AdminKunci enkripsi (CMEK)

Mengonfigurasi Azure Key Vault untuk CMEK

Copy page



Gunakan Azure Key Vault untuk menyediakan kunci enkripsi bagi organisasi Anda.

Panduan ini memandu Anda mengonfigurasi kunci Azure Key Vault sebagai customer-managed encryption key (CMEK) untuk organisasi Anthropic Anda.

Prasyarat

• Sebuah Azure Key Vault dengan otorisasi RBAC diaktifkan (enableRbacAuthorization: true) dan akses jaringan publik diizinkan. Anthropic memanggil vault Anda melalui endpoint data-plane publik; private endpoint tidak didukung.
• Perlindungan purge diaktifkan (enablePurgeProtection: true) pada vault. Tanpa itu, kunci yang dihapus dapat di-purge secara permanen selama jendela retensi soft-delete, menyebabkan kehilangan data yang dilindungi CMEK Anda secara tidak dapat dipulihkan. Perlindungan purge tidak dapat dinonaktifkan setelah diaktifkan.
• Izin untuk membuat kunci di vault dan untuk menetapkan peran RBAC padanya.
• Izin untuk membuat service principal di tenant Entra Anda (Application Administrator, Cloud Application Administrator, atau peran kustom yang setara).
• Sebuah kunci Admin API Anthropic untuk organisasi Anda.
• az CLI terinstal dan terautentikasi.
• Diagnostic Settings dikonfigurasi pada vault untuk merutekan kategori log AuditEvent ke Log Analytics, akun penyimpanan, atau event hub. Azure Key Vault tidak memancarkan log audit data-plane (seperti KeyWrap, KeyUnwrap, dan KeyGet) secara default, jadi tanpa ini Anda tidak mendapatkan jejak audit untuk operasi kunci Anthropic.

Informasi aplikasi Anthropic

Agar Anthropic menggunakan kunci enkripsi Anda, Anda harus mengonfigurasi ID aplikasi multitenant Anthropic dan nama tampilan. Nilai-nilai tersebut adalah:

Penyiapan kunci enkripsi

1. 1

   Menyetujui aplikasi multitenant Anthropic

   Ini membuat service principal di tenant Entra Anda untuk aplikasi client CMEK Anthropic. Aplikasi tidak meminta izin Microsoft Graph; aplikasi ini ada semata-mata sebagai target federasi untuk akses data-plane Key Vault.

   az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87

   

   Dari output, tangkap field id. Ini adalah object ID service principal di tenant Anda, yang Anda gunakan saat menetapkan peran RBAC.

   {
     "appId": "8635ae1a-3e5d-44e8-a4ed-e0f614466f87",
     "displayName": "anthropic-cmek-client-us",
     "id": "<sp-object-id>"
   }

   

   Jika service principal sudah ada di tenant Anda (dari upaya sebelumnya atau integrasi lain), az ad sp create keluar dengan error "already exists". Ambil object ID-nya sebagai gantinya:

   az ad sp show --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87 --query id -o tsv

   

   Langkah ini tidak memiliki padanan di Portal. Jika Anda tidak memiliki Azure CLI terinstal secara lokal, buka Cloud Shell dari bilah navigasi atas Portal. Setelah perintah berhasil, Anda dapat menemukan object ID service principal di Microsoft Entra ID > Enterprise applications dengan menghapus filter tipe aplikasi default dan mencari anthropic-cmek-client-us.

   

2. 2

   Membuat kunci RSA di vault Anda

   Azure Key Vault tidak mendukung pembungkusan kunci simetris, jadi kunci harus berupa RSA (3072-bit atau lebih besar) dengan wrapKey dan unwrapKey dalam operasi yang diizinkannya.

   Opsi --tags menambahkan tag organisasi, anthropic-org-<ORGANIZATION_UUID> dengan nilai true, di mana <ORGANIZATION_UUID> adalah ID organisasi Anthropic Anda dalam huruf kecil. Tag ini diperlukan agar Anthropic dapat memvalidasi kunci.

   az keyvault key create \
     --vault-name <VAULT_NAME> \
     --name <KEY_NAME> \
     --kty RSA --size 3072 \
     --ops wrapKey unwrapKey \
     --tags anthropic-org-<ORGANIZATION_UUID>=true

   

   Untuk kunci yang didukung HSM, gunakan --kty RSA-HSM (memerlukan vault Premium-SKU). Kunci RSA yang dilindungi perangkat lunak dapat diterima untuk integrasi ini.

