AdministrationClés de chiffrement (CMEK)

Configurer Azure Key Vault pour CMEK

Copy page



Utilisez Azure Key Vault pour fournir une clé de chiffrement à votre organisation.

Ce guide explique comment configurer une clé Azure Key Vault en tant que clé de chiffrement gérée par le client (CMEK) pour votre organisation Anthropic.

Prérequis

• Un Azure Key Vault avec l'autorisation RBAC activée (enableRbacAuthorization: true) et l'accès réseau public autorisé. Anthropic appelle votre coffre via le point de terminaison public du plan de données ; les points de terminaison privés ne sont pas pris en charge.
• La protection contre la purge activée (enablePurgeProtection: true) sur le coffre. Sans elle, une clé supprimée peut être purgée définitivement pendant la fenêtre de rétention de suppression réversible, entraînant une perte irréversible de vos données protégées par CMEK. La protection contre la purge ne peut pas être désactivée une fois activée.
• Les autorisations pour créer des clés dans le coffre et pour y attribuer des rôles RBAC.
• Les autorisations pour créer des principaux de service dans votre locataire Entra (Application Administrator, Cloud Application Administrator, ou un rôle personnalisé équivalent).
• Une clé API Admin Anthropic pour votre organisation.
• La CLI az installée et authentifiée.
• Des paramètres de diagnostic configurés sur le coffre pour acheminer la catégorie de journaux AuditEvent vers Log Analytics, un compte de stockage ou un hub d'événements. Azure Key Vault n'émet pas de journaux d'audit du plan de données (tels que KeyWrap, KeyUnwrap et KeyGet) par défaut, donc sans cela, vous n'obtenez aucune piste d'audit pour les opérations de clé d'Anthropic.

Informations sur l'application Anthropic

Pour qu'Anthropic utilise votre clé de chiffrement, vous devez configurer un ID d'application multilocataire Anthropic et un nom d'affichage. Ces valeurs sont :

Configuration de la clé de chiffrement

1. 1

   Consentir à l'application multilocataire Anthropic

   Cela crée un principal de service dans votre locataire Entra pour l'application cliente CMEK d'Anthropic. L'application ne demande aucune autorisation Microsoft Graph ; elle existe uniquement comme cible de fédération pour l'accès au plan de données de Key Vault.

   az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87

   

   À partir de la sortie, capturez le champ id. Il s'agit de l'ID d'objet du principal de service dans votre locataire, que vous utilisez lorsque vous attribuez le rôle RBAC.

   {
     "appId": "8635ae1a-3e5d-44e8-a4ed-e0f614466f87",
     "displayName": "anthropic-cmek-client-us",
     "id": "<sp-object-id>"
   }

   

   Si le principal de service existe déjà dans votre locataire (à la suite d'une tentative précédente ou d'une autre intégration), az ad sp create se termine avec une erreur « already exists ». Récupérez plutôt son ID d'objet :

   az ad sp show --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87 --query id -o tsv

   

   Cette étape n'a pas d'équivalent dans le Portail. Si vous n'avez pas la CLI Azure installée localement, ouvrez Cloud Shell depuis la barre de navigation supérieure du Portail. Une fois la commande réussie, vous pouvez trouver l'ID d'objet du principal de service dans Microsoft Entra ID > Applications d'entreprise en effaçant le filtre de type d'application par défaut et en recherchant anthropic-cmek-client-us.

   

2. 2

   Créer une clé RSA dans votre coffre

   Azure Key Vault ne prend pas en charge l'encapsulation de clés symétriques, donc la clé doit être RSA (3072 bits ou plus) avec wrapKey et unwrapKey dans ses opérations autorisées.

