---
title: 將 AWS KMS 金鑰限制於特定工作區
url: https://platform.claude.com/docs/zh-TW/manage-claude/cmek-aws-kms-workspaces
description: 新增一個金鑰政策條件，指定允許使用您的 AWS KMS 金鑰的工作區。
---

[設定時的金鑰政策](https://platform.claude.com/docs/zh-TW/manage-claude/cmek-aws-kms#key-policy)允許您組織中的每個工作區使用該金鑰。加上這個選用條件後，未列出的工作區就無法使用該金鑰。

在將金鑰[附加](https://platform.claude.com/docs/zh-TW/manage-claude/cmek-aws-kms#register-the-key-with-anthropic)到某個工作區之前，請先將該工作區的[隔間 ID](https://platform.claude.com/docs/zh-TW/manage-claude/cmek-how-it-works#what-one-key-protects) 新增至政策中。對於新工作區，這表示要在不附加該金鑰的情況下建立它。

## 複製工作區的隔間 ID

在 Claude Console 中，開啟 [Data retention](https://platform.claude.com/settings/privacy) 頁面，並從頂端的下拉式選單中選取工作區。複製 **Encryption key** 下方的 **Compartment ID**。[Get Workspace](https://platform.claude.com/docs/zh-TW/api/organization/workspaces/retrieve) 端點會以 `compartment_id` 傳回該隔間 ID。

Claude Enterprise 組織只有一個隔間 ID。請在 [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls) 的 **Encryption keys** 下，從您的金鑰複製它。

## 將條件新增至金鑰政策

以下列陳述式取代 `AllowAnthropicCMEKCrypto` 政策陳述式。填入您的 Anthropic 組織 ID，以及每個使用該金鑰的工作區的隔間 ID。已在保護資料的金鑰[還需要再多一個政策陳述式](https://platform.claude.com/docs/zh-TW/manage-claude/cmek-troubleshooting#existing-data)。

```json
{
  "Sid": "AllowAnthropicCMEKCrypto",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
  },
  "Action": ["kms:Encrypt", "kms:Decrypt"],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:anthropic:org_uuid": ["<ORGANIZATION_UUID>"]
    },
    "StringEqualsIfExists": {
      "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
    }
  }
}
```

## 取代現有金鑰上的金鑰政策

1. 在 [AWS KMS 主控台](https://console.aws.amazon.com/kms)中，開啟該金鑰並點選 **Key policy** 分頁。
2. 如果您看到 **Switch to policy view**，請點選它。
3. 點選 **Edit**。
4. 將 JSON 取代為您的金鑰政策。
5. 點選 **Save changes**。