---
title: Configurar o Google Cloud KMS para CMEK
url: https://platform.claude.com/docs/pt-BR/manage-claude/cmek-google-cloud-kms
description: Use o Google Cloud KMS para fornecer uma chave de criptografia para sua organização.
---

Deixe o Claude Code configurar este recurso para você

```text
/claude-api me ajude a configurar uma chave de criptografia gerenciada pelo cliente com o Google Cloud KMS
```

Este guia orienta a configuração de uma chave do Google Cloud KMS como uma [chave de criptografia gerenciada pelo cliente (CMEK)](https://platform.claude.com/docs/pt-BR/manage-claude/cmek) para sua organização Anthropic.

<Warning>
  Habilitar o CMEK é permanente. Se sua chave KMS for excluída ou desabilitada, a Anthropic não poderá recuperar os dados criptografados com ela. Revise os [avisos e limitações](https://platform.claude.com/docs/pt-BR/manage-claude/cmek) antes de começar.
</Warning>

## Pré-requisitos

* Um projeto do Google Cloud com faturamento habilitado.
* A API do Cloud KMS habilitada (`cloudkms.googleapis.com`).
* Permissões para criar key rings e chaves do KMS, e para definir a política IAM sobre elas (`roles/cloudkms.admin` ou equivalente).
* Uma chave de API de Admin da Anthropic para sua organização.
* A [CLI `gcloud`](https://cloud.google.com/cli) instalada e autenticada.
* **Logs de auditoria de acesso a dados** do Cloud KMS habilitados para o projeto (IAM & Admin > Audit Logs > Cloud Key Management Service, com `DATA_READ` e `DATA_WRITE`). Eles estão desativados por padrão; sem eles, as operações de criptografia e descriptografia da Anthropic não produzem entradas no Cloud Logging.

## E-mail da conta de serviço da Anthropic

Para que a Anthropic use sua chave de criptografia, você deve fornecer à conta de serviço da Anthropic uma chave que ela possa usar para criptografar dados. O e-mail da conta de serviço para o CMEK da Anthropic é:

```text wrap
anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com
```

<Warning>
  Use apenas este e-mail de conta de serviço publicado. Nunca confie em um identificador fornecido por e-mail, chat ou qualquer canal de integração.
</Warning>

<Note>
  **Compartilhamento restrito por domínio:** Se seu projeto estiver sob uma organização do Google Cloud que aplica `constraints/iam.allowedPolicyMemberDomains`, as seguintes vinculações IAM são rejeitadas porque a conta de serviço da Anthropic está fora da sua organização. Você precisa de uma exceção em nível de projeto para essa restrição, ou adicionar o ID de cliente do Cloud Identity da Anthropic (formato `C0xxxxxxxx`) à lista de permitidos. Entre em contato com a Anthropic para obter o ID de cliente, se necessário.
</Note>

## Configuração da chave de criptografia

<Steps>
  <Step title="Criar ou escolher um key ring">
    Pule esta etapa se você já tiver um key ring para reutilizar. Key rings são regionais. Escolha uma localização de região única nos EUA, como `us-east5`, que corresponda à geografia da Anthropic que você está configurando. Localizações multirregionais como `us` e `global` não são suportadas.

    ```bash
    gcloud kms keyrings create <your-keyring-name> \
      --project=<your-project-id> \
      --location=<region>
    ```
  </Step>

  <Step title="Criar a chave criptográfica">
    Crie uma chave simétrica com o propósito `ENCRYPT_DECRYPT`. A Anthropic recomenda fortemente a proteção HSM: as chaves HSM do Cloud KMS são validadas pelo FIPS 140-2 Nível 3, e a diferença de custo em relação às chaves de software é pequena.

    A opção `--labels` adiciona o rótulo da organização, `anthropic-org-<ORGANIZATION_UUID>` com o valor `true`, onde `<ORGANIZATION_UUID>` é o ID da sua organização Anthropic em minúsculas. O rótulo é necessário para que a Anthropic valide a chave.

