 KMS 进行一次往返通信，这可能会为读取和写入存储的数据增加少量延迟。有关 FIPS 等加密标准，请参阅 Trust Center 中的 CMEK 白皮书。
接下来，请阅读每项密钥操作的作用。
Was this page helpful?