Configura Google Cloud KMS per CMEK

Questa guida illustra la configurazione di una chiave Google Cloud KMS come chiave di crittografia gestita dal cliente (CMEK) per la tua organizzazione Anthropic.

Prerequisiti

• Un progetto Google Cloud con la fatturazione abilitata.
• L'API Cloud KMS abilitata (cloudkms.googleapis.com).
• Autorizzazioni per creare key ring e chiavi KMS, e per impostare la policy IAM su di essi (roles/cloudkms.admin o equivalente).
• Una chiave API Admin di Anthropic per la tua organizzazione.
• La CLI gcloud installata e autenticata.
• I log di audit di accesso ai dati di Cloud KMS abilitati per il progetto (IAM & Admin > Audit Logs > Cloud Key Management Service, con DATA_READ e DATA_WRITE). Questi sono disattivati per impostazione predefinita; senza di essi, le operazioni di crittografia e decrittografia di Anthropic non producono voci in Cloud Logging.

Email dell'account di servizio Anthropic

Per far sì che Anthropic utilizzi la tua chiave di crittografia, devi fornire all'account di servizio di Anthropic una chiave che possa usare per crittografare i dati. L'email dell'account di servizio per Anthropic CMEK è:

anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com

Configurazione della chiave di crittografia

1. 1

   Crea o scegli un key ring

   Salta questo passaggio se hai già un key ring da riutilizzare. I key ring sono regionali. Scegli una posizione US a regione singola come us-east5 che corrisponda alla geografia Anthropic che stai configurando. Le posizioni multi-regione come us e global non sono supportate.

   gcloud kms keyrings create <your-keyring-name> \
     --project=<your-project-id> \
     --location=<region>

   
2. 2

   Crea la chiave crittografica

   Crea una chiave simmetrica con lo scopo ENCRYPT_DECRYPT. Anthropic consiglia vivamente la protezione HSM: le chiavi HSM di Cloud KMS sono validate FIPS 140-2 Level 3, e la differenza di costo rispetto alle chiavi software è ridotta.

   L'opzione --labels aggiunge l'etichetta dell'organizzazione, anthropic-org-<ORGANIZATION_UUID> con il valore true, dove <ORGANIZATION_UUID> è l'ID della tua organizzazione Anthropic in minuscolo. L'etichetta è necessaria affinché Anthropic possa validare la chiave.

   gcloud kms keys create <KEY_NAME> \
     --project=<PROJECT_ID> \
     --location=<REGION> \
     --keyring=<KEYRING_NAME> \
     --purpose=encryption \
     --protection-level=hsm \
     --labels=anthropic-org-<ORGANIZATION_UUID>=true

   

   Per la protezione software invece, ometti --protection-level=hsm. Nient'altro in questa guida cambia.

   Puoi anche creare la chiave dalla Google Cloud Console. Apri il key ring, fai clic su Create key, seleziona Generated key, imposta lo scopo e l'algoritmo su crittografia e decrittografia simmetrica, e scegli HSM sotto il livello di protezione.

   

   Per condividere una chiave tra più organizzazioni Anthropic, aggiungi una di queste etichette per ogni organizzazione. Una chiave può avere al massimo 64 etichette, incluse le tue.

3. 3

   Concedi all'account di servizio Anthropic l'accesso alla chiave

   Sono necessari due binding IAM a livello di chiave. Entrambi sono limitati alla singola chiave crittografica, non all'intero progetto o all'intero key ring.

   Crittografia e decrittografia, che Anthropic usa per crittografare e decrittografare le chiavi dati che proteggono i dati del tuo workspace (crittografia a busta):

   gcloud kms keys add-iam-policy-binding <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
     --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

   

   Viewer, per la lettura dei metadati (cryptoKeys.get) che Anthropic esegue all'avvio per validare lo scopo e l'algoritmo della chiave:

   gcloud kms keys add-iam-policy-binding <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
     --role=roles/cloudkms.viewer

   

   Dalla Console, seleziona la chiave, apri il pannello Permissions, fai clic su Grant access, e aggiungi l'account di servizio con entrambi i ruoli Cloud KMS CryptoKey Encrypter/Decrypter e Cloud KMS Viewer. Assicurati di essere nella pagina delle autorizzazioni della chiave, non del key ring o del progetto, in modo che la concessione sia limitata solo a questa chiave.

   

4. 4

   Annota il nome completo della risorsa chiave

   Lo passi ad Anthropic quando registri la chiave. Il formato è:

   projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>

   

   Recuperalo con:

   gcloud kms keys describe <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --format="value(name)"

   

   Dalla Console, apri la pagina dei dettagli della chiave e fai clic su Copy resource name.

   

Registra la chiave con Anthropic

Il modo in cui registri la chiave dipende dal prodotto che usi.

Terraform

Per i deployment infrastructure-as-code, gli stessi passaggi corrispondono al provider google con le risorse google_kms_key_ring, google_kms_crypto_key, e google_kms_crypto_key_iam_member.