    <Note>
      **Encontrar o ID da sua organização:** Copie o campo **Organization ID** na página [Organization](https://platform.claude.com/settings/organization) (`platform.claude.com/settings/organization`) no Claude Console, ou em **Organization settings > Organization** no claude.ai, ou leia o campo `id` do endpoint [Organization Info](https://platform.claude.com/docs/pt-BR/api/organization/retrieve). Use o UUID puro, não o ID com prefixo `org_`.
    </Note>

    ```bash
    gcloud kms keys create <KEY_NAME> \
      --project=<PROJECT_ID> \
      --location=<REGION> \
      --keyring=<KEYRING_NAME> \
      --purpose=encryption \
      --protection-level=hsm \
      --labels=anthropic-org-<ORGANIZATION_UUID>=true
    ```

    Para proteção por software, omita `--protection-level=hsm`. Nada mais neste guia muda.

    Você também pode criar a chave a partir do Google Cloud Console. Abra o key ring, clique em **Create key**, selecione **Generated key**, defina o propósito e o algoritmo como criptografar e descriptografar simétrico, e escolha **HSM** em nível de proteção.

    <Frame caption="Crie uma chave simétrica de criptografar/descriptografar protegida por HSM com o rótulo da organização.">
      ![Página Create key do Google Cloud KMS com proteção HSM, criptografar/descriptografar simétrico, e o rótulo anthropic-org definido como true.](https://platform.claude.com/docs/images/cmek/gcp-create-key-label.png)
    </Frame>

    Para compartilhar uma chave entre várias organizações Anthropic, adicione um rótulo desse tipo para cada organização. Uma chave pode ter no máximo 64 rótulos, incluindo os seus próprios.

    <Note>
      Para adicionar o rótulo a uma chave que não o possui, execute `gcloud kms keys update <KEY_NAME> --project=<PROJECT_ID> --location=<REGION> --keyring=<KEYRING_NAME> --update-labels=anthropic-org-<ORGANIZATION_UUID>=true`. Ele mescla o rótulo com quaisquer rótulos que a chave já tenha.
    </Note>
  </Step>

  <Step title="Conceder à conta de serviço da Anthropic acesso à chave">
    Duas vinculações IAM em nível de chave são necessárias. Ambas têm escopo limitado à chave criptográfica única, não a todo o projeto ou a todo o key ring.

    Criptografar e descriptografar, que a Anthropic usa para criptografar e descriptografar as chaves de dados que protegem os dados do seu workspace (criptografia de envelope):

    ```bash
    gcloud kms keys add-iam-policy-binding <your-key-name> \
      --project=<your-project-id> \
      --location=<region> \
      --keyring=<your-keyring-name> \
      --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
      --role=roles/cloudkms.cryptoKeyEncrypterDecrypter
    ```

    Viewer, para a leitura de metadados (`cryptoKeys.get`) que a Anthropic realiza na inicialização para validar o propósito e o algoritmo da chave:

    ```bash
    gcloud kms keys add-iam-policy-binding <your-key-name> \
      --project=<your-project-id> \
      --location=<region> \
      --keyring=<your-keyring-name> \
      --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
      --role=roles/cloudkms.viewer
    ```

    No Console, selecione a chave, abra o painel **Permissions**, clique em **Grant access** e adicione a conta de serviço com ambas as funções Cloud KMS CryptoKey Encrypter/Decrypter e Cloud KMS Viewer. Certifique-se de estar na página de permissões da chave, não do key ring ou do projeto, para que a concessão tenha escopo limitado apenas a esta chave.

