--- title: CMEK 的運作方式 url: https://platform.claude.com/docs/zh-TW/manage-claude/cmek-how-it-works description: 您的金鑰如何保護已儲存的資料、一把金鑰涵蓋哪些範圍、何時生效，以及您可以看到哪些內容。 --- ## 您的金鑰包裝用於加密您資料的金鑰 Anthropic 使用資料金鑰加密您已儲存的資料。使用「customer-managed encryption keys」（客戶管理的加密金鑰），即 CMEK 時，您的金鑰會加密（也就是包裝）這些資料金鑰。這稱為信封加密。為了寫入或讀取資料，Anthropic 會請求您的「key management service」（金鑰管理服務），即 KMS，包裝或解除包裝資料金鑰。 在 Anthropic 與您的雲端之間傳遞的是資料金鑰。您的金鑰絕不會離開您的 KMS。您的資料也絕不會傳送到您的 KMS。 ![您的金鑰保留在您雲端的 KMS 中，並包裝 Anthropic 的資料金鑰，這些資料金鑰用於加密您的資料。您的雲端可以記錄每次呼叫。](https://platform.claude.com/docs/zh-TW/images/cmek/key-wrapping.svg) Anthropic 不會保留您金鑰的任何副本，因此若沒有您的金鑰，Claude [就無法讀取該金鑰所保護的資料](https://platform.claude.com/docs/zh-TW/manage-claude/cmek-key-lifecycle)。 ## 一把金鑰保護的範圍 在 Claude Platform 和 Claude Platform on AWS 上，一把金鑰保護一個工作區，而一把金鑰可以服務多個工作區。在 Claude Enterprise 上，一把金鑰保護整個組織，而組織僅能有唯一一把金鑰。[您的金鑰保護哪些資料](https://platform.claude.com/docs/zh-TW/manage-claude/cmek#what-cmek-protects)取決於您使用的產品。 在 Claude Platform 和 Claude Enterprise 上，您的金鑰帶有您的 Anthropic 組織 ID，藉此將該金鑰綁定至您的組織。依您的 KMS 而定，此 ID 會放在金鑰政策條件、標記或標籤中。未帶有此 ID 的金鑰將無法通過驗證。在多個組織之間共用的金鑰會帶有每個組織的 ID。 AWS KMS 金鑰政策可以透過隔間 ID [指定工作區](https://platform.claude.com/docs/zh-TW/manage-claude/cmek-aws-kms-workspaces)。隔間 ID 是 Anthropic 為加密用途而分配給每個工作區的 UUID，而不是以 `wrkspc_` 開頭的工作區 ID。 ## 您的金鑰存放位置 您的金鑰存放在 AWS KMS、Google Cloud KMS 或 Azure Key Vault 中。您的供應商可能會對此收費。 在 Claude Platform 和 Claude Enterprise 上，CMEK 可在美國區域使用，且 Anthropic 會在這些區域處理所有加密操作。[各設定頁面](https://platform.claude.com/docs/zh-TW/manage-claude/cmek#set-it-up)列出了延遲最低的區域。 ## 您的金鑰何時生效 您的金鑰只保護在其生效之後寫入的資料。既有資料（先前的聊天、檔案和工作階段）仍由 Anthropic 自己的金鑰保護，且不會重新加密。 在 Claude Platform 和 Claude Platform on AWS 上，若金鑰在工作區的第一個請求之前就已附加到該工作區，金鑰會自該請求起生效。在已在使用中的工作區裡，您的金鑰最多可能需要一天才會生效，而在此期間寫入的資料仍由 Anthropic 自己的金鑰保護。因此 Anthropic 建議使用新的工作區。 ## 您可以看到的內容 您雲端的稽核日誌可以記錄 Anthropic 使用您的金鑰執行的每項操作。若您必須自行開啟該記錄功能，您的設定頁面會將其列為先決條件。在 AWS CloudTrail 中，部分項目屬於[預期的錯誤](https://platform.claude.com/docs/zh-TW/manage-claude/cmek-troubleshooting#cloudtrail)。 您 CMEK 設定的變更會顯示在 [Compliance API Activity Feed](https://platform.claude.com/docs/zh-TW/manage-claude/compliance-activity-feed) 中。Anthropic 使用您的金鑰執行的金鑰操作則不會顯示。 ## 延遲與標準 每次包裝或解除包裝都需要往返您的 KMS 一次，這可能會為讀取和寫入已儲存的資料增加些許延遲。關於 FIPS 等密碼學標準，請參閱 [Trust Center](https://trust.anthropic.com/resources) 中的 CMEK 白皮書。 接下來，請閱讀[各項金鑰動作的作用](https://platform.claude.com/docs/zh-TW/manage-claude/cmek-key-lifecycle#what-each-action-does)。