--- title: カスタマー管理暗号化キー url: https://platform.claude.com/docs/ja/manage-claude/cmek description: お客様が管理するキーを使用して、Claudeワークスペースの保存データを暗号化します。 --- この機能についてClaude Codeに質問する ```text /claude-api カスタマー管理暗号化キーについて教えてください ``` 「customer-managed encryption key」（カスタマー管理暗号化キー）、すなわちCMEKを使用すると、お客様自身の[AWS KMS](https://aws.amazon.com/kms/)、[Google Cloud KMS](https://cloud.google.com/security/products/security-key-management)、または[Azure Key Vault](https://azure.microsoft.com/en-us/products/key-vault)で暗号化キーをプロビジョニングし、Anthropicがそのキーを使用して特定のワークスペースの保存データを暗号化できるようになります。ローテーション、監査、失効を含め、キーの完全な管理権はお客様が保持し、Anthropicがお客様のキーに対して実行するキー操作は、お客様のクラウドプロバイダーの監査ログに記録されます。 CMEKの使用は任意です。対象となる組織は、Anthropicが提供するデフォルトの暗号化の代わりに、カスタマー管理暗号化キーの使用を**オプトイン**できます。CMEKを有効化するには、Anthropicのアカウントチームにお問い合わせください。 **CMEKの有効化は永続的であり、回復不能なデータ損失を引き起こす可能性があります** CMEKの有効化は永続的です。Anthropicはお客様のキーのコピーを保持しないため、設定ミスやキーの紛失によってCMEKで保護されたデータが永久に失われる可能性があります。いずれかの手順について不明な点がある場合は、変更を適用する前にAnthropicの担当者にお問い合わせください。 * **永久的なデータ損失：** 暗号化キーが削除された場合、削除がスケジュールされた場合、またはキーマテリアルが破棄された場合、Anthropicはお客様のデータを復旧できません。 * **識別子の検証は必須です：** 誤った、またはなりすましのプリンシパルにキーへのアクセスを付与すると、権限のない第三者にデータが漏洩する可能性があります。必ず各設定ガイドに公開されている本番環境のIDとAnthropicの識別子を照合してください。Claude Platform on AWSでは、そのIDは[AWS KMSガイド](https://platform.claude.com/docs/ja/manage-claude/cmek-aws-kms#claude-platform-on-aws)に公開されているAWSサービスプリンシパルです。メール、チャット、またはオンボーディングチャネルを通じて提供された識別子は決して信頼しないでください。 ## 仕組み CMEKを設定できるのは、組織管理者（Claude Platformの場合。Claude Platform on AWSではAdminロール）、またはオーナーおよびプライマリオーナー（Claude Enterpriseの場合）のみです。Claude Platformでは、CMEKはワークスペースごとにスコープされ、Claude ConsoleまたはAdmin APIで設定します（Claude Platform on AWSでは、Claude Console、またはIAMで認可された外部キーおよびワークスペースのエンドポイントを通じて設定します）。Claude Enterpriseでは、CMEKは組織ごとにスコープされ、[claude.ai > 組織設定 > データとプライバシー](https://claude.ai/admin-settings/data-privacy-controls)で設定します。どちらの製品でも、CMEKはお客様のキーが有効になった後に書き込まれたデータを保護します。既存のデータ（過去のチャット、ファイル、セッション）はAnthropic管理のキーで暗号化されたままであり、お客様のキーで再暗号化されることはありません。 Claude Platformでは、Anthropicは新しいワークスペースにリクエストを送信する前に、そのワークスペースにキーをアタッチすることを推奨します。すでにリクエストを受信しているワークスペースにキーをアタッチした場合、キーが有効になるまで最大1日かかることがあります。それ以前に書き込まれたデータは、既存のデータと同様にAnthropic管理のキーで暗号化され、再暗号化されません。 CMEKの設定イベントは[Compliance APIアクティビティフィード](https://platform.claude.com/docs/ja/manage-claude/compliance-activity-feed)に表示されます。Anthropicがお客様のキーに対して実行するキー操作（データキーのラップやアンラップなど）はCompliance APIには表示されず、お客様のクラウドプロバイダーの監査ログに表示されます。 Anthropicは標準のパブリックIP範囲からお客様のキー管理サービスを呼び出します。キー管理サービスへのアクセスをIPで制限している場合は、[IPアドレス](https://platform.claude.com/docs/ja/api/ip-addresses)に記載されているアドレスを許可してください。Claude Platform on AWSでは、キーに対してIPベースの制限に依存しないでください。代わりに、[AWS KMSガイド](https://platform.claude.com/docs/ja/manage-claude/cmek-aws-kms#claude-platform-on-aws)で説明されているキーポリシーでアクセスをスコープしてください。 ## 前提条件 * 暗号化キーをホストするアカウント、プロジェクト、またはサブスクリプションにおいて、暗号化キーを作成しキーアクセスを管理する権限。 * Claude PlatformではClaude Consoleの組織管理者ロール（Claude Platform on AWSではAdminロール）、Claude Enterpriseではオーナーまたはプライマリオーナーロール。 * データ保持設定：CMEKは、Claude PlatformとClaude Enterpriseの両方で[ゼロデータ保持（ZDR）](https://platform.claude.com/docs/ja/manage-claude/api-and-data-retention)と併用できます。 ## 提供状況とリージョン Claude Platform on AWS（このセクションの最後で説明します）を除き、CMEKは現在USリージョンでのみ利用可能であり、すべての暗号化操作はUSリージョンで処理されます。「latency」（レイテンシ）を最小限に抑えるには、AnthropicのUSインフラストラクチャに近いリージョンを選択してください。 | プロバイダー | 推奨リージョン | | ------------ | --------------------------- | | AWS | `us-east-2` | | Google Cloud | `us-central1`, `us-east5` | | Azure | `northcentralus`, `eastus2` | [Claude Platform on AWS](https://platform.claude.com/docs/ja/build-with-claude/claude-platform-on-aws)では、CMEKはAWS KMSキーでのみ利用可能です。Google Cloud KMSおよびAzure Key Vaultのキーは登録できません。上記のリージョン推奨はそこには適用されません。キーは、アタッチ先のワークスペースと同じAWSアカウントおよびリージョンにある単一リージョンのKMSキーである必要があり、そのキーポリシーはAnthropicのIAMロールではなくAWSサービスプリンシパルにアクセスを付与する必要があります。[Claude Platform on AWSでCMEKを設定する](https://platform.claude.com/docs/ja/manage-claude/cmek-aws-kms#claude-platform-on-aws)を参照してください。キーの登録とアタッチはClaude Consoleで行います。外部キーエンドポイントもClaude Platform on AWSで利用可能で、[IAMアクション](https://platform.claude.com/docs/ja/api/claude-platform-on-aws-iam-actions#encryption-keys)を通じて認可されます。個別の検証ステップはありません。キーはワークスペースにアタッチする際に暗黙的に検証されます（アタッチ呼び出しが暗号化/復号のラウンドを実行します）。そのため、キーポリシーの問題は登録時ではなくアタッチ時に表面化します。 ## CMEKが保護する対象 CMEKの対象範囲は、使用する製品によって異なります。 ### CMEKキーで暗号化されるもの **Claude Platform** * メッセージコンテンツ、ファイルと添付ファイル（リクエストとともに送信されるインライン添付ファイルとFiles APIでのアップロードの両方）、およびMCPとツールの設定。 * [Claude Managed Agents](https://platform.claude.com/docs/ja/managed-agents/overview)（ベータ版）のデータ。エージェント設定、環境、Webhook、セッションおよびそのイベント、[メモリストア](https://platform.claude.com/docs/ja/managed-agents/memory)（ベータ版）とそのメモリおよびメモリバージョン、[dreams](https://platform.claude.com/docs/ja/managed-agents/dreams)（リサーチプレビュー）を含みます。 * Batch APIおよびSkills APIによって保存時に保存されるデータ、ならびに以下のツールによって保存されるデータ：ウェブ検索、ウェブフェッチ、コード実行、bash、テキストエディタ、MCPコネクタ（ベータ版）、構造化出力、アドバイザーツール（ベータ版）、コンピュータ使用、ブラウザ使用、コンテキスト管理。 **Claude Enterprise** * スキルとプラグインを含むチャットコンテンツ。 * チャットの添付ファイルとプロジェクトの添付ファイル。 * メッセージコンテンツを含む、CLI上のClaude Code。 * Claude DesktopのCowork。 * ユーザーのマシン上のセッションから取得されたCompliance APIの[ローカルセッションのトランスクリプト](https://platform.claude.com/docs/ja/manage-claude/compliance-sessions#retrieve-local-sessions)。キーを使用できない場合、messagesエンドポイントはトランスクリプトのコンテンツの代わりに[503 Service Unavailable](https://platform.claude.com/docs/ja/manage-claude/compliance-errors#local-sessions-temporarily-unavailable)を返します。セッションのメタデータは引き続き一覧表示されます。 * Officeエージェント。 * Claude in Chrome。 * ベータ版であるClaude Science。 どちらの製品でも、バックアップとスナップショットはキーを継承します。 ### 無効化または変更されるもの CMEKを有効にすると、一部の機能が無効化されるか、大幅に変更されます。このリストは網羅的ではありません。CMEKを有効にする前にチームで確認してください。 **Claude Platform** * Claude ConsoleのPlaygroundは無効化されます。 * プロンプト、レスポンス、ファイルなどの生のコンテンツを返すCompliance APIの一部は無効化されます。 * CMEK組織では、Claude FableまたはClaude Mythosモデルで構造化出力は利用できません。 * その他のベータ機能およびリサーチプレビュー機能はCMEKの対象外となる場合があります。 **Claude Enterprise** * チャットのタイトルとコンテンツがお客様のキーで暗号化されるため、チャット検索は無効化されます。メンバーは過去のチャットを検索できず、**チャットの検索と参照**トグルはオフのままとなるため、Claudeもそれらを検索できません。 * [プロジェクトナレッジ検索](https://support.claude.com/en/articles/11473015-retrieval-augmented-generation-rag-for-projects)（「retrieval-augmented generation」（検索拡張生成）、すなわちRAG）は無効化されます。プロジェクトナレッジは、インデックス化されて検索されるのではなく、各会話のコンテキストに直接読み込まれます。その結果、プロジェクトで使用できるナレッジの量は、CMEKを使用しない場合と比べて大幅に少なくなる可能性があります。読み込める量を超えるナレッジは会話から除外されます。 * Web版のClaude CodeとClaude in Slackは利用できません。新しいセッションを開始できず、管理者がこれらの製品をオンにしていても、Claude in Slackはリクエストを拒否します。Claude Code Desktopはローカルセッション用に引き続き利用可能ですが、管理者が[claude.ai > Organization settings > Claude Code](https://claude.ai/admin-settings/claude-code)でオンにしない限りオフになっています。 * Claude Codeは[アーティファクトを公開](https://code.claude.com/docs/en/artifacts#availability)できません。ただし、チャットまたはCoworkで作成されたアーティファクトは、組織内で共有できますが、公開することはできません。 * 管理者の設定にかかわらず、特定の分析機能は無効になります：Claude smart reports（ベータ版、claude.ai/analytics/insights配下）、およびGitHubからのClaude Codeコントリビューションメトリクス（ベータ版、claude.ai/analytics/claude-code配下）。claude.aiの分析ダッシュボードおよび[Claude Enterprise Analytics API](https://platform.claude.com/docs/ja/manage-claude/analytics-api)を通じたスキルおよびコネクタの管理者分析には、チャットでの使用状況は含まれず、カスタムスキル、プラグイン、コネクタの名前は非表示になります。 * [claude.ai > 組織設定 > データとプライバシー](https://claude.ai/admin-settings/data-privacy-controls)配下にある組織データのエクスポートと監査ログのエクスポートは、いずれも無効化されます。 * レスポンスの評価（Claudeのレスポンスに対する高評価と低評価）は無効化されます。 * [スキルおよびプラグインのセキュリティスキャン](https://platform.claude.com/docs/ja/agents-and-tools/agent-skills/enterprise#skill-content-scanning)は利用できません。この設定はオンにできず、スキルとプラグインはスキャンなしでインストールされます。 * 管理者の設定にかかわらず、以下のベータおよびリサーチプレビュー機能はCMEK組織では利用できません：会話内および**Artifacts**タブ内のClaude Design、Claude Slides、Claude Docs、ならびにroutines。 ### Anthropicのキーで暗号化されるもの これらの機能は引き続き利用可能ですが、そのデータはお客様のキーでは暗号化されません。ユースケースに適さない機能は**設定**で無効化できます。 **Claude Platform** * 保存状態ではないデータ（キャッシュなど）およびTTLが24時間未満のデータ。 * アクティビティフィード、監査ログ、およびOTELなどのテレメトリネットワークトラフィック。これにより、キーが失効した場合でもお客様はコンプライアンスを維持できます。 * Claude Managed Agentsの[ボールト認証情報](https://platform.claude.com/docs/ja/managed-agents/vaults)の値（OAuthトークンやクライアントシークレットなど）。これらはAnthropic管理の暗号化で保存され、書き込み専用であり、APIレスポンスで返されることはありません。 * [ユーザープロファイル](https://platform.claude.com/docs/ja/api/beta/user_profiles)：`name`、`external_id`、`metadata`フィールドは、お客様のキーではなくAnthropic管理の暗号化で保存されます。プロファイルの`metadata`に機密性の高い個人データを保存しないでください。 * メンバーが**フィードバック**オプションで送信するClaude Consoleに関する評価とコメント。これらをオフにする設定はありません。メンバーは自ら選択した場合にのみ送信します。 - オブザーバビリティバックエンドのAPIキーヘッダーなど、[OpenTelemetryの宛先](https://platform.claude.com/docs/ja/manage-claude/opentelemetry#add-a-destination)のリクエストヘッダー。