CMEK를 위한 Google Cloud KMS 구성

이 가이드는 Anthropic 조직을 위한 고객 관리 암호화 키(customer-managed encryption key, CMEK)로 Google Cloud KMS 키를 구성하는 과정을 안내합니다.

사전 요구 사항

• 결제가 활성화된 Google Cloud 프로젝트.
• Cloud KMS API가 활성화됨 (cloudkms.googleapis.com).
• KMS 키 링과 키를 생성하고 이에 대한 IAM 정책을 설정할 수 있는 권한 (roles/cloudkms.admin 또는 이에 상응하는 권한).
• 조직을 위한 Anthropic Admin API 키.
• gcloud CLI가 설치되고 인증됨.
• 프로젝트에 대해 Cloud KMS 데이터 액세스 감사 로그가 활성화됨 (IAM & Admin > Audit Logs > Cloud Key Management Service, DATA_READ 및 DATA_WRITE 포함). 이는 기본적으로 꺼져 있으며, 이것이 없으면 Anthropic의 암호화 및 복호화 작업이 Cloud Logging에 항목을 생성하지 않습니다.

Anthropic 서비스 계정 이메일

Anthropic이 암호화 키를 사용하도록 하려면, Anthropic의 서비스 계정에 데이터 암호화에 사용할 수 있는 키를 제공해야 합니다. Anthropic CMEK의 서비스 계정 이메일은 다음과 같습니다:

anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com

암호화 키 설정

1. 1

   키 링 생성 또는 선택

   재사용할 키 링이 이미 있는 경우 이 단계를 건너뛰세요. 키 링은 리전별로 구성됩니다. 구성 중인 Anthropic 지역과 일치하는 us-east5와 같은 단일 리전 US 위치를 선택하세요. us 및 global과 같은 멀티 리전 위치는 지원되지 않습니다.

   gcloud kms keyrings create <your-keyring-name> \
     --project=<your-project-id> \
     --location=<region>

   
2. 2

   암호화 키 생성

   ENCRYPT_DECRYPT 용도로 대칭 키를 생성하세요. Anthropic은 HSM 보호를 강력히 권장합니다: Cloud KMS HSM 키는 FIPS 140-2 Level 3 검증을 받았으며, 소프트웨어 키 대비 비용 차이가 작습니다.

   --labels 옵션은 조직 레이블 anthropic-org-<ORGANIZATION_UUID>를 값 true와 함께 추가하며, 여기서 <ORGANIZATION_UUID>는 소문자로 된 Anthropic 조직 ID입니다. 이 레이블은 Anthropic이 키를 검증하는 데 필요합니다.

   gcloud kms keys create <KEY_NAME> \
     --project=<PROJECT_ID> \
     --location=<REGION> \
     --keyring=<KEYRING_NAME> \
     --purpose=encryption \
     --protection-level=hsm \
     --labels=anthropic-org-<ORGANIZATION_UUID>=true

   

   대신 소프트웨어 보호를 사용하려면 --protection-level=hsm을 생략하세요. 이 가이드의 다른 내용은 변경되지 않습니다.

   Google Cloud Console에서도 키를 생성할 수 있습니다. 키 링을 열고 Create key를 클릭한 다음, Generated key를 선택하고, 용도와 알고리즘을 대칭 암호화 및 복호화로 설정하고, 보호 수준에서 HSM을 선택하세요.

   

   여러 Anthropic 조직 간에 하나의 키를 공유하려면, 각 조직에 대해 이러한 레이블을 하나씩 추가하세요. 키는 자신의 레이블을 포함하여 최대 64개의 레이블을 가질 수 있습니다.

3. 3

   Anthropic의 서비스 계정에 키 액세스 권한 부여

   두 개의 키 수준 IAM 바인딩이 필요합니다. 둘 다 프로젝트 전체나 키 링 전체가 아닌 단일 암호화 키로 범위가 지정됩니다.

   암호화 및 복호화, Anthropic이 워크스페이스 데이터를 보호하는 데이터 키를 암호화하고 복호화하는 데 사용합니다(봉투 암호화):

   gcloud kms keys add-iam-policy-binding <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
     --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

   

   뷰어, Anthropic이 키의 용도와 알고리즘을 검증하기 위해 시작 시 수행하는 메타데이터 읽기(cryptoKeys.get)용:

   gcloud kms keys add-iam-policy-binding <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
     --role=roles/cloudkms.viewer

   

   Console에서 키를 선택하고 Permissions 패널을 연 다음, Grant access를 클릭하고 Cloud KMS CryptoKey Encrypter/Decrypter 및 Cloud KMS Viewer 역할을 모두 가진 서비스 계정을 추가하세요. 권한 부여가 이 키로만 범위가 지정되도록 키 링이나 프로젝트가 아닌 키의 권한 페이지에 있는지 확인하세요.

   

4. 4

   전체 키 리소스 이름 기록

   키를 등록할 때 이를 Anthropic에 전달합니다. 형식은 다음과 같습니다:

   projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>

   

   다음으로 검색하세요:

   gcloud kms keys describe <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --format="value(name)"

   

   Console에서 키의 세부 정보 페이지를 열고 Copy resource name을 클릭하세요.

   

Anthropic에 키 등록

키를 등록하는 방법은 사용하는 제품에 따라 다릅니다.

Terraform

코드형 인프라(infrastructure-as-code) 배포의 경우, 동일한 단계가 google_kms_key_ring, google_kms_crypto_key, google_kms_crypto_key_iam_member 리소스와 함께 google 공급자에 매핑됩니다.