顧客管理の暗号化キー

claude "/claude-api tell me about customer-managed encryption keys"

「customer-managed encryption key」（顧客管理の暗号化キー）、すなわちCMEKを使用すると、お客様自身のAWS KMS、Google Cloud KMS、またはAzure Key Vaultで暗号化キーをプロビジョニングし、Anthropicがそのキーを使用して特定のワークスペースの保存データを暗号化できるようになります。お客様はローテーション、監査、失効を含むキーの完全な管理権限を保持し、Anthropicがお客様のキーに対して実行するキー操作は、お客様のクラウドプロバイダーの監査ログに記録されます。

CMEKの使用は任意です。対象となる組織は、Anthropicが提供するデフォルトの暗号化の代わりに、顧客管理の暗号化キーの使用をオプトインできます。CMEKを有効化するには、Anthropicのアカウントチームにお問い合わせください。



仕組み

CMEKを設定できるのは、組織管理者（Claude Platformの場合）またはオーナーおよびプライマリオーナー（Claude Enterpriseの場合）のみです。Claude Platformでは、CMEKはワークスペースごとにスコープが設定され、Admin APIで設定します。Claude Enterpriseでは、CMEKは組織ごとにスコープが設定され、claude.ai > Organization settings > Data and privacyで設定します。いずれの製品でも、CMEKはキーが有効化された後に書き込まれたデータを保護します。既存のデータ（以前のチャット、ファイル、セッション）はAnthropic管理のキーで暗号化されたままであり、お客様のキーで再暗号化されることはありません。

CMEK設定イベントは、Compliance API Activity Feedに表示されます。Anthropicがお客様のキーに対して実行するキー操作（データキーのラップやアンラップなど）はCompliance APIには表示されず、お客様のクラウドプロバイダーの監査ログに表示されます。

Anthropicは、標準のパブリックIP範囲からお客様のキー管理サービスを呼び出します。キー管理サービスへのアクセスをIPで制限している場合は、IPアドレスに記載されているアドレスを許可してください。



前提条件

• 暗号化キーをホストするアカウント、プロジェクト、またはサブスクリプションで、暗号化キーを作成し、キーアクセスを管理する権限。
• Claude PlatformのClaude Consoleにおける組織管理者ロール、またはClaude Enterpriseにおけるオーナーまたはプライマリオーナーロール。
• データ保持設定：CMEKは、Claude PlatformとClaude Enterpriseの両方でゼロデータ保持（ZDR）と併用できます。



利用可能性とリージョン

CMEKは現在、米国リージョンでのみ利用可能であり、すべての暗号化操作は米国リージョンで処理されます。

Claude Platform on AWSでは、CMEKはAWS KMSキーでのみ利用可能です。Google Cloud KMSおよびAzure Key Vaultのキーは登録できません。キーの作成、検証、アタッチはClaude Consoleで行ってください。external_keys APIエンドポイントは現在、Claude Platform on AWSでは利用できません。キーは、アタッチされるワークスペースと同じAWSリージョンに存在する必要があります。

レイテンシを最小限に抑えるには、Anthropicの米国インフラストラクチャに近いリージョンを選択してください。



CMEKが保護する対象

CMEKがカバーする範囲は、使用する製品によって異なります。



暗号化される対象

Claude Platform

• メッセージコンテンツ、ファイルおよび添付ファイル（リクエストと共に送信されるインライン添付ファイルとFiles APIアップロードの両方）、MCPおよびツール設定。
• Claude Managed Agentsのデータ（エージェント設定、環境、Webhook、セッションおよびそのイベントを含む）。

Claude Enterprise

• チャットコンテンツ（スキル、プラグイン、Artifactsを含む）。
• チャット添付ファイルおよびプロジェクト添付ファイル。
• CLI上のClaude Code（メッセージコンテンツを含む）。
• Claude DesktopのCowork。
• Officeエージェント。
• Claude in Chrome。

両製品において、バックアップとスナップショットはキーを継承します。



無効化または変更される機能

CMEKを有効にすると、一部の機能が無効になるか、大幅に変更されます。このリストは網羅的ではありません。CMEKを有効にする前に、チームと共に確認してください。

Claude Platform

• Claude ConsoleのWorkbenchは無効になります。
• プロンプト、レスポンス、ファイルなどの生コンテンツを返すCompliance APIの一部は無効になります。
• Claude Managed Agentsでは、メモリストアとドリームが無効になります。CMEKで保護されたワークスペースからこれらのエンドポイントへのリクエストは、invalid_request_error（HTTP 400）を返します。メモリストアまたはドリームを使用するには、CMEKが設定されていないワークスペースからリクエストを送信してください。
• その他のベータ版およびリサーチプレビュー機能は、CMEKの対象外となる場合があります。

