AmministrazioneChiavi di crittografia (CMEK)

Configurare Azure Key Vault per CMEK

Copy page



Usa Azure Key Vault per fornire una chiave di crittografia per la tua organizzazione.

Questa guida illustra la configurazione di una chiave di Azure Key Vault come chiave di crittografia gestita dal cliente (CMEK) per la tua organizzazione Anthropic.

Prerequisiti

• Un Azure Key Vault con autorizzazione RBAC abilitata (enableRbacAuthorization: true) e accesso alla rete pubblica consentito. Anthropic chiama il tuo vault tramite l'endpoint pubblico del piano dati; gli endpoint privati non sono supportati.
• Protezione dall'eliminazione definitiva abilitata (enablePurgeProtection: true) sul vault. Senza di essa, una chiave eliminata può essere eliminata definitivamente durante la finestra di conservazione dell'eliminazione temporanea, causando una perdita irreversibile dei tuoi dati protetti da CMEK. La protezione dall'eliminazione definitiva non può essere disabilitata una volta abilitata.
• Autorizzazioni per creare chiavi nel vault e per assegnare ruoli RBAC su di esso.
• Autorizzazioni per creare entità servizio nel tuo tenant Entra (Application Administrator, Cloud Application Administrator, o un ruolo personalizzato equivalente).
• Una chiave API Admin di Anthropic per la tua organizzazione.
• La CLI az installata e autenticata.
• Impostazioni di diagnostica configurate sul vault per instradare la categoria di log AuditEvent a Log Analytics, un account di archiviazione o un hub eventi. Azure Key Vault non emette log di audit del piano dati (come KeyWrap, KeyUnwrap e KeyGet) per impostazione predefinita, quindi senza questo non ottieni alcuna traccia di audit per le operazioni sulle chiavi di Anthropic.

Informazioni sull'app Anthropic

Per far sì che Anthropic utilizzi la tua chiave di crittografia, devi configurare un ID applicazione multitenant e un nome visualizzato di Anthropic. Questi valori sono:

Configurazione della chiave di crittografia

1. 1

   Fornisci il consenso all'applicazione multitenant di Anthropic

   Questo crea un'entità servizio nel tuo tenant Entra per l'applicazione client CMEK di Anthropic. L'applicazione non richiede autorizzazioni Microsoft Graph; esiste esclusivamente come destinazione di federazione per l'accesso al piano dati di Key Vault.

   az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87

   

   Dall'output, acquisisci il campo id. Questo è l'ID oggetto dell'entità servizio nel tuo tenant, che usi quando assegni il ruolo RBAC.

   {
     "appId": "8635ae1a-3e5d-44e8-a4ed-e0f614466f87",
     "displayName": "anthropic-cmek-client-us",
     "id": "<sp-object-id>"
   }

   

   Se l'entità servizio esiste già nel tuo tenant (da un tentativo precedente o da un'altra integrazione), az ad sp create termina con un errore "already exists". Recupera invece il suo ID oggetto:

   az ad sp show --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87 --query id -o tsv

   

   Questo passaggio non ha un equivalente nel Portale. Se non hai la CLI di Azure installata localmente, apri Cloud Shell dalla barra di navigazione superiore del Portale. Dopo che il comando ha avuto successo, puoi trovare l'ID oggetto dell'entità servizio in Microsoft Entra ID > Applicazioni aziendali cancellando il filtro predefinito per tipo di applicazione e cercando anthropic-cmek-client-us.

   

2. 2

   Crea una chiave RSA nel tuo vault

   Azure Key Vault non supporta il wrapping di chiavi simmetriche, quindi la chiave deve essere RSA (3072 bit o superiore) con wrapKey e unwrapKey nelle sue operazioni consentite.