    <Frame caption="Conceda à conta de serviço da Anthropic ambas as funções, com escopo limitado à chave.">
      ![Diálogo Grant access com a conta de serviço da Anthropic atribuída às funções Cloud KMS CryptoKey Encrypter/Decrypter e Viewer.](https://platform.claude.com/docs/images/cmek/gcp-grant-access.png)
    </Frame>
  </Step>

  <Step title="Anotar o nome completo do recurso da chave">
    Você passa isso para a Anthropic ao registrar a chave. O formato é:

    ```text wrap
    projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>
    ```

    Recupere-o com:

    ```bash
    gcloud kms keys describe <your-key-name> \
      --project=<your-project-id> \
      --location=<region> \
      --keyring=<your-keyring-name> \
      --format="value(name)"
    ```

    No Console, abra a página de detalhes da chave e clique em **Copy resource name**.

    <Frame caption="Copie o nome completo do recurso da chave no menu de ações.">
      ![Detalhes do key ring do Google Cloud com a ação Copy resource name destacada no menu de ações da chave.](https://platform.claude.com/docs/images/cmek/gcp-copy-resource-name.png)
    </Frame>
  </Step>
</Steps>

## Registrar a chave com a Anthropic

Como você registra a chave depende de qual produto você usa.

<Tabs>
  <Tab title="Claude Platform">
    Você pode configurar a chave no Claude Console ou através da Admin API, com o mesmo resultado.

    <Tabs>
      <Tab title="Claude Console">
        <Steps>
          <Step title="Registrar a chave com a Anthropic">
            No Claude Console, acesse a página [Data retention](https://platform.claude.com/settings/privacy#encryption-keys) (`platform.claude.com/settings/privacy`). Se você não vir **Encryption keys**, selecione **Organization** no menu suspenso no topo da página. Em **Encryption keys**, clique em **Add key**. Insira um nome de exibição, escolha **Google Cloud KMS** e clique em **Continue**. Cole o nome completo do recurso da chave em **Key resource name** e clique em **Add**.

            A etapa de detalhes da chave mostra o rótulo da organização. Adicione-o à chave, como [a etapa de criação](https://platform.claude.com/docs/pt-BR/manage-claude/cmek-google-cloud-kms#organization-label) descreve, antes de clicar em **Add**.
          </Step>

          <Step title="Validar a chave">
            Na lista **Encryption keys**, clique em **Verify** ao lado da chave. **Connected** aparece quando a verificação é aprovada. Se falhar, uma mensagem informa o motivo.
          </Step>

          <Step title="Anexar a chave a um workspace">
            No Claude Console, acesse a página [Data retention](https://platform.claude.com/settings/privacy) (`platform.claude.com/settings/privacy`) e selecione o workspace no menu suspenso no topo da página. Em **Encryption key**, selecione a chave, clique em **Save** e confirme. Anexar uma chave não pode ser desfeito. Para um workspace que já recebe solicitações, a chave pode levar [até um dia para entrar em vigor](https://platform.claude.com/docs/pt-BR/manage-claude/cmek#how-it-works).
          </Step>
        </Steps>
      </Tab>

      <Tab title="API">
        <Steps>
          <Step title="Registrar a chave com a Anthropic">
            Crie uma configuração de chave externa através da Admin API, usando o nome do recurso da etapa Anotar o nome completo do recurso da chave em Configuração da chave de criptografia.

            <CodeGroup>
              ```bash cURL
              curl -sS "https://api.anthropic.com/v1/organizations/external_keys" \
                -H "x-api-key: $ANTHROPIC_API_KEY" \
                -H "anthropic-version: 2023-06-01" \
                -H "content-type: application/json" \
                -d '{
                  "display_name": "<friendly-name>",
                  "geo": "us",
                  "provider_config": {
                    "type": "gcp",
                    "key_name": "projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>"
                  }
                }'
              ```

              ```bash CLI
              ant organization:external-keys create <<'YAML'
              display_name: "<friendly-name>"
              geo: us
              provider_config:
                type: gcp
                key_name: "projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>"
              YAML
              ```

