Configurare AWS KMS per CMEK

Questa guida illustra la configurazione di una chiave AWS KMS come chiave di crittografia gestita dal cliente (CMEK) per la tua organizzazione Anthropic.

Prerequisiti

• Un account AWS con i permessi per creare chiavi KMS e impostare policy delle chiavi (kms:CreateKey e kms:PutKeyPolicy).
• Una chiave Admin API per la tua organizzazione.
• La AWS CLI installata e autenticata.

Amazon Resource Name (ARN) per Anthropic

Per far sì che Anthropic utilizzi la tua chiave di crittografia, devi fornire al ruolo IAM di Anthropic una chiave KMS che possa usare per crittografare i dati. L'ARN per Anthropic CMEK è:

arn:aws:iam::915198916910:role/anthropic-cmek-client-us

Configurazione della chiave di crittografia

1. 1

   Crea la chiave KMS con una policy della chiave cross-account

   La policy della chiave concede al ruolo IAM di Anthropic l'accesso cross-account. Sono richieste tre dichiarazioni:

   1. Admin root dell'account: il pattern KMS standard. Il tuo account mantiene il pieno controllo amministrativo.
   2. Encrypt e decrypt di Anthropic: le azioni kms:Encrypt e kms:Decrypt, che Anthropic usa per crittografare e decrittografare le chiavi dati che proteggono i dati del tuo workspace (crittografia envelope).
   3. Describe di Anthropic: la lettura dei metadati che Anthropic esegue all'avvio. Viene concessa separatamente perché DescribeKey non ha un parametro EncryptionContext, quindi una condizione EncryptionContext su questa azione negherebbe sempre.

   Per trovare l'ID del tuo account AWS, esegui aws sts get-caller-identity --query Account --output text.

   Nella policy, sostituisci <AWS_ACCOUNT_ID> con l'ID del tuo account AWS e <ORGANIZATION_UUID> con l'ID della tua organizzazione. La condizione StringEquals su kms:EncryptionContext:anthropic:org_uuid vincola la chiave alla tua organizzazione Anthropic, e la validazione rifiuta una chiave senza di essa. Per condividere una chiave tra più organizzazioni Anthropic, elenca l'ID di ciascuna organizzazione nel valore della condizione.

   Salva la policy come key-policy.json. Per creare invece la chiave nella AWS Console, incolla lì la policy, come descritto più avanti in questo passaggio.

   key-policy.json

   

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AccountRootAdmin",
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::<AWS_ACCOUNT_ID>:root"
         },
         "Action": "kms:*",
         "Resource": "*"
       },
       {
         "Sid": "AllowAnthropicCMEKCrypto",
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
         },
         "Action": ["kms:Encrypt", "kms:Decrypt"],
         "Resource": "*",
         "Condition": {
           "StringEquals": {
             "kms:EncryptionContext:anthropic:org_uuid": ["<ORGANIZATION_UUID>"]
           }
         }
       },
       {
         "Sid": "AllowAnthropicCMEKDescribe",
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us"
         },
         "Action": "kms:DescribeKey",
         "Resource": "*"
       }
     ]
   }

   aws kms create-key \
     --region <REGION> \
     --description "Anthropic CMEK" \
     --key-usage ENCRYPT_DECRYPT \
     --policy file://key-policy.json

   

   Cattura KeyMetadata.Arn dall'output. Ne hai bisogno quando registri la chiave nel passaggio successivo.

   Anthropic valida la chiave quando la verifichi o la colleghi a un workspace. Ogni validazione aggiunge quattro errori di accesso negato a CloudTrail. Questi sono previsti. Se hai bisogno di filtrarli, filtra su tutti e tre i seguenti valori. Il primo da solo non è sufficiente, perché qualsiasi chiamante può impostarlo:

   • requestParameters.encryptionContext.associatedData: Y21lay12YWxpZGF0aW9u
   • userIdentity.accountId: 915198916910
   • resources.ARN: arn:aws:kms:<REGION>:<AWS_ACCOUNT_ID>:key/<KEY_ID>

