Claude Platform Docs
管理暗号化キー（CMEK）

CMEK用にGoogle Cloud KMSを設定する

Google Cloud KMSを使用して、組織の暗号化キーを提供します。

Claude Code

Claude Codeにこの機能を設定させる

/claude-api Google Cloud KMSで顧客管理暗号化キーを設定するのを手伝ってください

このガイドでは、Anthropic組織の顧客管理暗号化キー（CMEK）としてGoogle Cloud KMSキーを設定する手順を説明します。

前提条件

  • 請求が有効になっているGoogle Cloudプロジェクト。
  • Cloud KMS APIが有効になっていること（cloudkms.googleapis.com）。
  • KMSキーリングとキーを作成し、それらにIAMポリシーを設定する権限（roles/cloudkms.adminまたは同等のもの）。
  • 組織のAnthropic Admin APIキー。
  • gcloud CLIがインストールされ、認証されていること。
  • プロジェクトに対してCloud KMSのデータアクセス監査ログが有効になっていること（IAMと管理 > 監査ログ > Cloud Key Management Service、DATA_READおよびDATA_WRITE付き）。これらはデフォルトでオフになっています。これらがないと、Anthropicの暗号化および復号化操作はCloud Loggingにエントリを生成しません。

Anthropicサービスアカウントのメールアドレス

Anthropicに暗号化キーを使用させるには、Anthropicのサービスアカウントにデータの暗号化に使用できるキーを付与する必要があります。Anthropic CMEKのサービスアカウントのメールアドレスは次のとおりです。

anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com

暗号化キーのセットアップ

  1. キーリングを作成または選択する

    再利用するキーリングがすでにある場合は、このステップをスキップしてください。キーリングはリージョン単位です。設定しているAnthropicの地域に一致するus-east5などの単一リージョンのUSロケーションを選択してください。usやglobalなどのマルチリージョンロケーションはサポートされていません。

    gcloud kms keyrings create <your-keyring-name> \
  --project=<your-project-id> \
  --location=<region>

  2. 暗号鍵を作成する

    ENCRYPT_DECRYPTの目的で対称鍵を作成します。AnthropicはHSM保護を強く推奨します。Cloud KMS HSMキーはFIPS 140-2 Level 3検証済みであり、ソフトウェアキーとのコスト差はわずかです。

    --labelsオプションは、組織ラベルanthropic-org-<ORGANIZATION_UUID>を値trueで追加します。ここで<ORGANIZATION_UUID>は小文字のAnthropic組織IDです。このラベルはAnthropicがキーを検証するために必要です。

    gcloud kms keys create <KEY_NAME> \
  --project=<PROJECT_ID> \
  --location=<REGION> \
  --keyring=<KEYRING_NAME> \
  --purpose=encryption \
  --protection-level=hsm \
  --labels=anthropic-org-<ORGANIZATION_UUID>=true

    代わりにソフトウェア保護を使用する場合は、--protection-level=hsmを省略してください。このガイドの他の部分は変わりません。

    Google Cloud Consoleからキーを作成することもできます。キーリングを開き、Create keyをクリックし、Generated keyを選択し、目的とアルゴリズムを対称暗号化および復号化に設定し、保護レベルでHSMを選択します。

    Google Cloud KMSのCreate keyページ。HSM保護と対称暗号化/復号化が選択され、anthropic-orgラベルがtrueに設定されています。

    組織ラベル付きのHSM保護された対称暗号化/復号化キー（symmetric encrypt/decrypt key）を作成します。

    複数のAnthropic組織間で1つのキーを共有するには、各組織に対してそのようなラベルを1つ追加します。キーは、自分のものを含めて最大64個のラベルを持つことができます。

  3. Anthropicのサービスアカウントにキーへのアクセスを付与する

    2つのキーレベルのIAMバインディングが必要です。どちらも、プロジェクト全体やキーリング全体ではなく、単一の暗号鍵にスコープされます。

    暗号化と復号化。Anthropicがワークスペースデータを保護するデータキーを暗号化および復号化するために使用します（エンベロープ暗号化）。

    gcloud kms keys add-iam-policy-binding <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name> \
  --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
  --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

    ビューアー。Anthropicがキーの目的とアルゴリズムを検証するために起動時に実行するメタデータ読み取り（cryptoKeys.get）用です。

    gcloud kms keys add-iam-policy-binding <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name> \
  --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
  --role=roles/cloudkms.viewer

    Consoleから、キーを選択し、Permissionsパネルを開き、Grant accessをクリックし、Cloud KMS CryptoKey Encrypter/DecrypterとCloud KMS Viewerの両方のロールでサービスアカウントを追加します。付与がこのキーのみにスコープされるように、キーリングやプロジェクトではなく、キーの権限ページにいることを確認してください。

    Grant accessダイアログ。AnthropicサービスアカウントにCloud KMS CryptoKey Encrypter/DecrypterロールとViewerロールが割り当てられています。

    Anthropicサービスアカウントに両方のロールを付与し、キーにスコープします。

  4. 完全なキーリソース名を記録する

    キーを登録する際にこれをAnthropicに渡します。形式は次のとおりです。

    projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>

    次のコマンドで取得します。

    gcloud kms keys describe <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name> \
  --format="value(name)"

    Consoleから、キーの詳細ページを開き、Copy resource nameをクリックします。

    Google Cloudのキーリングの詳細。キーのアクションメニューでCopy resource nameアクションがハイライトされています。

    アクションメニューからキーの完全なリソース名（full resource name）をコピーします。

Anthropicにキーを登録する

キーの登録方法は、使用する製品によって異なります。

Claude ConsoleまたはAdmin APIを通じてキーをセットアップでき、結果は同じです。

  1. Anthropicにキーを登録する

    Claude Consoleで、Data retentionページ（platform.claude.com/settings/privacy）に移動します。Encryption keysが表示されない場合は、ページ上部のドロップダウンメニューからOrganizationを選択してください。Encryption keysの下でAdd keyをクリックします。表示名を入力し、Google Cloud KMSを選択してContinueをクリックします。完全なキーリソース名をKey resource nameに貼り付け、Addをクリックします。

    キー詳細ステップには組織ラベルが表示されます。Addをクリックする前に、作成ステップで説明されているように、キーにラベルを追加してください。

  2. キーを検証する

    Encryption keysリストで、キーの横にあるVerifyをクリックします。チェックに合格するとConnectedと表示されます。失敗した場合は、メッセージに理由が表示されます。

  3. キーをワークスペースにアタッチする

    Claude Consoleで、Data retentionページ（platform.claude.com/settings/privacy）に移動し、ページ上部のドロップダウンメニューからワークスペースを選択します。Encryption keyの下でキーを選択し、Saveをクリックして確認します。キーのアタッチは元に戻せません。すでにリクエストを受信しているワークスペースの場合、キーが有効になるまで最大1日かかることがあります。

Terraform

Infrastructure-as-codeデプロイメントの場合、同じステップはgoogle_kms_key_ring、google_kms_crypto_key、およびgoogle_kms_crypto_key_iam_memberリソースを使用してgoogleプロバイダーにマッピングされます。

Was this page helpful?