Mengonfigurasi Google Cloud KMS untuk CMEK

Panduan ini memandu Anda mengonfigurasi kunci Google Cloud KMS sebagai customer-managed encryption key (CMEK) untuk organisasi Anthropic Anda.

Prasyarat

• Proyek Google Cloud dengan penagihan diaktifkan.
• Cloud KMS API diaktifkan (cloudkms.googleapis.com).
• Izin untuk membuat key ring dan kunci KMS, serta untuk menetapkan kebijakan IAM pada keduanya (roles/cloudkms.admin atau setara).
• Kunci Admin API Anthropic untuk organisasi Anda.
• gcloud CLI terinstal dan terautentikasi.
• Cloud KMS Data Access audit logs diaktifkan untuk proyek (IAM & Admin > Audit Logs > Cloud Key Management Service, dengan DATA_READ dan DATA_WRITE). Ini dinonaktifkan secara default; tanpanya, operasi enkripsi dan dekripsi Anthropic tidak menghasilkan entri apa pun di Cloud Logging.

Email akun layanan Anthropic

Agar Anthropic menggunakan kunci enkripsi Anda, Anda harus memberikan akun layanan Anthropic sebuah kunci yang dapat digunakannya untuk mengenkripsi data. Email akun layanan untuk Anthropic CMEK adalah:

anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com

Penyiapan kunci enkripsi

1. 1

   Buat atau pilih key ring

   Lewati langkah ini jika Anda sudah memiliki key ring untuk digunakan kembali. Key ring bersifat regional. Pilih lokasi US single-region seperti us-east5 yang sesuai dengan geografi Anthropic yang Anda konfigurasikan. Lokasi multi-region seperti us dan global tidak didukung.

   gcloud kms keyrings create <your-keyring-name> \
     --project=<your-project-id> \
     --location=<region>

   
2. 2

   Buat crypto key

   Buat kunci simetris dengan tujuan ENCRYPT_DECRYPT. Anthropic sangat merekomendasikan perlindungan HSM: kunci Cloud KMS HSM tervalidasi FIPS 140-2 Level 3, dan selisih biaya dibandingkan kunci perangkat lunak kecil.

   Opsi --labels menambahkan label organisasi, anthropic-org-<ORGANIZATION_UUID> dengan nilai true, di mana <ORGANIZATION_UUID> adalah ID organisasi Anthropic Anda dalam huruf kecil. Label ini diperlukan agar Anthropic dapat memvalidasi kunci.

   gcloud kms keys create <KEY_NAME> \
     --project=<PROJECT_ID> \
     --location=<REGION> \
     --keyring=<KEYRING_NAME> \
     --purpose=encryption \
     --protection-level=hsm \
     --labels=anthropic-org-<ORGANIZATION_UUID>=true

   

   Untuk perlindungan perangkat lunak sebagai gantinya, hilangkan --protection-level=hsm. Tidak ada hal lain dalam panduan ini yang berubah.

   Anda juga dapat membuat kunci dari Google Cloud Console. Buka key ring, klik Create key, pilih Generated key, atur tujuan dan algoritma ke symmetric encrypt and decrypt, dan pilih HSM di bawah protection level.

   

   Untuk berbagi satu kunci di antara beberapa organisasi Anthropic, tambahkan satu label seperti itu untuk setiap organisasi. Sebuah kunci dapat membawa paling banyak 64 label, termasuk milik Anda sendiri.

3. 3

   Berikan akun layanan Anthropic akses ke kunci

   Dua binding IAM tingkat kunci diperlukan. Keduanya dicakup ke satu crypto key, bukan seluruh proyek atau seluruh keyring.

   Encrypt dan decrypt, yang digunakan Anthropic untuk mengenkripsi dan mendekripsi kunci data yang melindungi data workspace Anda (enkripsi envelope):

   gcloud kms keys add-iam-policy-binding <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
     --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

   

   Viewer, untuk pembacaan metadata (cryptoKeys.get) yang dilakukan Anthropic saat startup untuk memvalidasi tujuan dan algoritma kunci:

   gcloud kms keys add-iam-policy-binding <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
     --role=roles/cloudkms.viewer

   

   Dari Console, pilih kunci, buka panel Permissions, klik Grant access, dan tambahkan akun layanan dengan peran Cloud KMS CryptoKey Encrypter/Decrypter dan Cloud KMS Viewer. Pastikan Anda berada di halaman permissions kunci, bukan key ring atau proyek, sehingga pemberian akses dicakup hanya ke kunci ini.

   

4. 4

   Catat nama resource kunci lengkap

   Anda meneruskan ini ke Anthropic saat mendaftarkan kunci. Formatnya adalah:

   projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>

   

   Ambil dengan:

   gcloud kms keys describe <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --format="value(name)"

   

   Dari Console, buka halaman detail kunci dan klik Copy resource name.

   

Daftarkan kunci dengan Anthropic

Cara Anda mendaftarkan kunci bergantung pada produk mana yang Anda gunakan.

Terraform

Untuk deployment infrastructure-as-code, langkah-langkah yang sama dipetakan ke provider google dengan resource google_kms_key_ring, google_kms_crypto_key, dan google_kms_crypto_key_iam_member.