   Puoi anche creare la chiave dalla AWS Console. Scegli una chiave simmetrica con l'uso chiave encrypt e decrypt, una chiave a regione singola, e origine del materiale della chiave KMS. La procedura guidata Create-key conferma una policy della chiave al suo passaggio Review: Se aggiungi l'ID account di Anthropic 915198916910 sotto i permessi di uso della chiave lì, la policy generata concede all'intero account Anthropic azioni più ampie (come kms:ReEncrypt* e kms:GenerateDataKey*) senza una condizione EncryptionContext, e la validazione la rifiuta. Per evitare di lasciare una chiave con permessi eccessivi, completa la procedura guidata con i soli permessi amministrativi, poi apri la scheda Key policy della chiave e sostituisci il JSON con la policy key-policy.json mostrata in precedenza in questo passaggio.

   

   

   

   

Registra la chiave con Anthropic

Il modo in cui registri la chiave dipende dal prodotto che usi.

Configurare CMEK su Claude Platform on AWS

Su Claude Platform on AWS, CMEK usa solo chiavi AWS KMS, e la configurazione differisce dalle sezioni precedenti in questi modi:

• Principal: La tua policy della chiave concede l'accesso al principal di servizio AWS aws-external-anthropic.amazonaws.com. Il ruolo IAM e l'ID account di Anthropic non vengono usati, quindi l'ARN per Anthropic non si applica.
• Requisiti della chiave: La chiave deve essere una chiave KMS simmetrica con uso encrypt e decrypt, a regione singola, e nello stesso account e regione AWS del workspace a cui la colleghi. Le chiavi cross-account non sono supportate: la chiave deve essere nell'account AWS che ospita la tua organizzazione. Le chiavi multi-regione (ID chiave che iniziano con mrk-) e gli ARN di alias vengono rifiutati quando registri la chiave; usa l'ARN della chiave.
• Nessun passaggio di validazione separato: A parte quei controlli sull'ARN della chiave alla registrazione, la chiave viene validata quando la colleghi a un workspace. La chiamata di collegamento esegue un round di encrypt/decrypt sulla chiave con l'ID di compartimento di quel workspace come contesto di crittografia, quindi un problema della policy della chiave emerge al momento del collegamento anziché alla registrazione. Una condizione EncryptionContext quindi non necessita di una voce tutto zeri.
• Dove gestisci le chiavi: Registra e collega le chiavi nella Claude Console, autenticato tramite AWS con il ruolo Admin. Gli endpoint delle chiavi esterne sono disponibili anche su Claude Platform on AWS, autorizzati tramite azioni IAM; lì, una chiave è identificata dal suo ARN della chiave KMS anziché da un ID ekey_.

Prerequisiti

• L'account AWS che ospita la tua organizzazione Claude Platform on AWS, con i permessi per creare chiavi KMS e impostare policy delle chiavi (kms:CreateKey e kms:PutKeyPolicy).
• Il ruolo Admin nella Claude Console per Claude Platform on AWS. Vedi Usare la Claude Console.
• Per il principal IAM con cui accedi alla Claude Console: oltre a aws-external-anthropic:AssumeConsole, le azioni IAM per le operazioni che esegui lì, perché la registrazione, l'elenco e il collegamento delle chiavi passano attraverso il gateway AWS. La registrazione di una chiave corrisponde a RegisterKey (con ListKeys e GetKey per visualizzare le registrazioni) e il collegamento corrisponde a UpdateWorkspace o CreateWorkspace. Le azioni sulle chiavi esterne (e CreateWorkspace) hanno ambito a livello di account, quindi concedile su Resource: "*"; una policy limitata agli ARN dei workspace non le include.
• Per il principal IAM che collega la chiave a un workspace (l'identità con cui hai effettuato l'accesso alla Claude Console): kms:DescribeKey, kms:Encrypt, e kms:Decrypt sulla chiave. L'accesso del tuo principal alla chiave viene controllato quando la colleghi, oltre a quello del principal di servizio.
• Opzionale, per il selettore di chiavi nella Claude Console: kms:ListKeys e kms:DescribeKey per il principal con cui accedi. Senza di essi, incolla invece l'ARN della chiave.

