將 AWS KMS 金鑰限制於特定工作區

設定時的金鑰政策允許您組織中的每個工作區使用該金鑰。加上這個選用條件後，未列出的工作區就無法使用該金鑰。

在將金鑰附加到某個工作區之前，請先將該工作區的隔間 ID 新增至政策中。對於新工作區，這表示要在不附加該金鑰的情況下建立它。

複製工作區的隔間 ID

在 Claude Console 中，開啟 Data retention 頁面，並從頂端的下拉式選單中選取工作區。複製 Encryption key 下方的 Compartment ID。Get Workspace 端點會以 compartment_id 傳回該隔間 ID。

Claude Enterprise 組織只有一個隔間 ID。請在 claude.ai > Organization settings > Data and privacy 的 Encryption keys 下，從您的金鑰複製它。

將條件新增至金鑰政策

以下列陳述式取代 AllowAnthropicCMEKCrypto 政策陳述式。填入您的 Anthropic 組織 ID，以及每個使用該金鑰的工作區的隔間 ID。已在保護資料的金鑰還需要再多一個政策陳述式。

{
  "Sid": "AllowAnthropicCMEKCrypto",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
  },
  "Action": ["kms:Encrypt", "kms:Decrypt"],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:anthropic:org_uuid": ["<ORGANIZATION_UUID>"]
    },
    "StringEqualsIfExists": {
      "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
    }
  }
}

取代現有金鑰上的金鑰政策

1. 在 AWS KMS 主控台中，開啟該金鑰並點選 Key policy 分頁。
2. 如果您看到 Switch to policy view，請點選它。
3. 點選 Edit。
4. 將 JSON 取代為您的金鑰政策。
5. 點選 Save changes。