Claude Enterprise

• 会話履歴検索は無効になります。会話タイトルは暗号化されるため、タイトルまたはコンテンツによる検索は結果を返しません。
• 多数のファイルにわたる検索は遅くなります。
• 特定の分析機能が低下します：claude.aiのスキルおよびコネクタに関する管理者分析（claude.ai/analytics/usageおよびClaude Enterprise Analytics API経由）、Claudeスマートレポート（claude.ai/analytics/insights）、Claude Codeコントリビューションメトリクス（claude.ai/analytics/claude-code）。
• 監査ログのエクスポートは無効になります。
• 一時的なファイル交換用の署名付きURLは無効になります。これらは、claude.aiの組織データエクスポートや、スクリーンショット更新などのClaude Code Remoteファイルフローを支えています。
• 個人設定は、CMEKで保護された組織に所属するユーザーに対して、同じ親組織配下のすべての組織で無効になります。CMEKで保護された組織に所属していないユーザーは、引き続きすべての組織で使用できます。
• CoworkおよびClaude CodeのCompliance APIローカルセッショントランスクリプトは、現在メッセージコンテンツを返しません。セッションメタデータは通常どおり一覧表示され、ローカルセッションメッセージエンドポイント（GET /v1/compliance/apps/sessions/local/{session_id}/messages）は各メッセージをコンテンツが利用不可としてマークされた状態で返します。レスポンスの形式については、ローカルセッショントランスクリプトの取得を参照してください。



暗号化されない対象

これらの機能は引き続き利用可能ですが、そのデータはお客様のキーで暗号化されません。ユースケースに適さない機能は、Settingsで無効にできます。

Claude Platform

• 保存状態にないデータ（キャッシュなど）およびTTLが24時間未満のデータ。
• Activity Feed、監査ログ、OTELなどのテレメトリネットワークトラフィック。これにより、キーが失効した場合でもお客様がコンプライアンスを維持できます。
• Claude Managed AgentsのVault認証情報の値（OAuthトークンやクライアントシークレットなど）。これらはAnthropic管理の暗号化で保存され、書き込み専用であり、APIレスポンスで返されることはありません。
• ユーザープロファイル：name、external_id、metadataフィールドは、お客様のキーではなくAnthropic管理の暗号化で保存されます。プロファイルのmetadataに機密性の高い個人データを保存しないでください。

Claude Enterprise

• Claude Code Desktop、Web上のClaude Code、Claude for Slack。ユースケースに適さないものは、管理コンソールで無効にすることをAnthropicは推奨します。
• ベータ版およびリサーチプレビュー機能は、CMEKの対象外となる場合があり、CMEK組織では動作しない可能性があります（例：Claude SecurityおよびClaude Design）。
• Settings > Privacyのオンデマンドデータエクスポート。

両製品において、組織内のユーザーのアカウントデータ（名前、メールアドレス、プロフィール画像など）は、お客様のキーで暗号化されません。



機能サポート

CMEKが有効な場合、以下のClaude Platform APIおよびツールは、お客様のキーで保存データを暗号化します。



お客様のキー外での限定的な保存

以下の3つの限定的なケースにおいて、AnthropicはAnthropic管理の暗号化で特定の記録を保存する場合があります。

• Anthropicが法律により記録の保持を義務付けられている場合（例：18 U.S.C. § 2258Aに基づきNCMECに報告される資料）。
• 重大な危害の緊急リスク（例：CBRNE兵器開発、攻撃的なサイバー攻撃、または差し迫った暴力の脅威）。
• Anthropicの商用利用規約のセクションD.4、またはお客様のAnthropicとのその他の適用される契約における同等の条項への違反。

CSAMスクリーニングを除き、保存には人間のレビュアーによる明示的な判断が必要であり、Anthropicの商用データの保持ポリシーに従います。保存の各インスタンスについて、保存の目的を伝える理由コードを含む対応するCompliance API Activity Feedイベントが生成されます。詳細については、CMEKコンテンツ保存を参照してください。安全性スクリーニングメタデータ（パターン識別子やマッチインジケーターなど、Anthropicの自動安全性スキャンから派生した記録であり、会話コンテンツではありません）は、Anthropic管理の暗号化で保持され、キー失効後も読み取り可能なままです。



制限事項

• 不可逆的な操作： キーがワークスペースにアタッチされると、デタッチや交換はできません。Claude Platformでは、キーをアタッチするとワークスペースのデータ保持設定もロックされます。そのワークスペースの30日間データ保持をオフにすることはできず、ゼロデータ保持に戻すには新しいワークスペースを作成してトラフィックを移行する必要があります。同じキー内でのキーマテリアルのローテーション（例：AWS KMS自動ローテーション、Cloud KMSローテーションスケジュール、Azure Key Vaultローテーションポリシー）は透過的にサポートされており、Anthropic側での変更は不要です。別のキーに切り替えるには、新しいキーで新しいワークスペースを作成し、データを移行する必要があります。キーを失効または無効化すると、そのワークスペース内のCMEKで保護されたすべてのデータに永久にアクセスできなくなり、元に戻す方法はありません。
• 遡及的な暗号化なし： CMEKは、キーが有効化された後に書き込まれたデータのみを保護します。
• レイテンシ： データキーをラップまたはアンラップする操作は、お客様のキー管理サービスへのラウンドトリップを行うため、保存データの読み取りまたは書き込みを行うアクションにわずかなレイテンシが追加される可能性があります。
• 失効の遅延： キーの失効には最大1時間（キャッシュTTL）かかる場合があります。その期間中に既に処理中のリクエストは、引き続き成功する可能性があります。
• KMSコスト： CMEKには、サードパーティのキー管理サービス（AWS KMS、Google Cloud KMS、またはAzure Key Vault）のキーが必要であり、KMSプロバイダーから別途料金が請求される場合があります。



プロバイダーの設定

使用するキー管理サービスのガイドに従ってください。