Konfigurasikan AWS KMS untuk CMEK

Panduan ini memandu proses konfigurasi kunci AWS KMS sebagai customer-managed encryption key (CMEK) untuk organisasi Anthropic Anda.

Prasyarat

• Akun AWS dengan izin untuk membuat kunci KMS dan menetapkan kebijakan kunci (kms:CreateKey dan kms:PutKeyPolicy).
• Kunci Admin API untuk organisasi Anda.
• AWS CLI terpasang dan terautentikasi.

Amazon Resource Name (ARN) untuk Anthropic

Agar Anthropic menggunakan kunci enkripsi Anda, Anda harus memberikan peran IAM Anthropic sebuah kunci KMS yang dapat digunakannya untuk mengenkripsi data. ARN untuk Anthropic CMEK adalah:

arn:aws:iam::915198916910:role/anthropic-cmek-client-us

Penyiapan kunci enkripsi

1. 1

   Buat kunci KMS dengan kebijakan kunci lintas akun

   Kebijakan kunci memberikan peran IAM Anthropic akses lintas akun. Tiga pernyataan diperlukan:

   1. Admin root akun: pola KMS standar. Akun Anda mempertahankan kontrol admin penuh.
   2. Enkripsi dan dekripsi Anthropic: aksi kms:Encrypt dan kms:Decrypt, yang digunakan Anthropic untuk mengenkripsi dan mendekripsi kunci data yang melindungi data workspace Anda (enkripsi envelope).
   3. Describe Anthropic: pembacaan metadata yang dilakukan Anthropic saat startup. Ini diberikan secara terpisah karena DescribeKey tidak memiliki parameter EncryptionContext, sehingga kondisi EncryptionContext pada aksi ini akan selalu menolak.

   Untuk menemukan ID akun AWS Anda, jalankan aws sts get-caller-identity --query Account --output text.

   Dalam kebijakan, ganti <AWS_ACCOUNT_ID> dengan ID akun AWS Anda dan <ORGANIZATION_UUID> dengan ID organisasi Anda. Kondisi StringEquals pada kms:EncryptionContext:anthropic:org_uuid mengikat kunci ke organisasi Anthropic Anda, dan validasi menolak kunci tanpanya. Untuk berbagi satu kunci di antara beberapa organisasi Anthropic, cantumkan setiap ID organisasi dalam nilai kondisi.

   Simpan kebijakan sebagai key-policy.json. Untuk membuat kunci di AWS Console sebagai gantinya, tempel kebijakan di sana, seperti dijelaskan nanti dalam langkah ini.

   key-policy.json

   

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AccountRootAdmin",
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::<AWS_ACCOUNT_ID>:root"
         },
         "Action": "kms:*",
         "Resource": "*"
       },
       {
         "Sid": "AllowAnthropicCMEKCrypto",
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
         },
         "Action": ["kms:Encrypt", "kms:Decrypt"],
         "Resource": "*",
         "Condition": {
           "StringEquals": {
             "kms:EncryptionContext:anthropic:org_uuid": ["<ORGANIZATION_UUID>"]
           }
         }
       },
       {
         "Sid": "AllowAnthropicCMEKDescribe",
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
         },
         "Action": "kms:DescribeKey",
         "Resource": "*"
       }
     ]
   }

   aws kms create-key \
     --region <REGION> \
     --description "Anthropic CMEK" \
     --key-usage ENCRYPT_DECRYPT \
     --policy file://key-policy.json

   

   Tangkap KeyMetadata.Arn dari output. Anda membutuhkannya saat mendaftarkan kunci di langkah berikutnya.

   Anthropic memvalidasi kunci saat Anda memverifikasinya atau melampirkannya ke workspace. Setiap validasi menambahkan empat kesalahan access-denied ke CloudTrail. Ini diharapkan. Jika Anda perlu memfilternya, filter pada ketiga nilai berikut. Yang pertama saja tidak cukup, karena pemanggil mana pun dapat menetapkannya:

   • requestParameters.encryptionContext.associatedData: Y21lay12YWxpZGF0aW9u
   • userIdentity.accountId: 915198916910
   • resources.ARN: arn:aws:kms:<REGION>:<AWS_ACCOUNT_ID>:key/<KEY_ID>

   Anda juga dapat membuat kunci dari AWS Console. Pilih kunci simetris dengan penggunaan kunci encrypt dan decrypt, kunci single-region, dan asal material kunci KMS. Wizard Create-key menetapkan kebijakan kunci pada langkah Review-nya: Jika Anda menambahkan ID akun Anthropic 915198916910 di bawah izin penggunaan kunci di sana, kebijakan yang dihasilkan memberikan seluruh akun Anthropic aksi yang lebih luas (seperti kms:ReEncrypt* dan kms:GenerateDataKey*) tanpa kondisi EncryptionContext, dan validasi menolaknya. Untuk menghindari meninggalkan kunci yang terlalu permisif, selesaikan wizard dengan izin administratif saja, lalu buka tab Key policy kunci dan ganti JSON dengan kebijakan key-policy.json yang ditunjukkan sebelumnya dalam langkah ini.

