Google Cloud KMS für CMEK konfigurieren

Diese Anleitung führt durch die Konfiguration eines Google Cloud KMS-Schlüssels als customer-managed encryption key (CMEK) für deine Anthropic-Organisation.

Voraussetzungen

• Ein Google Cloud-Projekt mit aktivierter Abrechnung.
• Die aktivierte Cloud KMS API (cloudkms.googleapis.com).
• Berechtigungen zum Erstellen von KMS-Schlüsselbunden und -Schlüsseln sowie zum Festlegen der IAM-Richtlinie für diese (roles/cloudkms.admin oder gleichwertig).
• Ein Anthropic Admin-API-Key für deine Organisation.
• Die installierte und authentifizierte gcloud CLI.
• Aktivierte Cloud KMS Data Access Audit Logs für das Projekt (IAM & Admin > Audit Logs > Cloud Key Management Service, mit DATA_READ und DATA_WRITE). Diese sind standardmäßig deaktiviert; ohne sie erzeugen die Verschlüsselungs- und Entschlüsselungsvorgänge von Anthropic keine Einträge in Cloud Logging.

E-Mail-Adresse des Anthropic-Dienstkontos

Damit Anthropic deinen Verschlüsselungsschlüssel verwenden kann, musst du dem Dienstkonto von Anthropic einen Schlüssel geben, den es zum Verschlüsseln von Daten verwenden kann. Die E-Mail-Adresse des Dienstkontos für Anthropic CMEK lautet:

anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com

Einrichtung des Verschlüsselungsschlüssels

1. 1

   Einen Schlüsselbund erstellen oder auswählen

   Überspringe diesen Schritt, wenn du bereits einen Schlüsselbund zur Wiederverwendung hast. Schlüsselbunde sind regional. Wähle einen US-Standort mit einer einzelnen Region wie us-east5, der zur Anthropic-Geografie passt, die du konfigurierst. Multi-Region-Standorte wie us und global werden nicht unterstützt.

   gcloud kms keyrings create <your-keyring-name> \
     --project=<your-project-id> \
     --location=<region>

   
2. 2

   Den Krypto-Schlüssel erstellen

   Erstelle einen symmetrischen Schlüssel mit dem Zweck ENCRYPT_DECRYPT. Anthropic empfiehlt dringend HSM-Schutz: Cloud KMS HSM-Schlüssel sind FIPS 140-2 Level 3 validiert, und der Kostenunterschied gegenüber Software-Schlüsseln ist gering.

   Die Option --labels fügt das Organisations-Label anthropic-org-<ORGANIZATION_UUID> mit dem Wert true hinzu, wobei <ORGANIZATION_UUID> deine Anthropic-Organisations-ID in Kleinbuchstaben ist. Das Label ist erforderlich, damit Anthropic den Schlüssel validieren kann.

   gcloud kms keys create <KEY_NAME> \
     --project=<PROJECT_ID> \
     --location=<REGION> \
     --keyring=<KEYRING_NAME> \
     --purpose=encryption \
     --protection-level=hsm \
     --labels=anthropic-org-<ORGANIZATION_UUID>=true

   

   Für Software-Schutz stattdessen lasse --protection-level=hsm weg. Nichts anderes in dieser Anleitung ändert sich.

   Du kannst den Schlüssel auch über die Google Cloud Console erstellen. Öffne den Schlüsselbund, klicke auf Create key, wähle Generated key, setze Zweck und Algorithmus auf symmetrisches Verschlüsseln und Entschlüsseln und wähle HSM unter Schutzebene.

   

   Um einen Schlüssel unter mehreren Anthropic-Organisationen zu teilen, füge für jede Organisation ein solches Label hinzu. Ein Schlüssel kann höchstens 64 Labels tragen, einschließlich deiner eigenen.

3. 3

   Dem Anthropic-Dienstkonto Zugriff auf den Schlüssel gewähren

   Zwei IAM-Bindungen auf Schlüsselebene sind erforderlich. Beide sind auf den einzelnen Krypto-Schlüssel beschränkt, nicht projektweit oder schlüsselbundweit.

   Verschlüsseln und Entschlüsseln, was Anthropic verwendet, um die Datenschlüssel zu verschlüsseln und zu entschlüsseln, die deine Workspace-Daten schützen (Envelope-Verschlüsselung):

   gcloud kms keys add-iam-policy-binding <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
     --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

   

   Viewer, für das Lesen der Metadaten (cryptoKeys.get), das Anthropic beim Start durchführt, um Zweck und Algorithmus des Schlüssels zu validieren:

   gcloud kms keys add-iam-policy-binding <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
     --role=roles/cloudkms.viewer

   

   Wähle in der Console den Schlüssel aus, öffne das Panel Permissions, klicke auf Grant access und füge das Dienstkonto mit den Rollen Cloud KMS CryptoKey Encrypter/Decrypter und Cloud KMS Viewer hinzu. Stelle sicher, dass du dich auf der Berechtigungsseite des Schlüssels befindest, nicht auf der des Schlüsselbunds oder Projekts, damit die Gewährung nur auf diesen Schlüssel beschränkt ist.

   

4. 4

   Den vollständigen Ressourcennamen des Schlüssels notieren

   Diesen übergibst du an Anthropic, wenn du den Schlüssel registrierst. Das Format ist:

   projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>

   

   Rufe ihn ab mit:

   gcloud kms keys describe <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --format="value(name)"

   

   Öffne in der Console die Detailseite des Schlüssels und klicke auf Copy resource name.

   

Den Schlüssel bei Anthropic registrieren

Wie du den Schlüssel registrierst, hängt davon ab, welches Produkt du verwendest.

Terraform

Für Infrastructure-as-Code-Bereitstellungen werden dieselben Schritte auf den google-Provider mit den Ressourcen google_kms_key_ring, google_kms_crypto_key und google_kms_crypto_key_iam_member abgebildet.