為 CMEK 設定 AWS KMS

claude "/claude-api help me configure a customer-managed encryption key with AWS KMS"

本指南將逐步說明如何將 AWS KMS 金鑰設定為您 Anthropic 組織的「customer-managed encryption key」（客戶管理的加密金鑰），即 CMEK。

先決條件

• 一個具有建立 KMS 金鑰及設定金鑰政策權限（kms:CreateKey 與 kms:PutKeyPolicy）的 AWS 帳戶。
• 您組織的 Anthropic Admin API 金鑰。
• 已安裝並完成驗證的 AWS CLI。

Anthropic 的 Amazon Resource Name (ARN)

若要讓 Anthropic 使用您的加密金鑰，您必須提供 Anthropic 的 IAM 角色一個可用於加密資料的 KMS 金鑰。Anthropic CMEK 的 ARN 為：

arn:aws:iam::915198916910:role/anthropic-cmek-client-us

加密金鑰設定

1. 1

   建立具有跨帳戶金鑰政策的 KMS 金鑰

   金鑰政策（key policy）會授予 Anthropic 的 IAM 角色跨帳戶存取權。需要以下三個陳述式：

   1. 帳戶根管理員： 標準的 KMS 模式。您的帳戶保有完整的管理控制權。
   2. Anthropic 加密與解密： kms:Encrypt 與 kms:Decrypt 動作，Anthropic 使用這些動作來加密與解密保護您工作區資料的資料金鑰（「envelope encryption」，即信封加密）。
   3. Anthropic 描述： Anthropic 在啟動時執行的中繼資料讀取。此權限需單獨授予，因為 DescribeKey 沒有 EncryptionContext 參數，因此若對此動作設定 EncryptionContext 條件，將永遠被拒絕。

   export YOUR_ACCOUNT=$(aws sts get-caller-identity --query Account --output text)
   
   aws kms create-key \
     --region <region> \
     --description "Anthropic CMEK" \
     --key-usage ENCRYPT_DECRYPT \
     --policy "{
       \"Version\": \"2012-10-17\",
       \"Statement\": [
         {
           \"Sid\": \"AccountRootAdmin\",
           \"Effect\": \"Allow\",
           \"Principal\": {\"AWS\": \"arn:aws:iam::${YOUR_ACCOUNT}:root\"},
           \"Action\": \"kms:*\",
           \"Resource\": \"*\"
         },
         {
           \"Sid\": \"AllowAnthropicCMEKCrypto\",
           \"Effect\": \"Allow\",
           \"Principal\": {\"AWS\": \"arn:aws:iam::915198916910:role/anthropic-cmek-client-us\"},
           \"Action\": [\"kms:Encrypt\", \"kms:Decrypt\"],
           \"Resource\": \"*\",
           \"Condition\": {
             \"StringEquals\": {
               \"kms:EncryptionContext:anthropic:compartment_uuid\": [
                 \"00000000-0000-0000-0000-000000000000\",
                 \"<compartment-uuid>\"
               ]
             }
           }
         },
         {
           \"Sid\": \"AllowAnthropicCMEKDescribe\",
           \"Effect\": \"Allow\",
           \"Principal\": {\"AWS\": \"arn:aws:iam::915198916910:role/anthropic-cmek-client-us\"},
           \"Action\": \"kms:DescribeKey\",
           \"Resource\": \"*\"
         }
       ]
     }"

   

   請從輸出中記下 KeyMetadata.Arn。您在下一步向 Anthropic 註冊金鑰時會需要它。

   EncryptionContext 條件為建議選項，但並非必要。Anthropic 一律會在加密上下文（encryption context）中包含您工作區的 compartment ID，因此無論如何，密文都會以密碼學方式綁定至該 compartment。加入此條件可在 IAM 層提供縱深防禦。若要先不使用此條件，請從 AllowAnthropicCMEKCrypto 陳述式中省略 Condition 區塊，之後再透過 kms:PutKeyPolicy 加入。

   您也可以從 AWS Console 建立金鑰。請選擇對稱金鑰、加密與解密金鑰用途、單一區域金鑰，以及 KMS 金鑰材料來源。Create-key 精靈會在其 Review 步驟提交金鑰政策：如果您在該處的金鑰使用權限下加入 Anthropic 的帳戶 ID 915198916910，所產生的政策會授予整個 Anthropic 帳戶更廣泛的動作（例如 kms:ReEncrypt* 與 kms:GenerateDataKey*），且不含 EncryptionContext 條件，而驗證仍會對其成功通過。為避免留下權限過於寬鬆的金鑰，請僅以管理權限完成精靈，然後開啟該金鑰的 Key policy 分頁，並將 JSON 替換為前述以角色為範圍的政策（範圍限定於 anthropic-cmek-client-us 角色的三個陳述式，並含 EncryptionContext 條件）。

   

   

   

   

向 Anthropic 註冊金鑰

註冊金鑰的方式取決於您使用的產品。

Terraform

對於基礎架構即程式碼（infrastructure-as-code）的部署，相同的步驟可對應至 aws provider 的 aws_kms_key 與 aws_kms_alias 資源。