CMEK 的運作方式
您的金鑰如何保護已儲存的資料、一把金鑰涵蓋哪些範圍、何時生效，以及您可以看到哪些內容。
您的金鑰包裝用於加密您資料的金鑰
Anthropic 使用資料金鑰加密您已儲存的資料。使用「customer-managed encryption keys」（客戶管理的加密金鑰），即 CMEK 時，您的金鑰會加密（也就是包裝）這些資料金鑰。這稱為信封加密。為了寫入或讀取資料，Anthropic 會請求您的「key management service」（金鑰管理服務），即 KMS，包裝或解除包裝資料金鑰。
在 Anthropic 與您的雲端之間傳遞的是資料金鑰。您的金鑰絕不會離開您的 KMS。您的資料也絕不會傳送到您的 KMS。
Anthropic 不會保留您金鑰的任何副本，因此若沒有您的金鑰，Claude 就無法讀取該金鑰所保護的資料。
一把金鑰保護的範圍
在 Claude Platform 和 Claude Platform on AWS 上，一把金鑰保護一個工作區，而一把金鑰可以服務多個工作區。在 Claude Enterprise 上，一把金鑰保護整個組織，而組織僅能有唯一一把金鑰。您的金鑰保護哪些資料取決於您使用的產品。
在 Claude Platform 和 Claude Enterprise 上，您的金鑰帶有您的 Anthropic 組織 ID，藉此將該金鑰綁定至您的組織。依您的 KMS 而定，此 ID 會放在金鑰政策條件、標記或標籤中。未帶有此 ID 的金鑰將無法通過驗證。在多個組織之間共用的金鑰會帶有每個組織的 ID。
AWS KMS 金鑰政策可以透過隔間 ID 指定工作區。隔間 ID 是 Anthropic 為加密用途而分配給每個工作區的 UUID，而不是以 wrkspc_ 開頭的工作區 ID。
您的金鑰存放位置
您的金鑰存放在 AWS KMS、Google Cloud KMS 或 Azure Key Vault 中。您的供應商可能會對此收費。
在 Claude Platform 和 Claude Enterprise 上，CMEK 可在美國區域使用，且 Anthropic 會在這些區域處理所有加密操作。各設定頁面列出了延遲最低的區域。
您的金鑰何時生效
您的金鑰只保護在其生效之後寫入的資料。既有資料（先前的聊天、檔案和工作階段）仍由 Anthropic 自己的金鑰保護，且不會重新加密。
在 Claude Platform 和 Claude Platform on AWS 上，若金鑰在工作區的第一個請求之前就已附加到該工作區，金鑰會自該請求起生效。在已在使用中的工作區裡，您的金鑰最多可能需要一天才會生效，而在此期間寫入的資料仍由 Anthropic 自己的金鑰保護。因此 Anthropic 建議使用新的工作區。
您可以看到的內容
您雲端的稽核日誌可以記錄 Anthropic 使用您的金鑰執行的每項操作。若您必須自行開啟該記錄功能，您的設定頁面會將其列為先決條件。在 AWS CloudTrail 中，部分項目屬於預期的錯誤。
您 CMEK 設定的變更會顯示在 Compliance API Activity Feed 中。Anthropic 使用您的金鑰執行的金鑰操作則不會顯示。
延遲與標準
每次包裝或解除包裝都需要往返您的 KMS 一次，這可能會為讀取和寫入已儲存的資料增加些許延遲。關於 FIPS 等密碼學標準，請參閱 Trust Center 中的 CMEK 白皮書。
接下來，請閱讀各項金鑰動作的作用。
Was this page helpful?