これらはAnthropic管理の暗号化で保存されます。その値は書き込み専用であり、APIレスポンスで返されることはありません。 **Claude Enterprise** * ベータ機能およびリサーチプレビュー機能は、CMEKの対象外となる場合があり、CMEK組織では動作しない可能性があります。例として、Claude Securityやclaude.ai/designのClaude Designアプリがあります。 * [個人設定 - Claudeへの指示セクション](https://claude.ai/new#settings/account)およびCoworkのグローバル指示。これらはアカウントレベルで設定され、ユーザーが所属するすべての組織間で共有されます。 どちらの製品でも、組織内のユーザーのアカウントデータ（名前、メールアドレス、プロフィール画像など）はお客様のキーでは暗号化されません。 ## お客様のキー外での限定的な保存 次の3つの限定的なケースにおいて、Anthropicは特定の記録をAnthropic管理の暗号化で保存する場合があります。 * Anthropicが法律により記録の保持を義務付けられている場合（例：18 U.S.C. § 2258Aに基づきNCMECに報告された資料）。 * 重大な危害の緊急リスク（例：CBRNE兵器の開発、攻撃的サイバー攻撃、または差し迫った暴力の脅威）。 * Anthropicの[商用利用規約](https://www.anthropic.com/legal/commercial-terms)のセクションD.4、またはお客様がAnthropicと締結しているその他の適用契約における同等の条項への違反。 [CSAMスクリーニング](https://support.claude.com/en/articles/9020328-csam-detection-and-reporting)を除き、保存には人間のレビュアーによる明示的な判断が必要であり、Anthropicの[商用データの保持ポリシー](https://privacy.claude.com/en/articles/10023548-how-long-do-you-store-my-data)に従います。保存が行われるたびに、保存の目的を示す理由コードを含む対応する[Compliance APIアクティビティフィード](https://platform.claude.com/docs/ja/manage-claude/compliance-activity-feed)イベントが生成されます。詳細は[CMEKコンテンツの保存](https://platform.claude.com/docs/ja/manage-claude/access-transparency#cmek-content-preservation)を参照してください。安全性スクリーニングメタデータ（パターン識別子や一致インジケーターなど、Anthropicの自動安全性スキャンから派生した記録であり、会話コンテンツではないもの）はAnthropic管理の暗号化で保持され、キーの失効後も読み取り可能なままです。 ## 制限事項 * **取り消し不能な操作：** キーをワークスペースにアタッチすると、デタッチや交換はできません。Claude Platformでは、キーをアタッチするとワークスペースのデータ保持設定もロックされます。そのワークスペースの30日間のデータ保持をオフにすることはできず、ゼロデータ保持に戻すには新しいワークスペースを作成してトラフィックを移行する必要があります。同じキー内でのキーマテリアルのローテーション（例：AWS KMSの自動ローテーション、Cloud KMSのローテーションスケジュール、Azure Key Vaultのローテーションポリシー）は透過的にサポートされ、Anthropic側での変更は不要です。*別の*キーに切り替えるには、新しいキーで新しいワークスペースを作成し、データを移行する必要があります。キーを失効または無効化すると、そのワークスペース内のCMEKで保護されたすべてのデータが永久にアクセス不能になり、元に戻す方法はありません。 * **遡及的な暗号化なし：** CMEKはキーが有効になった後に書き込まれたデータのみを保護します（[仕組み](https://platform.claude.com/docs/ja/manage-claude/cmek#how-it-works)を参照）。 * **レイテンシ：** データキーをラップまたはアンラップする操作はお客様のキー管理サービスへのラウンドトリップを行うため、保存データの読み取りまたは書き込みを行う操作にわずかなレイテンシが加わる可能性があります。 * **失効の遅延：** キーの失効には最大1時間（キャッシュTTL）かかる場合があります。その間にすでに処理中のリクエストは引き続き成功する可能性があります。 * **KMSコスト：** CMEKにはサードパーティのキー管理サービス（AWS KMS、Google Cloud KMS、またはAzure Key Vault）のキーが必要であり、KMSプロバイダーから別途料金が請求される場合があります。 * **ゲートウェイ経由のClaude Codeテレメトリ：** Claude CodeがLLMゲートウェイまたはプロキシ（カスタムの`ANTHROPIC_BASE_URL`）経由で接続する場合、CMEKはClaude Codeの運用テレメトリには適用されません。このテレメトリをオフにするには、Claude Codeドキュメントの[テレメトリサービス](https://code.claude.com/docs/ja/data-usage#telemetry-services)で説明されているとおり、環境変数`DISABLE_TELEMETRY`を`1`に設定してください。 ## プロバイダーの設定 使用するキー管理サービスのガイドに従ってください。 Anthropicにアクセスを付与するキーポリシーを持つAWS KMSキーを作成し、登録します。 Cloud KMS暗号鍵を作成し、Anthropicのサービスアカウントにアクセスを付与してから、登録します。 RSAキーを作成し、Anthropicのサービスプリンシパルにアクセスを付与してから、登録して検証します。