Configurar o Google Cloud KMS para CMEK

Este guia orienta a configuração de uma chave do Google Cloud KMS como uma chave de criptografia gerenciada pelo cliente (CMEK) para sua organização Anthropic.

Pré-requisitos

• Um projeto do Google Cloud com faturamento habilitado.
• A API do Cloud KMS habilitada (cloudkms.googleapis.com).
• Permissões para criar key rings e chaves do KMS, e para definir a política IAM sobre elas (roles/cloudkms.admin ou equivalente).
• Uma chave de API de Admin da Anthropic para sua organização.
• A CLI gcloud instalada e autenticada.
• Logs de auditoria de acesso a dados do Cloud KMS habilitados para o projeto (IAM & Admin > Audit Logs > Cloud Key Management Service, com DATA_READ e DATA_WRITE). Eles estão desativados por padrão; sem eles, as operações de criptografia e descriptografia da Anthropic não produzem entradas no Cloud Logging.

E-mail da conta de serviço da Anthropic

Para que a Anthropic use sua chave de criptografia, você deve fornecer à conta de serviço da Anthropic uma chave que ela possa usar para criptografar dados. O e-mail da conta de serviço para o CMEK da Anthropic é:

anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com

Configuração da chave de criptografia

1. 1

   Criar ou escolher um key ring

   Pule esta etapa se você já tiver um key ring para reutilizar. Key rings são regionais. Escolha uma localização de região única nos EUA, como us-east5, que corresponda à geografia da Anthropic que você está configurando. Localizações multirregionais como us e global não são suportadas.

   gcloud kms keyrings create <your-keyring-name> \
     --project=<your-project-id> \
     --location=<region>

   
2. 2

   Criar a chave criptográfica

   Crie uma chave simétrica com o propósito ENCRYPT_DECRYPT. A Anthropic recomenda fortemente a proteção HSM: as chaves HSM do Cloud KMS são validadas pelo FIPS 140-2 Nível 3, e a diferença de custo em relação às chaves de software é pequena.

   A opção --labels adiciona o rótulo da organização, anthropic-org-<ORGANIZATION_UUID> com o valor true, onde <ORGANIZATION_UUID> é o ID da sua organização Anthropic em minúsculas. O rótulo é necessário para que a Anthropic valide a chave.

   gcloud kms keys create <KEY_NAME> \
     --project=<PROJECT_ID> \
     --location=<REGION> \
     --keyring=<KEYRING_NAME> \
     --purpose=encryption \
     --protection-level=hsm \
     --labels=anthropic-org-<ORGANIZATION_UUID>=true

   

   Para proteção por software, omita --protection-level=hsm. Nada mais neste guia muda.

   Você também pode criar a chave a partir do Google Cloud Console. Abra o key ring, clique em Create key, selecione Generated key, defina o propósito e o algoritmo como criptografar e descriptografar simétrico, e escolha HSM em nível de proteção.

   

   Para compartilhar uma chave entre várias organizações Anthropic, adicione um rótulo desse tipo para cada organização. Uma chave pode ter no máximo 64 rótulos, incluindo os seus próprios.

3. 3

   Conceder à conta de serviço da Anthropic acesso à chave

   Duas vinculações IAM em nível de chave são necessárias. Ambas têm escopo limitado à chave criptográfica única, não a todo o projeto ou a todo o key ring.

   Criptografar e descriptografar, que a Anthropic usa para criptografar e descriptografar as chaves de dados que protegem os dados do seu workspace (criptografia de envelope):

   gcloud kms keys add-iam-policy-binding <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
     --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

   

   Viewer, para a leitura de metadados (cryptoKeys.get) que a Anthropic realiza na inicialização para validar o propósito e o algoritmo da chave:

   gcloud kms keys add-iam-policy-binding <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
     --role=roles/cloudkms.viewer

   

   No Console, selecione a chave, abra o painel Permissions, clique em Grant access e adicione a conta de serviço com ambas as funções Cloud KMS CryptoKey Encrypter/Decrypter e Cloud KMS Viewer. Certifique-se de estar na página de permissões da chave, não do key ring ou do projeto, para que a concessão tenha escopo limitado apenas a esta chave.

   

4. 4

   Anotar o nome completo do recurso da chave

   Você passa isso para a Anthropic ao registrar a chave. O formato é:

   projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>

   

   Recupere-o com:

   gcloud kms keys describe <your-key-name> \
     --project=<your-project-id> \
     --location=<region> \
     --keyring=<your-keyring-name> \
     --format="value(name)"

   

   No Console, abra a página de detalhes da chave e clique em Copy resource name.

   

Registrar a chave com a Anthropic

Como você registra a chave depende de qual produto você usa.

Terraform

Para implantações de infraestrutura como código, as mesmas etapas mapeiam para o provedor google com os recursos google_kms_key_ring, google_kms_crypto_key e google_kms_crypto_key_iam_member.