Crea la chiave KMS

La policy della chiave ha tre dichiarazioni: la dichiarazione di amministrazione root del tuo account; una dichiarazione che consente al principal di servizio di Claude Platform on AWS di crittografare, decrittografare e generare chiavi dati; e una dichiarazione separata per kms:DescribeKey. La dichiarazione crittografica include una condizione EncryptionContext opzionale che vincola la chiave ai workspace che elenchi. DescribeKey viene concessa separatamente perché non ha un parametro EncryptionContext, quindi una condizione EncryptionContext su quell'azione negherebbe sempre l'accesso.

Se prevedi di usare la condizione EncryptionContext facoltativa mostrata qui, crea prima il workspace (senza chiave), copia il suo ID di compartimento e sostituiscilo a <compartment-uuid>. Per trovare l'ID nella Claude Console, vai alla pagina Data retention (platform.claude.com/settings/privacy) e seleziona il workspace dal menu a discesa nella parte superiore della pagina. L'ID si trova in Encryption key, nel campo Compartment ID. Puoi anche leggerlo dal campo compartment_id restituito dall'endpoint Get Workspace. Se non prevedi di usare la condizione, elimina il blocco Condition da quella dichiarazione.

export YOUR_ACCOUNT=$(aws sts get-caller-identity --query Account --output text)

aws kms create-key \
  --region <workspace-region> \
  --description "Anthropic CMEK (Claude Platform on AWS)" \
  --key-usage ENCRYPT_DECRYPT \
  --policy "{
    \"Version\": \"2012-10-17\",
    \"Statement\": [
      {
        \"Sid\": \"AccountRootAdmin\",
        \"Effect\": \"Allow\",
        \"Principal\": {\"AWS\": \"arn:aws:iam::${YOUR_ACCOUNT}:root\"},
        \"Action\": \"kms:*\",
        \"Resource\": \"*\"
      },
      {
        \"Sid\": \"AllowClaudePlatformOnAWSCrypto\",
        \"Effect\": \"Allow\",
        \"Principal\": {\"Service\": \"aws-external-anthropic.amazonaws.com\"},
        \"Action\": [\"kms:Encrypt\", \"kms:Decrypt\", \"kms:GenerateDataKey\"],
        \"Resource\": \"*\",
        \"Condition\": {
          \"StringEquals\": {
            \"kms:EncryptionContext:anthropic:compartment_uuid\": [
              \"<compartment-uuid>\"
            ]
          }
        }
      },
      {
        \"Sid\": \"AllowClaudePlatformOnAWSDescribe\",
        \"Effect\": \"Allow\",
        \"Principal\": {\"Service\": \"aws-external-anthropic.amazonaws.com\"},
        \"Action\": \"kms:DescribeKey\",
        \"Resource\": \"*\"
      }
    ]
  }"

Cattura KeyMetadata.Arn dall'output. Ne hai bisogno quando registri la chiave.

La condizione EncryptionContext è opzionale. Ogni chiamata di crittografia, decrittografia e chiave dati effettuata per un workspace, incluso il controllo al momento del collegamento, include l'ID di compartimento di quel workspace come anthropic:compartment_uuid, quindi la condizione elenca l'ID di compartimento di ogni workspace a cui colleghi la chiave e non necessita di alcuna voce di soli zeri. Aggiungerla vincola la chiave ai workspace che elenchi anche a livello IAM. Poiché un ID di compartimento esiste solo dopo che il relativo workspace esiste, l'ordine è: crea il workspace, inserisci il suo ID di compartimento nella condizione (alla creazione della chiave, o successivamente con kms:PutKeyPolicy), quindi collega la chiave. Prima di collegare la chiave a ogni workspace aggiuntivo, aggiungi l'ID di compartimento di quel workspace nello stesso modo. Per iniziare senza di essa, elimina il blocco Condition dalla dichiarazione AllowClaudePlatformOnAWSCrypto; se la aggiungi in seguito, includi l'ID di compartimento di ogni workspace a cui la chiave è già collegata.

Puoi limitare ulteriormente entrambe le dichiarazioni del principal di servizio con una condizione aws:SourceArn. Il servizio passa l'ARN del workspace (arn:aws:aws-external-anthropic:<region>:<account-id>:workspace/<workspace-id>) come ARN di origine in ogni chiamata che effettua con la tua chiave, quindi "ArnLike": {"aws:SourceArn": "arn:aws:aws-external-anthropic:*:<account-id>:workspace/*"} limita la concessione ai workspace nel tuo account AWS, e un elenco di ARN completi dei workspace la limita a quei workspace. Questa condizione non è obbligatoria; la condizione EncryptionContext da sola vincola la chiave ai workspace che elenchi.