   L'opzione --tags aggiunge il tag dell'organizzazione, anthropic-org-<ORGANIZATION_UUID> con il valore true, dove <ORGANIZATION_UUID> è l'ID della tua organizzazione Anthropic in minuscolo. Il tag è necessario affinché Anthropic convalidi la chiave.

   az keyvault key create \
     --vault-name <VAULT_NAME> \
     --name <KEY_NAME> \
     --kty RSA --size 3072 \
     --ops wrapKey unwrapKey \
     --tags anthropic-org-<ORGANIZATION_UUID>=true

   

   Per le chiavi supportate da HSM, usa --kty RSA-HSM (richiede un vault con SKU Premium). Le chiavi RSA protette da software sono accettabili per questa integrazione.

   Dal Portale, apri il tuo Key Vault, seleziona Keys, quindi Generate/Import. Imposta il tipo di chiave su RSA e la dimensione su 3072 o superiore. Per limitare la chiave solo al wrap e unwrap, apri la versione della chiave, scorri fino a Permitted operations e deseleziona tutto tranne Wrap Key e Unwrap Key.

   Nella pagina Create a key, aggiungi anche il tag dell'organizzazione in Tags.

   

   

   Per condividere una chiave tra più organizzazioni Anthropic, aggiungi un tag di questo tipo per ciascuna organizzazione. Una versione della chiave può contenere al massimo 15 tag, inclusi i tuoi.

3. 3

   Concedi all'entità servizio di Anthropic l'accesso alla tua chiave

   Assegna il ruolo Key Vault Crypto User all'entità servizio del primo passaggio, con ambito limitato alla singola chiave anziché all'intero vault.

   VAULT_ID=$(az keyvault show --name <your-vault-name> --query id -o tsv)
   
   az role assignment create \
     --role "Key Vault Crypto User" \
     --assignee-object-id <sp-object-id> \
     --assignee-principal-type ServicePrincipal \
     --scope "${VAULT_ID}/keys/<your-key-name>"

   

   Il ruolo integrato Key Vault Crypto User concede operazioni crittografiche sulle chiavi (encrypt, decrypt, wrap, unwrap, sign, verify) più la lettura della chiave nel suo ambito assegnato. La restrizione --ops wrapKey unwrapKey che hai impostato sulla chiave nel passaggio precedente restringe ulteriormente quali di queste operazioni possono avere successo su questa chiave, quindi in pratica Anthropic può solo eseguire wrap e unwrap.

   Dal Portale, apri la chiave (non il vault), seleziona la sua scheda Access control (IAM), fai clic su Add > Add role assignment, seleziona Key Vault Crypto User e assegnalo all'entità servizio anthropic-cmek-client-us.

   

4. 4

   Verifica la configurazione del tuo vault

   az keyvault show --name <your-vault-name> \
     --query "{rbac:properties.enableRbacAuthorization, purge:properties.enablePurgeProtection, pub:properties.publicNetworkAccess, net:properties.networkAcls.defaultAction, ipRules:properties.networkAcls.ipRules, uri:properties.vaultUri, tenantId:properties.tenantId}"

   

   Conferma che:

   • rbac sia true.
   • purge sia true. Se è false o null, abilita la protezione dall'eliminazione definitiva sul vault prima di procedere. Senza di essa, una chiave eliminata temporaneamente può essere eliminata definitivamente durante la finestra di conservazione, rendendo irrecuperabili i tuoi dati protetti da CMEK.
   • pub sia "Enabled". Se è "Disabled", Anthropic non può raggiungere il vault tramite il suo endpoint pubblico del piano dati e la convalida fallisce.
   • net sia "Allow", oppure, se è "Deny", che ipRules includa gli intervalli di uscita di Anthropic (contatta Anthropic per l'elenco corrente).
   • uri sia l'URI del vault che usi quando registri la chiave.
   • tenantId sia il tenant che governa il vault. Usa questo valore come tenant_id quando registri la chiave, non il tenant della tua sottoscrizione attualmente attiva (i due possono differire nelle configurazioni cross-tenant).

Registra la chiave con Anthropic

Il modo in cui registri la chiave dipende dal prodotto che usi.

Terraform

Per le distribuzioni infrastructure-as-code, gli stessi passaggi corrispondono ai provider azurerm e azuread.