   

   

   

   

Daftarkan kunci dengan Anthropic

Cara Anda mendaftarkan kunci bergantung pada produk mana yang Anda gunakan.

Siapkan CMEK di Claude Platform on AWS

Pada Claude Platform on AWS, CMEK hanya menggunakan kunci AWS KMS, dan penyiapan berbeda dari bagian sebelumnya dalam hal berikut:

• Principal: Kebijakan kunci Anda memberikan akses ke principal layanan AWS aws-external-anthropic.amazonaws.com. Peran IAM dan ID akun Anthropic tidak digunakan, sehingga ARN untuk Anthropic tidak berlaku.
• Persyaratan kunci: Kunci harus berupa kunci KMS simetris dengan penggunaan encrypt dan decrypt, single-region, dan berada di akun serta region AWS yang sama dengan workspace tempat Anda melampirkannya. Kunci lintas akun tidak didukung: kunci harus berada di akun AWS yang menghosting organisasi Anda. Kunci multi-region (ID kunci yang dimulai dengan mrk-) dan ARN alias ditolak saat Anda mendaftarkan kunci; gunakan ARN kunci.
• Tidak ada langkah validasi terpisah: Selain pemeriksaan pada ARN kunci saat pendaftaran, kunci divalidasi saat Anda melampirkannya ke workspace. Panggilan lampiran melakukan round enkripsi/dekripsi terhadap kunci dengan ID compartment workspace tersebut sebagai konteks enkripsi, sehingga masalah kebijakan kunci muncul pada waktu lampiran alih-alih pada pendaftaran. Oleh karena itu, kondisi EncryptionContext tidak memerlukan entri semua-nol.
• Di mana Anda mengelola kunci: Daftarkan dan lampirkan kunci di Claude Console, masuk melalui AWS dengan peran Admin. Endpoint kunci eksternal juga tersedia di Claude Platform on AWS, diotorisasi melalui aksi IAM; di sana, kunci diidentifikasi oleh ARN kunci KMS-nya alih-alih ID ekey_.

Prasyarat

• Akun AWS yang menghosting organisasi Claude Platform on AWS Anda, dengan izin untuk membuat kunci KMS dan menetapkan kebijakan kunci (kms:CreateKey dan kms:PutKeyPolicy).
• Peran Admin di Claude Console untuk Claude Platform on AWS. Lihat Menggunakan Claude Console.
• Untuk principal IAM yang Anda gunakan untuk masuk ke Claude Console: selain aws-external-anthropic:AssumeConsole, aksi IAM untuk operasi yang Anda lakukan di sana, karena pendaftaran, pencantuman, dan pelampiran kunci melewati gateway AWS. Mendaftarkan kunci adalah RegisterKey (dengan ListKeys dan GetKey untuk melihat pendaftaran), dan melampirkan kunci adalah UpdateWorkspace atau CreateWorkspace. Aksi kunci eksternal (dan CreateWorkspace) memiliki cakupan akun, jadi berikan aksi tersebut pada Resource: "*"; kebijakan yang dibatasi pada ARN workspace tidak mencakupnya.
• Untuk principal IAM yang melampirkan kunci ke workspace (identitas yang Anda gunakan untuk masuk ke Claude Console): kms:DescribeKey, kms:Encrypt, dan kms:Decrypt pada kunci. Akses principal Anda ke kunci diperiksa saat Anda melampirkannya, selain principal layanan.
• Opsional, untuk pemilih kunci di Claude Console: kms:ListKeys dan kms:DescribeKey untuk principal yang Anda gunakan untuk masuk. Tanpanya, tempel ARN kunci sebagai gantinya.

