Configurer Google Cloud KMS pour CMEK

Ce guide explique comment configurer une clé Google Cloud KMS en tant que clé de chiffrement gérée par le client (CMEK) pour votre organisation Anthropic.

Prérequis

• Un projet Google Cloud avec la facturation activée.
• L'API Cloud KMS activée (cloudkms.googleapis.com).
• Les autorisations pour créer des trousseaux de clés et des clés KMS, et pour définir la politique IAM sur ceux-ci (roles/cloudkms.admin ou équivalent).
• Une clé Admin API pour votre organisation Anthropic.
• La CLI gcloud installée et authentifiée.
• Les journaux d'audit d'accès aux données Cloud KMS activés pour le projet (IAM & Admin > Journaux d'audit > Cloud Key Management Service, avec DATA_READ et DATA_WRITE). Ceux-ci sont désactivés par défaut ; sans eux, les opérations de chiffrement et de déchiffrement d'Anthropic ne produisent aucune entrée dans Cloud Logging.

Adresse e-mail du compte de service Anthropic

Pour qu'Anthropic utilise votre clé de chiffrement, vous devez donner au compte de service d'Anthropic une clé qu'il peut utiliser pour chiffrer les données. L'adresse e-mail du compte de service pour Anthropic CMEK est :

anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com

Configuration de la clé de chiffrement

1. 1

   Créer ou choisir un trousseau de clés

   Ignorez cette étape si vous disposez déjà d'un trousseau de clés à réutiliser. Les trousseaux de clés sont régionaux. Choisissez un emplacement à région unique aux États-Unis tel que us-east5 qui correspond à la géographie Anthropic que vous configurez. Les emplacements multi-régions comme us et global ne sont pas pris en charge.

   gcloud kms keyrings create <your-keyring-name> \
     --project=<your-project-id> \
     --location=<region>

   
2. 2

   Créer la clé cryptographique

   Créez une clé symétrique avec l'objectif ENCRYPT_DECRYPT. Anthropic recommande fortement la protection HSM : les clés HSM Cloud KMS sont validées FIPS 140-2 Level 3, et l'écart de coût par rapport aux clés logicielles est faible.

   L'option --labels ajoute l'étiquette d'organisation, anthropic-org-<ORGANIZATION_UUID> avec la valeur true, où <ORGANIZATION_UUID> est l'ID de votre organisation Anthropic en minuscules. L'étiquette est requise pour qu'Anthropic valide la clé.

   gcloud kms keys create <KEY_NAME> \
     --project=<PROJECT_ID> \
     --location=<REGION> \
     --keyring=<KEYRING_NAME> \
     --purpose=encryption \
     --protection-level=hsm \
     --labels=anthropic-org-<ORGANIZATION_UUID>=true

   

   Pour une protection logicielle à la place, omettez --protection-level=hsm. Rien d'autre dans ce guide ne change.

   Vous pouvez également créer la clé depuis la Google Cloud Console. Ouvrez le trousseau de clés, cliquez sur Create key, sélectionnez Generated key, définissez l'objectif et l'algorithme sur chiffrement et déchiffrement symétriques, et choisissez HSM sous le niveau de protection.

   

   Pour partager une clé entre plusieurs organisations Anthropic, ajoutez une telle étiquette pour chaque organisation. Une clé peut porter au maximum 64 étiquettes, y compris les vôtres.

3. 3

   Accorder au compte de service d'Anthropic l'accès à la clé

   Deux liaisons IAM au niveau de la clé sont requises. Les deux sont limitées à la clé cryptographique unique, et non à l'ensemble du projet ou du trousseau de clés.

   Chiffrement et déchiffrement, qu'Anthropic utilise pour chiffrer et déchiffrer les clés de données qui protègent les données de votre espace de travail (chiffrement par enveloppe) :

   gcloud kms keys add-iam-policy-binding <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
     --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

   

   Viewer, pour la lecture des métadonnées (cryptoKeys.get) qu'Anthropic effectue au démarrage pour valider l'objectif et l'algorithme de la clé :

   gcloud kms keys add-iam-policy-binding <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
     --role=roles/cloudkms.viewer

   

   Depuis la Console, sélectionnez la clé, ouvrez le panneau Permissions, cliquez sur Grant access, et ajoutez le compte de service avec les rôles Cloud KMS CryptoKey Encrypter/Decrypter et Cloud KMS Viewer. Assurez-vous d'être sur la page des autorisations de la clé, et non du trousseau de clés ou du projet, afin que l'octroi soit limité à cette clé uniquement.

   

4. 4

   Noter le nom complet de la ressource de la clé

   Vous le transmettez à Anthropic lorsque vous enregistrez la clé. Le format est :

   projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>

   

   Récupérez-le avec :

   gcloud kms keys describe <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --format="value(name)"

   

   Depuis la Console, ouvrez la page de détails de la clé et cliquez sur Copy resource name.

   

Enregistrer la clé auprès d'Anthropic

La manière dont vous enregistrez la clé dépend du produit que vous utilisez.

Terraform

Pour les déploiements infrastructure-as-code, les mêmes étapes correspondent au fournisseur google avec les ressources google_kms_key_ring, google_kms_crypto_key, et google_kms_crypto_key_iam_member.