Puoi anche creare la chiave dalla AWS Console: scegli una chiave simmetrica con l'uso chiave encrypt e decrypt, una chiave a regione singola, e origine del materiale della chiave KMS, nella regione del workspace. Lascia vuoti i permessi di uso della chiave nella procedura guidata Create-key, poi apri la scheda Key policy della chiave e sostituisci il JSON con la policy mostrata qui.

Registra e collega la chiave

1. 1

   Registra la chiave

   Nella Claude Console, vai alla pagina Data retention (platform.claude.com/settings/privacy). Se non vedi Encryption keys, seleziona Organization dal menu a discesa nella parte superiore della pagina. In Encryption keys, fai clic su Add key. Inserisci un nome visualizzato, quindi scegli la chiave dal selettore di chiavi oppure scegli Enter ARN manually e incolla l'ARN della chiave, e fai clic su Add. La chiave deve trovarsi nell'account AWS che ospita la tua organizzazione; le chiavi cross-account non sono supportate. Il selettore elenca le chiavi abilitate, gestite dal cliente, simmetriche e a regione singola presenti nel tuo account in una delle regioni della tua organizzazione; per una chiave che il selettore non elenca, inserisci l'ARN. Elenca le chiavi solo se il principal con cui hai effettuato l'accesso può chiamare kms:ListKeys e kms:DescribeKey.

2. 2

   Collega la chiave a un workspace

   Collega la chiave a un nuovo workspace prima di inviare qualsiasi richiesta a quel workspace. Per un workspace che riceve già richieste, la chiave può impiegare fino a un giorno per diventare effettiva. Nella Claude Console, vai alla pagina Data retention (platform.claude.com/settings/privacy) e seleziona il workspace dal menu a discesa nella parte superiore della pagina. In Encryption key, seleziona la chiave, fai clic su Save e conferma. Puoi anche selezionare una chiave quando crei un workspace nella Claude Console, ma solo se la tua policy della chiave non nomina ancora workspace specifici (nessuna condizione EncryptionContext), perché l'ID di compartimento del workspace viene assegnato alla creazione. Una volta collegata, la chiave di un workspace non può essere modificata.

   Questo è il momento in cui la chiave viene validata: la chiamata di collegamento controlla l'accesso del tuo principal alla chiave ed esegue un round di encrypt/decrypt su di essa con l'ID di compartimento del workspace come contesto di crittografia, quindi un problema con la policy della chiave o con i permessi del tuo principal emerge come errore su quella chiamata. Se il collegamento fallisce con un errore di accesso KMS, controlla quanto segue:

   • La policy della chiave nomina il principal di servizio aws-external-anthropic.amazonaws.com e concede kms:Encrypt, kms:Decrypt, e kms:GenerateDataKey, più kms:DescribeKey in una dichiarazione separata che non ha una condizione EncryptionContext.
   • Qualsiasi condizione EncryptionContext include l'ID di compartimento di questo workspace, e qualsiasi condizione aws:SourceArn che hai aggiunto corrisponde all'ARN di questo workspace.
   • La chiave è abilitata, a regione singola, e nello stesso account e regione AWS del workspace.
   • Il principal con cui hai effettuato l'accesso ha kms:DescribeKey, kms:Encrypt, e kms:Decrypt sulla chiave.
   • Nessuna service control policy o resource control policy nella tua organizzazione AWS impedisce al principal di servizio o al tuo principal di usare la chiave.
   • Se la policy sembra corretta e il collegamento continua a non riuscire, trova l'evento kms: negato in CloudTrail nell'account della chiave (mostra il principal chiamante e, per le chiamate crittografiche, il contesto di crittografia), quindi correggi la condizione con kms:PutKeyPolicy e riprova.

Terraform

Per i deployment infrastructure-as-code, gli stessi passaggi si mappano al provider aws con le risorse aws_kms_key e aws_kms_alias.