   Dari Portal, buka Key Vault Anda, pilih Keys, lalu Generate/Import. Atur tipe kunci ke RSA dan ukuran ke 3072 atau lebih besar. Untuk membatasi kunci hanya untuk wrap dan unwrap, buka versi kunci, gulir ke Permitted operations, dan hapus centang semuanya kecuali Wrap Key dan Unwrap Key.

   Pada halaman Create a key, tambahkan juga tag organisasi di bawah Tags.

   

   

   Untuk berbagi satu kunci di antara beberapa organisasi Anthropic, tambahkan satu tag semacam itu untuk setiap organisasi. Sebuah versi kunci dapat membawa paling banyak 15 tag, termasuk milik Anda sendiri.

3. 3

   Memberikan service principal Anthropic akses ke kunci Anda

   Tetapkan peran Key Vault Crypto User ke service principal dari langkah pertama, dengan cakupan ke kunci individual alih-alih seluruh vault.

   VAULT_ID=$(az keyvault show --name <your-vault-name> --query id -o tsv)
   
   az role assignment create \
     --role "Key Vault Crypto User" \
     --assignee-object-id <sp-object-id> \
     --assignee-principal-type ServicePrincipal \
     --scope "${VAULT_ID}/keys/<your-key-name>"

   

   Peran bawaan Key Vault Crypto User memberikan operasi kriptografi kunci (encrypt, decrypt, wrap, unwrap, sign, verify) ditambah pembacaan kunci pada cakupan yang ditetapkannya. Pembatasan --ops wrapKey unwrapKey yang Anda atur pada kunci di langkah sebelumnya lebih lanjut mempersempit operasi mana dari operasi tersebut yang dapat berhasil terhadap kunci ini, sehingga dalam praktiknya Anthropic hanya dapat melakukan wrap dan unwrap.

   Dari Portal, buka kunci (bukan vault), pilih tab Access control (IAM)-nya, klik Add > Add role assignment, pilih Key Vault Crypto User, dan tetapkan ke service principal anthropic-cmek-client-us.

   

4. 4

   Memverifikasi konfigurasi vault Anda

   az keyvault show --name <your-vault-name> \
     --query "{rbac:properties.enableRbacAuthorization, purge:properties.enablePurgeProtection, pub:properties.publicNetworkAccess, net:properties.networkAcls.defaultAction, ipRules:properties.networkAcls.ipRules, uri:properties.vaultUri, tenantId:properties.tenantId}"

   

   Konfirmasikan bahwa:

   • rbac adalah true.
   • purge adalah true. Jika false atau null, aktifkan perlindungan purge pada vault sebelum melanjutkan. Tanpa itu, kunci yang di-soft-delete dapat di-purge secara permanen selama jendela retensi, membuat data yang dilindungi CMEK Anda tidak dapat dipulihkan.
   • pub adalah "Enabled". Jika "Disabled", Anthropic tidak dapat menjangkau vault melalui endpoint data-plane publiknya dan validasi gagal.
   • net adalah "Allow", atau, jika "Deny", bahwa ipRules menyertakan rentang egress Anthropic (hubungi Anthropic untuk daftar terkini).
   • uri adalah URI vault yang Anda gunakan saat mendaftarkan kunci.
   • tenantId adalah tenant yang mengatur vault. Gunakan nilai ini sebagai tenant_id saat Anda mendaftarkan kunci, bukan tenant dari langganan yang sedang aktif saat ini (keduanya dapat berbeda dalam penyiapan lintas-tenant).

Mendaftarkan kunci dengan Anthropic

Cara Anda mendaftarkan kunci bergantung pada produk mana yang Anda gunakan.

Terraform

Untuk deployment infrastructure-as-code, langkah-langkah yang sama dipetakan ke provider azurerm dan azuread.