Buat kunci KMS

Kebijakan kunci memiliki tiga pernyataan: pernyataan admin root akun Anda; pernyataan yang memungkinkan principal layanan Claude Platform on AWS mengenkripsi, mendekripsi, dan menghasilkan kunci data; serta pernyataan terpisah untuk kms:DescribeKey. Pernyataan kripto membawa kondisi EncryptionContext opsional yang mengikat kunci ke workspace yang Anda cantumkan. DescribeKey diberikan secara terpisah karena tidak memiliki parameter EncryptionContext, sehingga kondisi EncryptionContext pada aksi tersebut akan selalu menolak.

Jika Anda berencana menggunakan kondisi EncryptionContext opsional yang ditunjukkan di sini, buat workspace terlebih dahulu (tanpa kunci), salin ID compartment-nya, dan gunakan sebagai pengganti <compartment-uuid>. Untuk menemukan ID di Claude Console, buka halaman Data retention (platform.claude.com/settings/privacy) dan pilih workspace dari menu dropdown di bagian atas halaman. ID tersebut berada di bawah Encryption key, di kolom Compartment ID. Anda juga dapat membacanya dari kolom compartment_id yang dikembalikan oleh endpoint Get Workspace. Jika Anda tidak berencana menggunakan kondisi tersebut, hapus blok Condition dari pernyataan itu.

export YOUR_ACCOUNT=$(aws sts get-caller-identity --query Account --output text)

aws kms create-key \
  --region <workspace-region> \
  --description "Anthropic CMEK (Claude Platform on AWS)" \
  --key-usage ENCRYPT_DECRYPT \
  --policy "{
    \"Version\": \"2012-10-17\",
    \"Statement\": [
      {
        \"Sid\": \"AccountRootAdmin\",
        \"Effect\": \"Allow\",
        \"Principal\": {\"AWS\": \"arn:aws:iam::${YOUR_ACCOUNT}:root\"},
        \"Action\": \"kms:*\",
        \"Resource\": \"*\"
      },
      {
        \"Sid\": \"AllowClaudePlatformOnAWSCrypto\",
        \"Effect\": \"Allow\",
        \"Principal\": {\"Service\": \"aws-external-anthropic.amazonaws.com\"},
        \"Action\": [\"kms:Encrypt\", \"kms:Decrypt\", \"kms:GenerateDataKey\"],
        \"Resource\": \"*\",
        \"Condition\": {
          \"StringEquals\": {
            \"kms:EncryptionContext:anthropic:compartment_uuid\": [
              \"<compartment-uuid>\"
            ]
          }
        }
      },
      {
        \"Sid\": \"AllowClaudePlatformOnAWSDescribe\",
        \"Effect\": \"Allow\",
        \"Principal\": {\"Service\": \"aws-external-anthropic.amazonaws.com\"},
        \"Action\": \"kms:DescribeKey\",
        \"Resource\": \"*\"
      }
    ]
  }"

Tangkap KeyMetadata.Arn dari output. Anda membutuhkannya saat mendaftarkan kunci.

Kondisi EncryptionContext bersifat opsional. Setiap panggilan enkripsi, dekripsi, dan kunci data yang dilakukan untuk sebuah workspace, termasuk pemeriksaan pada waktu lampiran, membawa ID compartment workspace tersebut sebagai anthropic:compartment_uuid, sehingga kondisi tersebut mencantumkan ID compartment setiap workspace tempat Anda melampirkan kunci dan tidak memerlukan entri semua-nol. Menambahkannya juga mengikat kunci ke workspace yang Anda cantumkan di lapisan IAM. Karena ID compartment baru ada setelah workspace-nya ada, urutannya adalah: buat workspace, masukkan ID compartment-nya ke dalam kondisi (saat pembuatan kunci, atau nanti dengan kms:PutKeyPolicy), lalu lampirkan kunci. Sebelum melampirkan kunci ke setiap workspace tambahan, tambahkan ID compartment workspace tersebut dengan cara yang sama. Untuk memulai tanpa kondisi tersebut, hapus blok Condition dari pernyataan AllowClaudePlatformOnAWSCrypto; jika Anda menambahkannya nanti, sertakan ID compartment setiap workspace yang sudah dilampiri kunci.

Anda dapat membatasi lebih lanjut kedua pernyataan principal layanan dengan kondisi aws:SourceArn. Layanan meneruskan ARN workspace (arn:aws:aws-external-anthropic:<region>:<account-id>:workspace/<workspace-id>) sebagai ARN sumber pada setiap panggilan yang dilakukannya dengan kunci Anda, sehingga "ArnLike": {"aws:SourceArn": "arn:aws:aws-external-anthropic:*:<account-id>:workspace/*"} membatasi pemberian izin pada workspace di akun AWS Anda sendiri, dan daftar ARN workspace lengkap membatasinya pada workspace tersebut. Kondisi ini tidak wajib; kondisi EncryptionContext saja sudah mengikat kunci ke workspace yang Anda cantumkan.

