Configurar Google Cloud KMS para CMEK

Esta guía explica cómo configurar una clave de Google Cloud KMS como una clave de cifrado gestionada por el cliente (CMEK) para tu organización de Anthropic.

Requisitos previos

• Un proyecto de Google Cloud con facturación habilitada.
• La API de Cloud KMS habilitada (cloudkms.googleapis.com).
• Permisos para crear conjuntos de claves (key rings) y claves de KMS, y para establecer la política de IAM sobre ellas (roles/cloudkms.admin o equivalente).
• Una clave de API de administrador de Anthropic para tu organización.
• La CLI de gcloud instalada y autenticada.
• Los registros de auditoría de acceso a datos de Cloud KMS habilitados para el proyecto (IAM y administración > Registros de auditoría > Cloud Key Management Service, con DATA_READ y DATA_WRITE). Están desactivados de forma predeterminada; sin ellos, las operaciones de cifrado y descifrado de Anthropic no producen entradas en Cloud Logging.

Correo electrónico de la cuenta de servicio de Anthropic

Para que Anthropic use tu clave de cifrado, debes proporcionar a la cuenta de servicio de Anthropic una clave que pueda usar para cifrar datos. El correo electrónico de la cuenta de servicio para CMEK de Anthropic es:

anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com

Configuración de la clave de cifrado

1. 1

   Crear o elegir un conjunto de claves

   Omite este paso si ya tienes un conjunto de claves para reutilizar. Los conjuntos de claves son regionales. Elige una ubicación de una sola región en EE. UU. como us-east5 que coincida con la geografía de Anthropic que estás configurando. Las ubicaciones multirregionales como us y global no son compatibles.

   gcloud kms keyrings create <your-keyring-name> \
     --project=<your-project-id> \
     --location=<region>

   
2. 2

   Crear la clave criptográfica

   Crea una clave simétrica con el propósito ENCRYPT_DECRYPT. Anthropic recomienda encarecidamente la protección HSM: las claves HSM de Cloud KMS están validadas según FIPS 140-2 Nivel 3, y la diferencia de costo respecto a las claves de software es pequeña.

   La opción --labels agrega la etiqueta de organización, anthropic-org-<ORGANIZATION_UUID> con el valor true, donde <ORGANIZATION_UUID> es el ID de tu organización de Anthropic en minúsculas. La etiqueta es necesaria para que Anthropic valide la clave.

   gcloud kms keys create <KEY_NAME> \
     --project=<PROJECT_ID> \
     --location=<REGION> \
     --keyring=<KEYRING_NAME> \
     --purpose=encryption \
     --protection-level=hsm \
     --labels=anthropic-org-<ORGANIZATION_UUID>=true

   

   Para usar protección de software en su lugar, omite --protection-level=hsm. Nada más en esta guía cambia.

   También puedes crear la clave desde la Google Cloud Console. Abre el conjunto de claves, haz clic en Create key, selecciona Generated key, establece el propósito y el algoritmo en cifrado y descifrado simétrico, y elige HSM en el nivel de protección.

   

   Para compartir una clave entre varias organizaciones de Anthropic, agrega una etiqueta de este tipo por cada organización. Una clave puede tener como máximo 64 etiquetas, incluidas las tuyas.

3. 3

   Otorgar a la cuenta de servicio de Anthropic acceso a la clave

   Se requieren dos vinculaciones de IAM a nivel de clave. Ambas están limitadas a la clave criptográfica individual, no a todo el proyecto ni a todo el conjunto de claves.

   Cifrado y descifrado, que Anthropic usa para cifrar y descifrar las claves de datos que protegen los datos de tu espacio de trabajo (cifrado de sobre):

   gcloud kms keys add-iam-policy-binding <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
     --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

   

   Visor, para la lectura de metadatos (cryptoKeys.get) que Anthropic realiza al inicio para validar el propósito y el algoritmo de la clave:

   gcloud kms keys add-iam-policy-binding <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
     --role=roles/cloudkms.viewer

   

   Desde la Console, selecciona la clave, abre el panel Permissions, haz clic en Grant access y agrega la cuenta de servicio con los roles Cloud KMS CryptoKey Encrypter/Decrypter y Cloud KMS Viewer. Asegúrate de estar en la página de permisos de la clave, no del conjunto de claves ni del proyecto, para que la concesión esté limitada únicamente a esta clave.

   

4. 4

   Anotar el nombre completo del recurso de la clave

   Esto se lo pasas a Anthropic cuando registras la clave. El formato es:

   projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>

   

   Recupéralo con:

   gcloud kms keys describe <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --format="value(name)"

   

   Desde la Console, abre la página de detalles de la clave y haz clic en Copy resource name.

   

Registrar la clave con Anthropic

La forma de registrar la clave depende del producto que uses.

Terraform

Para implementaciones de infraestructura como código, los mismos pasos se corresponden con el proveedor google usando los recursos google_kms_key_ring, google_kms_crypto_key y google_kms_crypto_key_iam_member.