CMEK 疑難排解

Claude Console 中的 Verify、claude.ai 上的 Add，以及 Admin API 的 validate 呼叫，全都執行相同的檢查。當檢查失敗時（在 Claude Console 中顯示 Connection failed），請參閱 AWS KMS、Google Cloud KMS 或 Azure Key Vault 的原因說明。

如果某項功能停止運作，它可能是「customer-managed encryption keys」（客戶管理的加密金鑰），即 CMEK 會關閉的功能之一。請查看 Claude Platform 清單或 Claude Enterprise 清單。

如果這裡沒有符合的情況，請聯絡您的 Anthropic 客戶團隊。

設定完成後請求失敗

cmek_key_disabled

Customer-managed encryption key is disabled or revoked. Re-enable the key to restore access.

這個 400 錯誤表示您的「key management service」（金鑰管理服務）拒絕了 Anthropic 的呼叫。請依序檢查以下原因：

1. 金鑰已停用。
2. Anthropic 對您的金鑰的存取權已被移除。您的設定頁面列出了 Anthropic 需要的存取權。
3. 在 AWS KMS 上，金鑰政策列出了工作區，但未包含此工作區。
4. 在 AWS KMS 上，IP 條件封鎖了 Anthropic 的對外 IP 位址。

修正該原因。存取權恢復時，有兩項限制適用。

cmek_key_network_blocked

The request to your key management service was blocked by its network access controls (for example, a KMS firewall or IP allowlist). Verify that your KMS network rules allow requests from Anthropic's published IP addresses, or contact Anthropic support if your configuration looks correct.

這是一個 400 錯誤。金鑰本身可能仍然正常。請在您的金鑰管理服務的網路規則中允許 Anthropic 公布的 IP 位址。

cmek_key_unreachable

The workspace's customer-managed encryption key could not be reached. Try again shortly. If this continues, check that the key is available in your key management service, or contact Anthropic support.

這個 503 錯誤表示 Anthropic 無法連線到您的金鑰。請重試該請求。

驗證失敗：AWS KMS

若要列印金鑰政策，請執行：

aws kms get-key-policy \
  --region <REGION> \
  --key-id <KEY_ARN> \
  --policy-name default

已在保護資料的金鑰

如果您要替換某個金鑰上的政策，而該金鑰已在保護資料，請加入此政策陳述式，讓 Anthropic 仍能解密那些資料。在其條件中，列出該金鑰目前或曾經附加的每個工作區的隔間 ID。

{
  "Sid": "AllowAnthropicCMEKDecryptExistingData",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
  },
  "Action": "kms:Decrypt",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:EncryptionContext:anthropic:compartment_uuid": ["<COMPARTMENT_UUID>"]
    }
  }
}

驗證失敗：Google Cloud KMS

若要檢查授權，請執行：

gcloud kms keys get-iam-policy <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name>

驗證失敗：Azure Key Vault

在 Claude Platform on AWS 上附加失敗

Claude Platform on AWS 沒有 Verify 步驟，因此金鑰的問題會在您附加金鑰時才顯示出來。

如果附加仍然失敗，請在金鑰所屬帳戶的 CloudTrail 中找出被拒絕的 kms: 事件。它會顯示呼叫的主體，以及（針對密碼編譯呼叫）加密內容。修正該原因後，再次點擊 Save。

附加或新增金鑰遭到拒絕

工作區不保留資料

CMEK keys can only be attached to workspaces in this organization that have inference data retention enabled.

您的組織使用「zero data retention」（零資料保留），即 ZDR，而金鑰需要一個會保留資料的工作區。請先將工作區切換為 Standard data retention。

工作區沒有 Encryption key 設定

只有會保留資料的工作區才有此設定，因此請先為該工作區選取 Standard data retention。ZDR 組織的預設工作區無法切換，因此請使用其他工作區。

沒有 Encryption keys 區段

在 Claude Console 中，從 Data retention 頁面頂端的下拉式選單選取 Organization。如果該區段仍未出現，表示您的角色不包含此區段，或您的組織尚未開啟 CMEK。CMEK 由您的 Anthropic 客戶團隊開啟。

工作區已有金鑰

This workspace already has a different external key attached.

工作區的金鑰無法替換，因此若要使用不同的金鑰，請建立新的工作區。

在 claude.ai 上新增金鑰失敗

The encryption key couldn’t be added.

對您的金鑰所進行的檢查失敗。請查找 AWS KMS、Google Cloud KMS 或 Azure Key Vault 的原因。若要重試，請再次點擊 Add key。對話方塊開啟時會帶入您先前填寫的詳細資料。勾選核取方塊，點擊 Continue，然後點擊 Add。

CloudTrail 中的預期錯誤

在 Claude Platform 和 Claude Enterprise 上，每當您驗證金鑰、將金鑰附加到工作區，或在 claude.ai 上檢視金鑰時，Anthropic 都會檢查您的金鑰。每次檢查都會在 CloudTrail 中新增四個預期的存取遭拒錯誤。

若要將這些錯誤篩選掉，請同時比對以下三個值：

• requestParameters.encryptionContext.associatedData：Y21lay12YWxpZGF0aW9u
• userIdentity.accountId：915198916910
• resources.ARN：arn:aws:kms:<REGION>:<AWS_ACCOUNT_ID>:key/<KEY_ID>

僅比對第一個值並不足夠，因為任何呼叫者都可以設定該值。