Anda juga dapat membuat kunci dari AWS Console: pilih kunci simetris dengan penggunaan kunci encrypt dan decrypt, kunci single-region, dan asal material kunci KMS, di region workspace. Biarkan izin penggunaan kunci kosong di wizard Create-key, lalu buka tab Key policy kunci dan ganti JSON dengan kebijakan yang ditunjukkan di sini.

Daftarkan dan lampirkan kunci

1. 1

   Daftarkan kunci

   Di Claude Console, buka halaman Data retention (platform.claude.com/settings/privacy). Jika Anda tidak melihat Encryption keys, pilih Organization dari menu dropdown di bagian atas halaman. Di bawah Encryption keys, klik Add key. Masukkan nama tampilan, lalu pilih kunci dari pemilih kunci atau pilih Enter ARN manually dan tempelkan ARN kunci, lalu klik Add. Kunci harus berada di akun AWS yang menghosting organisasi Anda; kunci lintas akun tidak didukung. Pemilih mencantumkan kunci yang aktif, dikelola pelanggan, simetris, dan single-region di akun Anda di salah satu region organisasi Anda; untuk kunci yang tidak dicantumkan oleh pemilih, masukkan ARN-nya. Pemilih hanya mencantumkan kunci jika principal yang Anda gunakan untuk masuk dapat memanggil kms:ListKeys dan kms:DescribeKey.

2. 2

   Lampirkan kunci ke workspace

   Lampirkan kunci ke workspace baru sebelum Anda mengirim permintaan apa pun ke workspace tersebut. Untuk workspace yang sudah menerima permintaan, kunci dapat memerlukan hingga satu hari untuk berlaku. Di Claude Console, buka halaman Data retention (platform.claude.com/settings/privacy) dan pilih workspace dari menu dropdown di bagian atas halaman. Di bawah Encryption key, pilih kunci, klik Save, dan konfirmasi. Anda juga dapat memilih kunci saat membuat workspace di Claude Console, tetapi hanya jika kebijakan kunci Anda belum menyebutkan workspace tertentu (tanpa kondisi EncryptionContext), karena ID compartment workspace ditetapkan saat pembuatan. Setelah dilampirkan, kunci sebuah workspace tidak dapat diubah.

   Inilah saat kunci divalidasi: panggilan lampiran memeriksa akses principal Anda ke kunci dan melakukan round enkripsi/dekripsi terhadapnya dengan ID compartment workspace sebagai konteks enkripsi, sehingga masalah dengan kebijakan kunci atau izin principal Anda muncul sebagai kesalahan pada panggilan tersebut. Jika lampiran gagal dengan kesalahan akses KMS, periksa hal berikut:

   • Kebijakan kunci menyebutkan principal layanan aws-external-anthropic.amazonaws.com dan memberikan kms:Encrypt, kms:Decrypt, dan kms:GenerateDataKey, ditambah kms:DescribeKey dalam pernyataan terpisah yang tidak memiliki kondisi EncryptionContext.
   • Setiap kondisi EncryptionContext menyertakan ID compartment workspace ini, dan setiap kondisi aws:SourceArn yang Anda tambahkan cocok dengan ARN workspace ini.
   • Kunci diaktifkan, single-region, dan berada di akun serta region AWS yang sama dengan workspace.
   • Principal yang Anda gunakan untuk masuk memiliki kms:DescribeKey, kms:Encrypt, dan kms:Decrypt pada kunci.
   • Tidak ada service control policy atau resource control policy di organisasi AWS Anda yang mencegah principal layanan atau principal Anda menggunakan kunci.
   • Jika kebijakan terlihat benar dan lampiran masih gagal, temukan event kms: yang ditolak di CloudTrail pada akun kunci (event tersebut menampilkan principal pemanggil dan, untuk panggilan kriptografis, konteks enkripsi), lalu perbaiki kondisi dengan kms:PutKeyPolicy dan coba lagi.

Terraform

Untuk deployment infrastructure-as-code, langkah-langkah yang sama dipetakan ke provider aws dengan sumber daya aws_kms_key dan aws_kms_alias.