   L'option --tags ajoute la balise d'organisation, anthropic-org-<ORGANIZATION_UUID> avec la valeur true, où <ORGANIZATION_UUID> est l'ID de votre organisation Anthropic en minuscules. La balise est requise pour qu'Anthropic valide la clé.

   az keyvault key create \
     --vault-name <VAULT_NAME> \
     --name <KEY_NAME> \
     --kty RSA --size 3072 \
     --ops wrapKey unwrapKey \
     --tags anthropic-org-<ORGANIZATION_UUID>=true

   

   Pour les clés protégées par HSM, utilisez --kty RSA-HSM (nécessite un coffre de SKU Premium). Les clés RSA protégées par logiciel sont acceptables pour cette intégration.

   Depuis le Portail, ouvrez votre Key Vault, sélectionnez Keys, puis Generate/Import. Définissez le type de clé sur RSA et la taille sur 3072 ou plus. Pour restreindre la clé à l'encapsulation et au désencapsulation uniquement, ouvrez la version de la clé, faites défiler jusqu'à Permitted operations, et décochez tout sauf Wrap Key et Unwrap Key.

   Sur la page Create a key, ajoutez également la balise d'organisation sous Tags.

   

   

   Pour partager une clé entre plusieurs organisations Anthropic, ajoutez une telle balise pour chaque organisation. Une version de clé peut porter au maximum 15 balises, y compris les vôtres.

3. 3

   Accorder au principal de service Anthropic l'accès à votre clé

   Attribuez le rôle Key Vault Crypto User au principal de service de la première étape, limité à la clé individuelle plutôt qu'à l'ensemble du coffre.

   VAULT_ID=$(az keyvault show --name <your-vault-name> --query id -o tsv)
   
   az role assignment create \
     --role "Key Vault Crypto User" \
     --assignee-object-id <sp-object-id> \
     --assignee-principal-type ServicePrincipal \
     --scope "${VAULT_ID}/keys/<your-key-name>"

   

   Le rôle intégré Key Vault Crypto User accorde les opérations cryptographiques de clé (chiffrer, déchiffrer, encapsuler, désencapsuler, signer, vérifier) ainsi que la lecture de clé sur sa portée attribuée. La restriction --ops wrapKey unwrapKey que vous avez définie sur la clé à l'étape précédente réduit davantage lesquelles de ces opérations peuvent réussir sur cette clé, donc en pratique Anthropic ne peut qu'encapsuler et désencapsuler.

   Depuis le Portail, ouvrez la clé (pas le coffre), sélectionnez son onglet Access control (IAM), cliquez sur Add > Add role assignment, sélectionnez Key Vault Crypto User, et attribuez-le au principal de service anthropic-cmek-client-us.

   

4. 4

   Vérifier la configuration de votre coffre

   az keyvault show --name <your-vault-name> \
     --query "{rbac:properties.enableRbacAuthorization, purge:properties.enablePurgeProtection, pub:properties.publicNetworkAccess, net:properties.networkAcls.defaultAction, ipRules:properties.networkAcls.ipRules, uri:properties.vaultUri, tenantId:properties.tenantId}"

   

   Confirmez que :

   • rbac est true.
   • purge est true. S'il est false ou null, activez la protection contre la purge sur le coffre avant de continuer. Sans elle, une clé supprimée de manière réversible peut être purgée définitivement pendant la fenêtre de rétention, rendant vos données protégées par CMEK irrécupérables.
   • pub est "Enabled". S'il est "Disabled", Anthropic ne peut pas atteindre le coffre via son point de terminaison public du plan de données et la validation échoue.
   • net est "Allow", ou, s'il est "Deny", que ipRules inclut les plages de sortie d'Anthropic (contactez Anthropic pour la liste actuelle).
   • uri est l'URI du coffre que vous utilisez lorsque vous enregistrez la clé.
   • tenantId est le locataire qui régit le coffre. Utilisez cette valeur comme tenant_id lorsque vous enregistrez la clé, pas le locataire de votre abonnement actuellement actif (les deux peuvent différer dans les configurations inter-locataires).

Enregistrer la clé auprès d'Anthropic

La manière dont vous enregistrez la clé dépend du produit que vous utilisez.

Terraform

Pour les déploiements d'infrastructure-as-code, les mêmes étapes correspondent aux fournisseurs azurerm et azuread.