              ```python Python
              client = anthropic.Anthropic()

              external_key = client.organization.external_keys.create(
                  display_name="<friendly-name>",
                  geo="us",
                  provider_config={
                      "type": "gcp",
                      "key_name": "projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>",
                  },
              )

              print(f"id: {external_key.id}")
              print(f"display_name: {external_key.display_name}")
              ```

              ```typescript TypeScript
              const client = new Anthropic();

              const externalKey = await client.organization.externalKeys.create({
                display_name: "<friendly-name>",
                geo: "us",
                provider_config: {
                  type: "gcp",
                  key_name:
                    "projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>"
                }
              });

              console.log(`id: ${externalKey.id}`);
              console.log(`display_name: ${externalKey.display_name}`);
              ```

              ```csharp C#
              using Anthropic.Models.Organization.ExternalKeys;

              AnthropicClient client = new();

              var externalKey = await client.Organization.ExternalKeys.Create(new()
              {
                  DisplayName = "<friendly-name>",
                  Geo = Geo.Us,
                  ProviderConfig = new GcpExternalKeyConfig
                  {
                      KeyName = "projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>"
                  }
              });

              Console.WriteLine($"id: {externalKey.ID}");
              Console.WriteLine($"display_name: {externalKey.DisplayName}");
              ```

              ```go Go
              client := anthropic.NewClient()

              externalKey, err := client.Organization.ExternalKeys.New(context.Background(), anthropic.OrganizationExternalKeyNewParams{
              	DisplayName: anthropic.String("<friendly-name>"),
              	Geo:         anthropic.OrganizationExternalKeyNewParamsGeoUs,
              	ProviderConfig: anthropic.OrganizationExternalKeyNewParamsProviderConfigUnion{
              		OfGCP: &anthropic.GCPExternalKeyConfigParam{
              			KeyName: "projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>",
              		},
              	},
              })
              if err != nil {
              	log.Fatal(err)
              }

              fmt.Printf("id: %s\n", externalKey.ID)
              fmt.Printf("display_name: %s\n", externalKey.DisplayName)
              ```

              ```java Java
              import com.anthropic.models.organization.externalkeys.ExternalKeyCreateParams;

              void main() {
                  AnthropicClient client = AnthropicOkHttpClient.fromEnv();

                  var params = ExternalKeyCreateParams.builder()
                      .displayName("<friendly-name>")
                      .geo(ExternalKeyCreateParams.Geo.US)
                      .gcpProviderConfig("projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>")
                      .build();
                  var externalKey = client.organization().externalKeys().create(params);

                  IO.println("id: " + externalKey.id());
                  IO.println("display_name: " + externalKey.displayName().orElseThrow());
              }
              ```

              ```php PHP
              use Anthropic\Organization\ExternalKeys\ExternalKeyCreateParams\Geo;
              // ...

              $client = new Client();

              $externalKey = $client->organization->externalKeys->create(
                  displayName: '<friendly-name>',
                  geo: Geo::US,
                  providerConfig: [
                      'type' => 'gcp',
                      'keyName' => 'projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>',
                  ],
              );

              echo "id: {$externalKey->id}\n";
              echo "display_name: {$externalKey->displayName}\n";
              ```

              ```ruby Ruby
              client = Anthropic::Client.new

              external_key = client.organization.external_keys.create(
                display_name: "<friendly-name>",
                geo: :us,
                provider_config: {
                  type: :gcp,
                  key_name: "projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>"
                }
              )

              puts "id: #{external_key.id}"
              puts "display_name: #{external_key.display_name}"
              ```
            </CodeGroup>

            A resposta contém o ID da chave externa:

            ```json
            {
              "type": "external_key",
              "id": "ekey_<id>",
              "display_name": "<friendly-name>"
            }
            ```
          </Step>

          <Step title="Validar a chave">
            Acione um ciclo de criptografia e descriptografia contra sua chave.

            <CodeGroup>
              ```bash cURL
              curl -sS -X POST "https://api.anthropic.com/v1/organizations/external_keys/ekey_<id>/validate" \
                -H "x-api-key: $ANTHROPIC_API_KEY" \
                -H "anthropic-version: 2023-06-01"
              ```

              ```bash CLI
              ant organization:external-keys validate --external-key-id "ekey_<id>"
              ```

              ```python Python
              client = anthropic.Anthropic()

              validation = client.organization.external_keys.validate("ekey_<id>")

              print(f"status: {validation.status}")
              print(f"error: {validation.error}")
              ```

              ```typescript TypeScript
              const client = new Anthropic();

              const validation = await client.organization.externalKeys.validate("ekey_<id>");

              console.log(`status: ${validation.status}`);
              console.log(`error: ${validation.error}`);
              ```

              ```csharp C#
              AnthropicClient client = new();

              var validation = await client.Organization.ExternalKeys.Validate("ekey_<id>");

              Console.WriteLine($"status: {validation.Status.Raw()}");
              Console.WriteLine($"error: {validation.Error}");
              ```

              ```go Go
              client := anthropic.NewClient()

              validation, err := client.Organization.ExternalKeys.Validate(context.Background(), "ekey_<id>")
              if err != nil {
              	log.Fatal(err)
              }

              fmt.Printf("status: %s\n", validation.Status)
              fmt.Printf("error: %s\n", validation.Error)
              ```

              ```java Java
              AnthropicClient client = AnthropicOkHttpClient.fromEnv();

              var validation = client.organization().externalKeys().validate("ekey_<id>");

              IO.println("status: " + validation.status().asString());
              IO.println("error: " + validation.error().orElse(""));
              ```

              ```php PHP
              $client = new Client();

              $validation = $client->organization->externalKeys->validate(
                  externalKeyID: 'ekey_<id>',
              );

              echo "status: {$validation->status}\n";
              echo "error: {$validation->error}\n";
              ```

              ```ruby Ruby
              client = Anthropic::Client.new

              external_key_id = "ekey_<id>"
              validation = client.organization.external_keys.validate(external_key_id)

              puts "status: #{validation.status}"
              puts "error: #{validation.error}"
              ```
            </CodeGroup>

            Uma resposta bem-sucedida se parece com isto:

            ```json
            { "type": "external_key_validation", "status": "success", "error": null }
            ```

            Se a validação falhar, as causas comuns são:

            * **VPC Service Controls:** se um perímetro de serviço protege o Cloud KMS no seu projeto, adicione a Anthropic a um nível de acesso no perímetro (ou exclua o projeto da chave) para que a Anthropic possa alcançar a chave.
            * **Compartilhamento restrito por domínio:** a política de organização `constraints/iam.allowedPolicyMemberDomains` pode remover a vinculação da conta de serviço da Anthropic (veja a nota anterior). Confirme que a vinculação está presente com `gcloud kms keys get-iam-policy <your-key-name> --project=<your-project-id> --location=<region> --keyring=<your-keyring-name>`.
            * **Versão de chave desabilitada ou destruída:** confirme que a versão primária da chave está habilitada, e não desabilitada, agendada para destruição ou destruída.
          </Step>

          <Step title="Anexar a chave a um workspace">
            Uma vez que a chave é validada, anexe-a a um novo workspace antes de enviar quaisquer solicitações a esse workspace. Para um workspace que já recebe solicitações, a chave pode levar [até um dia para entrar em vigor](https://platform.claude.com/docs/pt-BR/manage-claude/cmek#how-it-works).

            <CodeGroup>
              ```bash cURL
              curl -sS -X POST "https://api.anthropic.com/v1/organizations/workspaces/<workspace-id>" \
                -H "x-api-key: $ANTHROPIC_API_KEY" \
                -H "anthropic-version: 2023-06-01" \
                -H "content-type: application/json" \
                -d '{
                  "external_key_id": "ekey_<id>"
                }'
              ```

              ```bash CLI
              ant organization:workspaces update \
                --workspace-id "<workspace-id>" \
                --external-key-id "ekey_<id>"
              ```

              ```python Python
              client = anthropic.Anthropic()

              workspace = client.organization.workspaces.update(
                  "<workspace-id>", external_key_id="ekey_<id>"
              )

              print(f"id: {workspace.id}")
              print(f"external_key_id: {workspace.external_key_id}")
              ```

              ```typescript TypeScript
              const client = new Anthropic();

              const workspace = await client.organization.workspaces.update("<workspace-id>", {
                external_key_id: "ekey_<id>"
              });

              console.log(`id: ${workspace.id}`);
              console.log(`external_key_id: ${workspace.external_key_id}`);
              ```

              ```csharp C#
              AnthropicClient client = new();

              var workspace = await client.Organization.Workspaces.Update("<workspace-id>", new()
              {
                  ExternalKeyID = "ekey_<id>"
              });

              Console.WriteLine($"id: {workspace.ID}");
              Console.WriteLine($"external_key_id: {workspace.ExternalKeyID}");
              ```

              ```go Go
              client := anthropic.NewClient()

              workspace, err := client.Organization.Workspaces.Update(
              	context.Background(),
              	"<workspace-id>",
              	anthropic.OrganizationWorkspaceUpdateParams{
              		ExternalKeyID: anthropic.String("ekey_<id>"),
              	},
              )
              if err != nil {
              	log.Fatal(err)
              }

              fmt.Printf("id: %s\n", workspace.ID)
              fmt.Printf("external_key_id: %s\n", workspace.ExternalKeyID)
              ```

              ```java Java
              import com.anthropic.models.organization.workspaces.WorkspaceUpdateParams;

              void main() {
                  AnthropicClient client = AnthropicOkHttpClient.fromEnv();

                  var params = WorkspaceUpdateParams.builder()
                      .externalKeyId("ekey_<id>")
                      .build();
                  var workspace = client.organization().workspaces().update("<workspace-id>", params);

                  IO.println("id: " + workspace.id());
                  IO.println("external_key_id: " + workspace.externalKeyId().orElseThrow());
              }
              ```

              ```php PHP
              $client = new Client();

              $workspace = $client->organization->workspaces->update(
                  workspaceID: '<workspace-id>',
                  externalKeyID: 'ekey_<id>',
              );

              echo "id: {$workspace->id}\n";
              echo "external_key_id: {$workspace->externalKeyID}\n";
              ```

              ```ruby Ruby
              client = Anthropic::Client.new

              workspace_id = "<workspace-id>"
              workspace = client.organization.workspaces.update(
                workspace_id,
                external_key_id: "ekey_<id>"
              )

              puts "id: #{workspace.id}"
              puts "external_key_id: #{workspace.external_key_id}"
              ```
            </CodeGroup>
          </Step>
        </Steps>
      </Tab>
    </Tabs>
  </Tab>

  <Tab title="Claude Enterprise">
    Em [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls), abra **Encryption keys** e clique em **Add key**. Escolha **Google Cloud**, cole o nome completo do recurso da chave da etapa anterior e clique em **Continue**. A Anthropic valida a chave com um ciclo de criptografia e descriptografia. Uma vez que ela apareça como verificada, sua organização está protegida por CMEK a partir desse ponto.

    No Claude Enterprise, o CMEK se aplica a toda a organização, então não há uma etapa separada de anexação de workspace, e uma organização pode ter apenas uma chave.
  </Tab>
</Tabs>

## Terraform

Para implantações de infraestrutura como código, as mesmas etapas mapeiam para o provedor `google` com os recursos `google_kms_key_ring`, `google_kms_crypto_key` e `google_kms_crypto_key_iam_member`.